Analiza comunicării ANCPI, privind atacul informatic fără precedent, arată că asigurările date de oficiali sunt doar parțial susținute și s-au restrâns de la momentul inițial până în prezent.

Comunicarea ANCPI conține o distincție reală, dar formulată deliberat ambiguu: baza centrală cu evidența proprietăților poate să fi rămas intactă, în timp ce alte sisteme, conturi, parole, cod-sursă și date operaționale au fost compromise.

Directorul DNSC, Dan Cîmpean, a declarat explicit că atacatorii au publicat mostre de credențiale și fragmente din codul aplicațiilor și că au fost exfiltrate „anumite categorii de date”, chiar dacă, la momentul declarației, nu fuseseră identificate date personale ale proprietarilor sau certificate de carte funciară.

Asigurările oficiale s-au restrâns treptat

Evoluția formulărilor este relevantă:

• La 15 iulie, ANCPI afirma foarte larg că „datele administrate prin sistemele informatice” sunt în siguranță și nu au fost compromise. Apoi, instituția spunea că investigațiile sunt încă în desfășurare și că nu pot fi comunicate concluzii oficiale privind securitatea datelor. Pe 19 iulie, mesajul devenea: „bazele de date tehnice și juridice” nu au fost afectate. În comunicatul din 27 iulie, asigurarea este și mai îngustă: doar „baza de date centrală” care conține proprietățile și drepturile reale nu ar fi fost afectată. Această restrângere progresivă nu dovedește că baza cadastrală a fost compromisă. Arată însă că prima formulare — toate datele sunt în siguranță — era prea categorică. Ulterior, ANCPI a delimitat atent registrul central de restul infrastructurii și al informațiilor gestionate.

„Nu există dovezi” nu înseamnă „nu s-a întâmplat”

Formularea „nu există dovezi că atacatorii au avut acces” este mult mai slabă decât „investigația a demonstrat că accesul nu a fost posibil”.

Pentru o asemenea concluzie ar trebui să existe cel puțin:

• jurnale de acces complete și nealterate;
• auditarea conturilor privilegiate;
• analiza traficului de ieșire din rețea;
• verificarea serverelor și a copiilor de siguranță;
• stabilirea exactă a perioadei în care atacatorul a fost prezent în infrastructură.

Comunicatul nu precizează nici când a pătruns atacatorul, nici cât timp a rămas nedetectat, nici dacă toate jurnalele necesare investigației au supraviețuit. ANCPI spune doar că accesul neautorizat a fost „constatat” pe 14 iulie, nu că atacul a început atunci.

Mai mult, DNSC a afirmat că incidentul putea fi prevenit și că atacatorii au folosit vulnerabilități cunoscute, nereparate, combinate cu credențiale compromise și publicate online. Acest lucru indică un acces semnificativ în infrastructură, nu doar infectarea accidentală a unui calculator periferic.

Parola ePay: o recomandare care contrazice mesajul general liniștitor

Recomandarea ca utilizatorii ePay să-și schimbe parola este justificată din punct de vedere al securității, dar ridică o întrebare evidentă:

Dacă nu există indicii că atacatorii au ajuns la datele utilizatorilor, de ce trebuie schimbate parolele?

Nu este obligatoriu să existe o contradicție cu afirmația referitoare la registrul proprietăților. Aplicația ePay poate utiliza o bază de conturi separată. Dar recomandarea arată că ANCPI nu poate exclude compromiterea informațiilor de autentificare sau a componentelor prin care acestea erau gestionate.

Semnalele sunt mai puternice deoarece:

• vechiul modul ePay nu va fi pur și simplu repornit, ci va fi înlocuit cu „un alt modul software”;
• DNSC a confirmat că atacatorii au publicat mostre de credențiale;
• atacatorul a pretins că a copiat inclusiv serverele GitLab și codul-sursă al unor aplicații ANCPI. Pretențiile sale privind amploarea furtului nu sunt integral confirmate, dar existența unor mostre și a unor date exfiltrate a fost recunoscută de DNSC.
• Solicitarea de schimbare a parolei nu dovedește furtul datelor de plată sau al parolelor ePay, dar reprezintă un indiciu că zona conturilor și autentificării nu poate fi considerată sigură cu aceeași certitudine invocată pentru baza cadastrală centrală.

Sunt confundate trei noțiuni diferite

Comunicatul folosește alternativ expresii precum „datele nu au fost afectate”, „integritatea este confirmată” și „nu există dovezi privind accesul”.

Acestea nu înseamnă același lucru:

• Integritate: datele nu au fost modificate sau șterse.
• Confidențialitate: datele nu au fost văzute sau copiate de persoane neautorizate.
• Disponibilitate: datele și serviciile pot fi accesate de utilizatorii legitimi.

Este perfect posibil ca baza centrală să fie intactă, dar indisponibilă. Este la fel de posibil ca datele să nu fi fost modificate, dar să fi fost consultate ori copiate.

ANCPI susține rezonabil integritatea evidenței cadastrale, însă din aceasta nu rezultă automat că atacatorul nu a avut acces la nicio informație.

De ce durează atât de mult

Există explicații tehnice legitime pentru durata intervenției. Atacatorii nu au criptat doar câteva fișiere, ci au criptat și șters o parte din infrastructura de virtualizare care găzduia aplicațiile. În asemenea situații, sistemele nu trebuie repornite pur și simplu din copii, ci reconstruite într-un mediu curat, cu parolele și cheile schimbate și cu verificarea faptului că atacatorul nu a lăsat mecanisme de acces persistent. Autoritatea a decis însă să facă, în timpul crizei, și o migrare în Cloudul Guvernamental. Aceasta presupune configurarea rețelelor, drepturilor, bazelor de date, aplicațiilor și integrărilor cu sistemele notarilor, oficiilor teritoriale și serviciilor de plată.

Totuși, explicația tehnică nu elimină problema de management. Cronologia arată repetate estimări ratate:

• pe 15 iulie se estima indisponibilitatea până la sfârșitul acelei săptămâni;
• migrarea trebuia finalizată pe 22 iulie;
• lucrările programate să se încheie pe 26 iulie au fost întrerupte la ora 03:00;
• pe 30 iulie, Guvernul anunța că reconstrucția și migrarea fuseseră finalizate, dar platforma era încă în teste și indisponibilă utilizatorilor.
• Un asemenea interval indică una sau mai multe dintre următoarele probleme:

1. infrastructura era mult mai interdependentă decât se anticipase;
2. copiile de siguranță nu permiteau o revenire rapidă și automatizată;
3. planul de continuitate nu fusese testat pentru pierderea completă a infrastructurii;
4. sistemele de autentificare și administrare au fost compromise și trebuie reconstruite;
5. migrarea în cloud a fost începută fără o imagine completă a tuturor dependențelor aplicației.

ANCPI a afirmat că avea copii de siguranță în mai multe locații. Existența lor nu înseamnă însă automat că instituția avea un sistem funcțional de recuperare rapidă. Un backup poate exista, dar restaurarea sa poate dura mult dacă nu este testată periodic, dacă aplicațiile sunt vechi sau dacă identitățile și configurațiile din jurul bazei de date au fost compromise. Explicația opririi lucrărilor la ora 03:00 este insuficientă.

Formularea potrivit căreia lucrările au fost întrerupte „din motive de precauție” este una dintre cele mai neclare părți ale comunicatului.

Nu se precizează dacă:

• a apărut o eroare la migrare;
• exista riscul afectării bazei de date;
• testele au identificat o vulnerabilitate;
• s-a ajuns la o etapă care necesita aprobări;
• echipele au fost oprite pentru evitarea erorilor provocate de oboseală.

„Precauția” nu este o explicație tehnică. Este o formulare care evită să spună ce anume nu a funcționat sau ce risc concret a fost identificat.

Exprimarea „Actualizări ulterioare” poate ascunde o problemă

ANCPI anunță că va reporni sistemul în „versiunea actuală”, urmând ca actualizările să fie făcute ulterior.

În condițiile în care DNSC a spus că atacul a exploatat vulnerabilități cunoscute și nereparate, instituția ar trebui să clarifice urgent dacă „versiunea actuală” înseamnă:

• versiunea funcțională a aplicației, dar cu toate vulnerabilitățile exploatate deja remediate; sau
• aceeași versiune software vulnerabilă, care va fi actualizată după repornire.

A doua variantă ar fi inacceptabilă. Comunicatul nu face această diferență.

Măsurile anunțate acum par să fi lipsit înainte

Guvernul anunță că implementează:

• segmentarea rețelei;
• autentificarea multifactor pentru toate conturile privilegiate;
• monitorizarea continuă.

Este rezonabil să deducem că aceste măsuri fie nu existau, fie nu erau aplicate complet înaintea atacului. Altfel, nu ar fi prezentate drept măsuri suplimentare introduse în urma incidentului.

Această deducție este cu atât mai importantă cu cât DNSC a confirmat utilizarea unor credențiale compromise și a unor vulnerabilități despre care ANCPI fusese avertizată.

Problema notificării autorității pentru protecția datelor

Un element care slăbește suplimentar credibilitatea mesajului este faptul că ANCPI nu ar fi notificat incidentul către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

Potrivit răspunsului transmis de ANSPDCP către Ziarul Financiar, autoritatea a deschis o investigație din oficiu, în urma informațiilor publice, nu a unei notificări ANCPI. Regulamentul european impune notificarea în cel mult 72 de ore, cu excepția cazului în care încălcarea este improbabil să genereze un risc pentru persoane dificil de împăcat lipsa notificării cu următoarele realități:

• infrastructura a fost compromisă;
• unele date au fost exfiltrate;
• au fost publicate mostre de credențiale;
• utilizatorilor ePay li se recomandă schimbarea parolelor;
• ancheta privind amploarea accesului este încă în desfășurare.

Verdict

Baza cadastrală centrală: Este plauzibil să fi rămas intactă. Nu există în acest moment dovezi publice solide că înregistrările privind proprietarii, limitele imobilelor sau drepturile reale au fost modificate ori furate.

Restul datelor ANCPI: Nu se mai poate susține că „nu au fost afectate”. DNSC a confirmat exfiltrarea unor categorii de date, inclusiv expunerea unor credențiale și fragmente de cod.

Conturile ePay: Compromiterea lor nu este confirmată, dar riscul este suficient de serios încât platforma să fie înlocuită și utilizatorilor să li se ceară schimbarea parolelor.

Durata intervenției: Este parțial explicabilă prin reconstrucția completă și migrarea în cloud, dar indică și o pregătire insuficientă pentru continuitatea activității, o arhitectură puternic interdependentă și lipsa unei soluții rapide de rezervă.

Principala fractură de logică: ANCPI transformă afirmația limitată „nu am constatat afectarea registrului central” într-un mesaj general de siguranță, deși investigația nu este finalizată și există deja confirmarea că atacatorul a extras alte date.

Sursa foto: DNSC