Adevărul despre atacurile cibernetice din ultima perioadă din România: nu hackerii sunt prea buni, ci sistemele statului sunt prea vulnerabile

Atacurile informatice sunt extrem de multe, dar acest lucru nu este ceva ieșit din comun. Serverul pe care funcționează ziarpiatraneamt.ro nu înregistrează două-trei atacuri pe săptămână, nici câteva zeci sau sute, ci zeci de mii de tentative și evenimente malițioase în fiecare lună. Și nu suntem vreo instituție strategică, nu avem baze de date secrete și nici nu administrăm infrastructură critică. Aceasta este, pur și simplu, realitatea Internetului de astăzi.

Asta nu înseamnă că zeci de mii de hackeri ne atacă personal. Cele mai multe încercări sunt automate: boți care scanează permanent Internetul, caută versiuni vulnerabile de WordPress, pluginuri neactualizate, panouri de administrare, parole slabe, porturi deschise sau servere configurate greșit. Dacă un domeniu este vizibil pe Internet, mai devreme sau mai târziu va fi scanat, testat și atacat automat.

De aceea, afirmațiile politice despre „10.000 de atacuri pe zi asupra României” nu impresionează pe nimeni care știe cu ce se mănâncă infrastructură conectată la Internet. Fără o definiție tehnică, această cifră nu spune aproape nimic. Poate reprezenta 10.000 de cereri blocate automat de firewall, 10.000 de încercări de autentificare, 10.000 de scanări sau 10.000 de pachete trimise în câteva secunde. La nivelul tuturor instituțiilor statului, cifra ar putea fi chiar mică.

Marea confuzie apare atunci când orice tentativă este prezentată drept compromitere reușită. Un scan blocat, un atac DDoS, o pagină vandalizată și preluarea completă a unei infrastructuri nu sunt același lucru. Diferența dintre ele este comparabilă cu diferența dintre cineva care încearcă clanța unei uși, cineva care blochează intrarea într-o clădire și cineva care intră, fură documentele și incendiază arhiva.

În ultimele săptămâni am văzut toate aceste categorii de incidente în România. Site-urile AGIFER, Direcției pentru Cultură Constanța și ale mai multor primării din Covasna au fost vandalizate. Au existat atacuri DDoS asupra unor servicii publice, o clonă de phishing a Ghișeul.ro, un server izolat la Direcția Fiscală Brașov și incidente mai serioase la MIPE și ANCPI.

Vandalizarea unui site nu înseamnă automat compromiterea instituției. Dacă atacatorul înlocuiește pagina principală cu mesajul „Hacked by…”, este posibil să fi exploatat un CMS neactualizat, un plugin vulnerabil sau un cont de administrare compromis. Este grav și rușinos pentru administratorul tehnic, dar nu dovedește că atacatorul a ajuns la bazele de date interne ale instituției.

Faptul că mai multe primării au afișat același mesaj ridică suspiciunea existenței unui furnizor sau a unei platforme comune. O singură parolă compromisă, o singură vulnerabilitate sau același pachet software instalat pe mai multe site-uri poate produce simultan zece victime. Atacatorul nu trebuie să „spargă” fiecare primărie separat dacă toate folosesc aceeași ușă și aceeași cheie.

Nici atacurile DDoS nu trebuie confundate cu furtul de date. Într-un asemenea atac, serverul este bombardat cu un volum foarte mare de cereri până când nu mai poate răspunde utilizatorilor reali. Este echivalentul unei mulțimi care blochează intrarea într-o instituție. Activitatea poate fi oprită, dar asta nu înseamnă că cineva a intrat în birouri și a furat documentele.

Atacurile DDoS pro-ruse asupra României sunt reale, dar rolul lor este în principal propagandistic. Sunt vizibile, pot fi revendicate rapid pe Telegram și produc titluri precum „instituțiile României, atacate de hackeri”. Uneori generează încetiniri sau indisponibilitate temporară, dar rareori duc la compromiterea bazelor de date.

Un atac DDoS analizat recent asupra unei entități guvernamentale românești a atins aproximativ 17.000 de cereri pe secundă și 510 Mbps. Pentru un server vechi și slab protejat, acest volum poate fi suficient pentru blocare. La nivel mondial, însă, nu este un atac spectaculos. Cloudflare a raportat atacuri care au depășit 31 Tbps și 205 milioane de cereri pe secundă.

Nici faptul că traficul provine din 50 de țări nu demonstrează că 50 de state atacă România. Atacatorii folosesc botneturi, proxy-uri și servere compromise din întreaga lume. Un calculator infectat din Germania, Statele Unite sau România poate participa la un atac controlat de cineva aflat în Rusia, Algeria sau în orice altă țară.

Clona Ghișeul.ro reprezintă o altă categorie de atac. Infractorii au copiat aspectul platformei și au distribuit prin SMS linkuri către domenii false, încercând să-i convingă pe utilizatori să introducă date personale sau bancare. Platforma autentică nu trebuie spartă pentru ca atacul să funcționeze. Este suficient ca victima să creadă că se află pe site-ul real.

Incidentul cu adevărat grav este cel produs la ANCPI. Acolo nu vorbim despre simpla cădere a unui site de prezentare, ci despre indisponibilizarea e-Terra, a poștei electronice și a mai multor aplicații folosite de notari, bănci, cadastriști, cetățeni și instituții.

Informațiile furnizate de DNSC arată că atacul asupra ANCPI nu ar fi fost deosebit de sofisticat. Au fost exploatate vulnerabilități cunoscute, semnalate anterior instituției, împreună cu credențiale ajunse pe Internet. DNSC a confirmat și exfiltrarea unor mostre de credențiale și fragmente de cod.

Aceasta este partea cea mai importantă a poveștii: nu pare să fi fost folosită o armă cibernetică secretă sau o vulnerabilitate necunoscută. Atacatorul ar fi intrat prin probleme cunoscute și prin identități compromise. Cu alte cuvinte, nu hackerul a fost genial, ci sistemul a fost insuficient protejat.

Materialele atribuite atacatorului indică posibile probleme serioase în Active Directory. Au apărut referiri la sisteme Windows XP, Windows 7 și Windows Server 2003, zeci de politici de grup și permisiuni sensibile. Dacă aceste informații sunt autentice și reprezentative, atacatorul ar fi putut găsi căi de escaladare a privilegiilor și de deplasare între sisteme.

Active Directory este una dintre cele mai importante componente ale unei infrastructuri Windows. El stabilește cine se poate autentifica, cine este administrator și ce servere sau resurse poate accesa fiecare cont. Dacă un atacator compromite acest mecanism central, nu mai atacă fiecare server separat. Poate ajunge să controleze relațiile de încredere din întreaga rețea.

Un scenariu tehnic plauzibil pentru ANCPI începe cu exploatarea unei aplicații expuse sau folosirea unui cont valid compromis. Urmează scanarea rețelei interne, identificarea serverelor și a conturilor privilegiate, escaladarea drepturilor, deplasarea laterală și colectarea informațiilor. În ultima etapă pot apărea exfiltrarea, criptarea sau ștergerea sistemelor pentru extorcare.

Aceasta este o reconstrucție plauzibilă, nu o concluzie criminalistică definitivă. Nu există în spațiul public un raport forensic complet care să prezinte vectorul inițial, cronologia, comenzile executate, sistemele atinse și volumul exact al datelor exfiltrate.

Afirmația ANCPI potrivit căreia bazele de date tehnice și juridice nu au fost afectate poate fi adevărată, dar nu înseamnă că nu a existat o compromitere. Bazele cadastrale pot fi intacte, în timp ce credențiale, cod-sursă, configurații sau documente interne au fost accesate. Formularea „datele sunt în siguranță” este prea generală atunci când DNSC confirmă exfiltrarea unor informații.

Nici expresia „nu am detectat furtul datelor personale” nu înseamnă că s-a demonstrat că acestea nu au fost furate. Totul depinde de logurile disponibile, durata lor de păstrare și capacitatea de a vedea traficul care a ieșit din rețea. Absența dovezii nu este întotdeauna dovada absenței.

Migrarea aplicațiilor ANCPI în Cloudul Guvernamental poate fi utilă, dar cloudul nu repară automat infrastructura. Dacă sunt mutate aceleași imagini compromise, aceleași conturi, aceleași parole și aceleași configurații vulnerabile, incidentul este mutat, nu rezolvat.

Recuperarea corectă presupune reconstruirea sistemelor într-un mediu curat. Trebuie schimbate parolele, tokenurile, certificatele, cheile API și conturile de serviciu. Serverele trebuie refăcute din imagini verificate, iar stațiile care se reconectează trebuie analizate. Altfel, o singură identitate compromisă poate infecta din nou mediul restaurat.

Și backupul trebuie privit mult mai serios. Un director de backup montat permanent în rețea nu reprezintă o protecție reală. Dacă atacatorul obține drepturi administrative, îl poate șterge sau cripta împreună cu sistemele de producție.

Un backup există cu adevărat numai după ce a fost restaurat și verificat. Instituțiile trebuie să păstreze cel puțin o copie offline sau „immutable”, administrată printr-un sistem de identitate separat. De asemenea, trebuie să știe exact câtă informație își permit să piardă și în câte ore pot reporni serviciul.

Incidentele Apele Române și CONPET confirmă aceeași problemă structurală. La Apele Române au fost afectate aproximativ 1.000 de sisteme IT&C din administrația centrală și din zece administrații bazinale. La CONPET a fost afectată infrastructura IT de business și a apărut posibilitatea exfiltrării unor date personale.

Partea bună este că sistemele operaționale și industriale au rămas funcționale. Infrastructura hidrotehnică a Apelor Române și sistemele SCADA ale CONPET nu au fost afectate. Aceasta indică existența unei separări între zona IT și zona operațională, care a limitat impactul fizic al atacurilor.

Problema României nu pare să fie lipsa totală a produselor de securitate, ci lipsa disciplinei operaționale. Instituțiile cumpără firewalluri, licențe și audituri, dar securitatea reală se face prin inventarierea activelor, actualizarea sistemelor, eliminarea produselor fără suport, rotația parolelor, limitarea privilegiilor, segmentarea rețelei și testarea periodică a backupurilor.

Când o vulnerabilitate este cunoscută și semnalată, dar rămâne exploatabilă, nu mai putem vorbi doar despre performanța atacatorului. Vorbim despre o problemă de administrare și despre incapacitatea instituției de a transforma o alertă tehnică într-o măsură verificabilă.

Securitate absolută nu există și nu orice atac poate fi prevenit. Există însă o diferență majoră între un adversar care trece de sisteme moderne folosind o vulnerabilitate necunoscută și unul care intră printr-un sistem neactualizat, cu un cont compromis, după care găsește o rețea prost segmentată.

Concluzia este simplă: atacurile sunt foarte multe și vor deveni și mai multe, dar majoritatea sunt zgomotul normal al Internetului actual. Adevărata problemă nu este numărul tentativelor, ci câte dintre ele reușesc și cât de departe poate ajunge atacatorul după primul acces.

DDoS-ul pro-rus este real, dar predominant propagandistic. Defacementurile arată o mentenanță web slabă. Phishingul exploatează neatenția utilizatorilor. Incidentele ANCPI, Apele Române și CONPET sunt însă avertismentul adevărat. Ele arată ce se întâmplă atunci când atacatorul depășește site-ul public și ajunge la identități, aplicații interne, servere și sisteme de backup.

Multe dintre atacurile reușite din România nu reprezintă triumfuri ale unui hacking spectaculos. Sunt audituri neautorizate ale unor probleme pe care instituțiile ar fi trebuit să le descopere și să le repare singure. Iar când vulnerabilitatea este cunoscută, parola este compromisă, backupul nu este izolat și restaurarea durează zile sau săptămâni, formularea „am fost atacați” este corectă — dar nu mai poate fi folosită drept scuză.

Iosub Robert