Guvernul „cosmetizează” dezastrul informatic de la Cadastru / Piperea: România este necesar să revină urgent la stocarea fizică a documentelor notariale și fiscale și la plățile libere în numerar

Comunicatul emis pe 27 iulie de Guvern despre atacul cibernetic care a paralizat Agenţia Naţională de Cadastru şi Publicitate Imobiliară în urmă cu două săptămâni încearcă să transforme un eşec instituţional de proporţii într-o poveste liniştitoare despre „reconstrucţie”, „coordonare atentă” şi „lecţii necesare”. Numai că raportul tehnic intermediar al Directoratului Naţional de Securitate Cibernetică arată o realitate radical diferită: atacatorii au exploatat vulnerabilităţi critice cunoscute de ani, au pătruns într-o infrastructură protejată cu echipamente şi aplicaţii ieşite din suport, au găsit o reţea aproape nesegmentată, au obţinut credenţiale administrative reutilizate pe mai multe sisteme, au ajuns la majoritatea echipamentelor fizice şi virtuale, au copiat cod-sursă, date despre utilizatori şi cel puţin o maşină virtuală critică, apoi au şters aproximativ 100 de maşini virtuale şi fişiere de backup.

Cu toate acestea, Executivul, în comunicatul de presă citat, evită sistematic tocmai informaţiile care permit stabilirea răspunderii: cum a fost posibil atacul, ce măsuri elementare lipseau, câte date au fost compromise, cine era necesar să asigure securitatea şi cine va răspunde pentru faptul că piaţa imobiliară din ţara noastră a fost blocată mai bine de zece zile.

Prima cosmetizare a situaţiei apare chiar în cronologie. Comunicatul Guvernului afirmă că „în data de 14 iulie 2026, ANCPI a constatat un acces neautorizat”, în timp ce analiza DNSC consemnează în raportul tehnic citat că ANCPI a sesizat Directoratul pe 14 iulie în legătură cu „un incident cibernetic detectat la data de 13.07.2026”. De fapt, mai exact, potrivit DNSC, atacatorul intrase în sistem încă din 10 iulie, la ora 15:23:57, iar incidentul a fost detectat efectiv de personalul ANCPI abia pe 14 iulie, la 05:45. DNSC calculează un interval de peste 86 de ore între accesul iniţial şi detectare. Timp de trei zile şi jumătate, atacatorul s-a putut deplasa prin infrastructură, scana reţeaua, colecta credenţiale, copia date şi pregăti distrugerea sistemelor fără ca vreun angajat al ANCPI să observe intruziunea. Aceasta nu este o simplă neclaritate calendaristică, ci una dintre principalele dimensiuni ale eşecului de securitate, eliminată convenabil din comunicatul Guvernului.

Nici expresia potrivit căreia atacatorii „au criptat şi şters o parte din infrastructura de virtualizare” nu redă amploarea dezastrului. DNSC a stabilit că gruparea ByteToBreach a desfăşurat un atac ransomware cu dublă extorsiune, adică nu s-a limitat la blocarea sistemelor, ci a urmărit şi copierea datelor pentru a putea şantaja victima cu publicarea sau vânzarea lor. Atacatorul a avut acces la majoritatea dispozitivelor din infrastructură, virtuale şi fizice, la echipamente de reţea, la serverele Active Directory Domain Controller şi la depozitele de cod-sursă. O comandă identificată de DNSC confirmă transferarea în exterior a maşinii virtuale „DC1”, un controler de domeniu Active Directory – una dintre componentele cele mai sensibile ale unei reţele, deoarece conţine informaţii despre identităţi, conturi şi drepturi de acces. Raportul menţionează explicit exfiltrarea unor maşini virtuale, ştergerea de backupuri, criptarea fişierelor şi publicarea unor fragmente din datele sustrase pe forumuri de pe dark web. Reducerea acestei compromiteri extinse la „o parte din infrastructura de virtualizare” este o formulare administrativă menită să ascundă gravitatea tehnică a incidentului.

Cea mai problematică parte a comunicatului de presă emis pe 27 iulie de Executiv este însă cea referitoare la date. Guvernul declară că baza centrală cadastrală nu a fost afectată, că nu există dovezi privind accesarea ei şi că integritatea evidenţei de cadastru şi carte funciară este confirmată. Afirmaţia poate fi corectă strict în privinţa bazei Oracle Exadata care conţine evidenţa proprietăţilor, deoarece DNSC spune că probele disponibile nu demonstrează accesarea acesteia. Dar comunicatul foloseşte această constatare limitată pentru a produce impresia generală că datele cetăţenilor nu au fost compromise. Or, raportul tehnic intermediar al DNSC stabileşte contrariul în privinţa utilizatorilor ePay: atacatorul a obţinut acces la baza de utilizatori OpenDJ/LDAP şi a extras un volum estimat la aproximativ două milioane de înregistrări, conţinând nume, adrese de e-mail, identificatori şi hash-uri ale parolelor. DNSC arată că informaţiile par să aparţină utilizatorilor externi ai platformei, identificaţi inclusiv prin adrese personale Gmail şi Yahoo. Aşadar, nu mai discutăm doar despre o bănuială care „va fi stabilită” cândva de investigaţie, ci despre o compromitere descrisă în raportul tehnic intermediar al autorităţii naţionale competente.

Recomandarea din comunicatul citat referitoare la faptul ca utilizatorii ePay să-şi schimbe parola, „mai ales dacă o folosesc şi pe alte conturi”, devine o recunoaştere indirectă a compromiterii datelor, fără asumarea explicită a acesteia. Guvernul le cere oamenilor să se protejeze, dar evită să le spună exact de ce. Nu precizează nici dacă parolele au fost stocate prin algoritmi moderni şi cu salt individual, dacă toate sesiunile active şi tokenurile de autentificare au fost invalidate, dacă utilizatorii afectaţi vor fi informaţi distinct şi dacă incidentul a fost notificat Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal în termenul prevăzut de GDPR. Nu spune nici dacă toate credenţialele administrative şi certificatele posibil compromise au fost revocate şi înlocuite. Sunt informaţii esenţiale pentru securitatea cetăţenilor, nu detalii care pot fi ascunse în spatele „confidenţialităţii anchetei”.

Comunicatul Guvernului omite integral şi cauza tehnică probabilă a atacului. DNSC arată că punctul iniţial de acces a fost platforma de autentificare OpenAM/ForgeRock din traseul către ePay, expusă pe internet şi vulnerabilă la probleme de securitate cunoscute, că atacatorul a exploatat breşe publice, dintre care una era cunoscută încă din 2021. Odată intrat, a găsit o interfaţă de administrare Java JMX/RMI fără autentificare, a obţinut execuţie de cod, a decriptat credenţiale administrative şi a folosit serverul ePay ca punct de pivotare către infrastructura centrală de virtualizare.

Mai grav, raportul DNSC descrie ceea ce numeşte o combinaţie de „deficienţe structurale” ale securităţii ANCPI, deoarece firewallurile rulau versiuni învechite, unele ieşite din ciclul oficial de suport şi lipsite de actualizări de securitate, iar soluţia antivirus Bitdefender funcţiona numai pe device-urile angajaţilor, nu şi pe serverele critice analizate. Mai mult, reţeaua internă era „aproape” nesegmentată, astfel încât un server de producţie compromis putea comunica direct cu infrastructura de management vCenter. Aceleaşi credenţiale administrative erau reutilizate pe mai multe echipamente şi servicii, astfel că obţinerea unei singure parole i-a deschis atacatorului accesul către componente critice.

Acestea sunt informaţiile fundamentale pe care comunicatul Guvernului le ascunde. Nici mutarea aplicaţiilor ANCPI în cloudul guvernamental nu poate fi prezentată de Guvern drept soluţia salvatoare. Cloudul poate oferi o infrastructură mai bine administrată, dar nu repară codul vulnerabil, arhitectura defectuoasă, credenţialele compromise sau practicile administrative neglijente. Dacă „versiunea actuală” a sistemului este repornită înainte ca toate vulnerabilităţile să fie remediate, problema este doar mutată într-un centru de date nou. Chiar directorul ANCPI, Laurenţiu Blaga, afirmase că aplicaţiile, nu baza de date, vor fi mutate în cloud, iar verificarea eventualelor breşe urma să se facă ulterior. Acum, comunicatul vorbeşte despre repornirea „pe versiunea actuală”, urmată de actualizări ulterioare. Tocmai această grabă este necesar să fie explicată: ce vulnerabilităţi rămân temporar deschise, ce controale compensatorii sunt implementate şi cine îşi asumă decizia repornirii?

Mai există şi problema contractelor plătite din bani publici. Presa a documentat două acorduri pentru servicii de protecţie cibernetică atribuite IT About IT SRL, unul de aproape 950.000 de lei în 2019 şi altul de 1,48 milioane de lei în 2023, precum şi un contract de mentenanţă pentru e-Terra de 15,77 milioane de lei acordat Wing Leading Edge SRL. Ultimul contract subsecvent pentru securitate ar fi fost semnat chiar la 30 aprilie 2026, cu mai puţin de trei luni înaintea atacului. Comunicatul Guvernului nu spune cine răspundea contractual pentru actualizarea componentelor vulnerabile, cine era necesar să verifice segmentarea reţelei, cine a acceptat echipamente ieşite din suport, cine a configurat păstrarea logurilor pentru numai şapte minute şi ce audituri de securitate au fost efectuate.

**********

Gheorghe Piperea: România este necesar să revină urgent la stocarea fizică a documentelor notariale și fiscale așa cum este necesar să revină la plățile libere în numerar!

Din pandemie încoace, documentele pe care le semnăm la notar nu se mai păstrează în format fizic la nivel de ANCPI. Notarii nu depun, din 2020, decât documente digitale, rămânând ca fiecare notar să își respecte obligația de a păstra copii fizice ale documentelor, mai ales cele referitoare la imobile.

Atacul cibernetic reușit, care a dus la ștergerea bazei de date a ANCPI, demonstrează că vorbim doar de o „păstrare” a documentelor notariale, iar nu de o păstrare, așa cum s-a petrecut în România în ultimii 162 de ani, în Anglia, în ultimii 862 de ani, iat în Franța, în ultimii 962 de ani. Atacul cibernetic de acum două săptămâni a șters baza de date, după ce a „exportat-o” pe Dark Web. Nu știm dacă și când vor mai putea fi recuperate documentele noastre, „păstrate” digital.

Apropo, legea impune și acum în Franța ca documentele notariale să fie păstrate fizic, atât la nivel național, cât și la nivel de notar, privit distinct. Așa va rămâne și în următorii 1000 de ani. Francezii cheltuiesc foarte mulți bani pentru arhivarea și cartografierea documentelor notariale. Este nu doar o necesitate istorică și culturală (Franța este printre puținele state ale lumii care pot produce oricui un arbore genealogic întins pe sute de ani), ci și una juridică. Dreptul la moștenire, dreptul la proprietate, libertatea de circulație a persoanelor, bunurilor și capitalurilor, plus naționalitatea, filiația, căsătoria, dota, obligația de întreținere – toate depind în totalitate sau parțial, dar substanțial, de documente notariale și de cadastru/carte funciară.

Idioții noștri entuziaști ai digitalizării au pus în pericol aceste interese și drepturi. Sistemul politic corupt al celor care exercită puterea de 36 de ani, neîntrerupt, în România, au înghețat și aproape au neutralizat aceste interese și drepturi. Dând pe mâna proștilor și corupților de pe lista scurtă de companii cu spate politic sarcina digitalizării infrastructurii critice naționale, au pus-o în brațele hackerilor și ale agenților ostili României.

Iată că baza de date a ANCPI nu a fost restabilită nici după 2 săptămâni de la atacul cibernetic.

De ce?

Fie pentru că a fost foarte prost făcută și nu se poate cârpi, fie pentru că încă nu s-a reușit ștergerea unor date compromițătoare, care ar putea da „acces” la niște ani de pușcărie celor care au „digitalizat” pe zeci de miliarde toate registrele publice românești.

La fel se petrece, să știți, și în cazul bazei de date a asigurărilor de sănătate…….

La fel se poate spune și despre registrele fiscale (e-factura, e-proprietatea, e-transportul).

Apropo, știați că fiscul stochează digital doar 60 de zile informațiile voastre fiscale, personale sau de business? După 60 de zile, sarcina stocării este la voi. Dacă nu stocați, nu mai puteți proba nimic ulterior, nici faptul că ați plătit o dare fiscală, nici vechimea, nici cheltuielile deductibile etc.

O să fiu acuzat de medievalism, dar: România este necesar să revină urgent la stocarea și arhivarea fizică a documentelor notariale și fiscale și să reconstituie ce s-a pierdut în ultimii 6 ani de „digitalizare”, așa cum este necesar să revină la plățile libere în numerar!

Avocat Gheorghe Piperea

Citiți și:
Hackerii vând datele furate de la cadastru și amenință că șterg și copiile de rezervă. La Cotroceni și la Guvernul demis e liniște
Gheorghe Piperea îi îndeamnă pe români să țină banii la saltea: „Un atac cibernetic poate bloca plățile, bancomatele și accesul la conturile bancare. Numerarul este necesar să fie protejat”

 

yogaesoteric
31 iulie 2026