Vara anului 2026 a adus în prim-plan una dintre cele mai grave breșe de securitate din istoria administrației publice românești. Atacul cibernetic asupra Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI) a blocat tranzacțiile imobiliare din întreaga țară și a scos la iveală o problemă mult mai amplă: infrastructura financiară și fiscală a statului român rămâne expusă unor riscuri sistemice, în ciuda cadrelor legislative europene adoptate în ultimii ani.
Incidentul nu este unul izolat. Potrivit Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA), sectorul financiar concentrează aproximativ o treime din incidentele cibernetice cu impact major raportate la nivelul Uniunii Europene, iar băncile europene au înregistrat 46% dintre incidentele analizate în acest sector între iulie 2023 și iunie 2024. Mai mult, evaluările de risc arată că peste jumătate dintre instituțiile financiare europene s-au confruntat cu cel puțin un atac cibernetic major doar în prima parte a anului 2026.
De la amenințări oportuniste la operațiuni hibride cu miză geopolitică
În România, natura riscului cibernetic s-a schimbat radical în ultimii ani. Guvernatorul Băncii Naționale a României a atras public atenția asupra faptului că infrastructura bancară națională ar putea fi insuficient pregătită pentru atacuri cibernetice de mare complexitate, de sorginte rusă, subliniind caracterul sistemic al acestor amenințări pentru economia națională.
Acest context a devenit palpabil odată cu atacul asupra ANCPI, catalogat drept cel mai grav incident tehnic din istoria instituției. Atacul a fost revendicat de gruparea de origine algeriană „ByteToBreach”, activă din iunie 2025 ca broker de acces inițial – un tip de actor care se specializează în obținerea și vânzarea accesului neautorizat la sistemele altor organizații. Atacatorii au exploatat o combinație de vulnerabilități tehnice cunoscute, dar nereparate, și credențiale compromise, expuse anterior pe internet, reușind să exfiltreze cod sursă din serverele GitLab ale instituției, inclusiv din modulele aplicației e-Terra și din sistemul RENNS.
Consecința directă a fost blocarea completă a aplicației e-Terra și a serviciilor de e-mail ale ANCPI. Autoritățile au recurs la o migrare de urgență a aplicațiilor afectate în Cloudul Guvernamental, administrat de Serviciul de Telecomunicații Speciale, ca soluție de remediere. Specialiștii în securitate ofensivă au remarcat că incidentul nu a fost rezultatul unei sofisticări tehnice ieșite din comun, ci mai degrabă al unor vulnerabilități banale, deja cunoscute și nesoluționate la timp.
Cazul ANCPI se înscrie într-o tendință globală semnalată de rapoartele de securitate din 2026: o creștere de 11 ori a atacurilor de tip data-only extortion, în care infractorii renunță la criptarea clasică a datelor, specifică ransomware-ului, și mizează exclusiv pe exfiltrarea rapidă a informațiilor și pe șantajul reputațional. Această schimbare de tactică face ca strategiile tradiționale de backup, eficiente împotriva criptării, să nu mai reprezinte o soluție completă de apărare.
Alte instituții vizate: MIPE, ANAF și eroarea umană de la BNR
ANCPI nu a fost singura instituție afectată de valul de atacuri. Ministerul Investițiilor și Proiectelor Europene (MIPE) a raportat un atac asupra aplicației „Achiziții Beneficiari Privați”, care a dus la indisponibilitatea temporară a platformei dedicate beneficiarilor de fonduri europene. Sistemele afectate au fost izolate, iar măsurile corective au fost aplicate sub supravegherea Directoratului Național de Securitate Cibernetică (DNSC).
Agenția Națională de Administrare Fiscală (ANAF) s-a confruntat, la rândul ei, cu un atac de tip DDoS, revendicat de o grupare denumită Echipa 313, cu motivație geopolitică, dar și cu campanii de phishing bazate pe malware-ul LokiBot, care au compromis stații de lucru ale unor utilizatori prin atașamente infectate. Portalul web al instituției a devenit temporar indisponibil, iar răspunsul autorităților a constat în filtrarea traficului malițios și actualizarea validatoarelor sistemului e-Factura.
Un incident diferit ca natură, dar la fel de relevant, a avut loc la Banca Națională a României, în noiembrie 2024, cu ocazia lansării unei emisiuni numismatice dedicate aniversării a 80 de ani de la Operațiunea „Neptun”. O eroare de procesare tehnică și administrativă în platforma de rezervare online a dus la publicarea directă, pe site-ul instituției, a unei liste cu datele personale ale cumpărătorilor de monede aniversare – nume, prenume, cod numeric personal, număr de telefon și adresă de e-mail. Lista a rămas accesibilă publicului aproximativ o oră, iar deși a vizat doar câteva zeci de persoane, incidentul a constituit o încălcare a Regulamentului General privind Protecția Datelor, cu obligația notificării imediate a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Potrivit Legii nr. 190/2018, care completează la nivel național cadrul GDPR, instituțiile publice aflate la prima abatere de acest tip sunt sancționate cu avertisment și obligate să implementeze un plan de remediere; nerespectarea măsurilor corective poate atrage ulterior amenzi contravenționale între 10.000 și 200.000 de lei. Cazul BNR arată că, dincolo de atacurile cibernetice propriu-zise, procedurile interne de validare a conținutului publicat pe site rămân un punct critic de eșec operațional.
Fraude, spoofing și deepfake în numele Băncii Centrale
Reputația BNR este afectată constant și de campanii externe de inginerie socială. Atacatorii folosesc tehnici de mascare a identității apelantului (caller ID spoofing) pentru a suna cetățenii de pe numere care par să aparțină băncii centrale, invocând, de regulă, autoritatea Poliției Române sau a Interpol și pretinzând că victima ar fi încercat să contracteze ilegal un credit. Convorbirea este apoi redirecționată către un fals „specialist BNR”, iar victimele sunt determinate să folosească aplicații de mesagerie nesecurizate, precum WhatsApp sau Telegram, să instaleze software de control de la distanță sau să își divulge credențialele bancare.
O altă schemă frecventă constă în e-mailuri de tip phishing care imită comunicări oficiale ale unor bănci comerciale sau ale BNR, având ca scop înrolarea cardurilor victimelor în portofele electronice Apple Pay sau Google Pay controlate de atacatori, prin obținerea codurilor unice de securitate trimise prin SMS. La acestea se adaugă campanii de dezinformare bazate pe tehnologie deepfake, prin care vocea și imaginea guvernatorului BNR sunt manipulate pentru a promova platforme de investiții fictive.
ANAF și vulnerabilitățile digitalizării fiscale
Infrastructura Ministerului Finanțelor și a ANAF reprezintă un pilon de securitate de interes național pentru stabilitatea economică a țării, dar istoricul recent arată o expunere constantă la riscuri. În timpul valului global de atacuri WannaCry, din mai 2017, România s-a situat pe locul al nouălea în topul țărilor afectate; portalul ANAF a rămas atunci funcțional datorită unor lucrări de mentenanță programate anterior, însă incidentul a evidențiat vulnerabilități semnificative la nivelul rețelelor instituționale.
Expunerea tehnică a ANAF a crescut considerabil odată cu implementarea obligatorie a sistemelor RO e-Factura, RO e-Transport, RO e-TVA și a Spațiului Privat Virtual (SPV). Un punct sensibil identificat în implementarea e-Factura pentru relația Business-to-Consumer (B2C) este gestionarea codului numeric personal al persoanelor fizice. Deși unii comercianți au tins să solicite obligatoriu CNP-ul pentru emiterea facturilor electronice, Codul Fiscal românesc nu impune explicit această obligație, iar colectarea sa fără un temei legal clar expune companiile la riscuri de neconformitate cu GDPR. Ca soluție de compromis, autoritățile permit raportarea facturilor B2C printr-un cod generic format din 13 zerouri, eliminând astfel necesitatea colectării datelor personale sensibile.
La nivelul integrărilor software, serviciile logincert.anaf.ro, furnizor de identitate bazat pe certificate digitale calificate, și api.anaf.ro, interfața pentru transferul de date, funcționează pe baza protocolului OAuth 2.0. Vulnerabilitățile identificate în acest ecosistem țin în principal de managementul necorespunzător al token-urilor de acces de către aplicațiile terțe de contabilitate și facturare. Un token standard este valabil 90 de zile și nu se poate reîmprospăta automat în cazul pierderii conexiunii sau expirării certificatului digital calificat. Stocarea nesecurizată a acestor token-uri în baze de date cloud vulnerabile permite atacatorilor să intercepteze documente fiscale, să modifice date financiare sau să obțină informații sensibile despre partenerii comerciali ai companiilor, ocolind barierele de securitate ale serverelor centrale ANAF.
Stabilitatea operațională a sistemelor fiscale este influențată și de frecvența lucrărilor de mentenanță derulate de Centrul Național pentru Informații Financiare. Optimizările majore de infrastructură din mai 2026, de exemplu, au generat indisponibilitate temporară, obligând autoritățile să dezvolte soluții tehnice care să permită funcționarea e-Factura independent de starea SPV, pentru a evita blocarea fluxurilor comerciale. În plus, lansarea platformei eLicitațiiANAF, destinată valorificării bunurilor sechestrate, a impus deschiderea obligatorie a unui cont SPV, ceea ce a mărit numărul de credențiale active ce trebuie protejate împotriva atacurilor de tip credential stuffing.
Pe termen lung, Ministerul Finanțelor urmărește integrarea fluxurilor e-Factura, e-Transport, SPV și a datelor vamale într-o platformă analitică unificată de tip „lakehouse”, care să folosească tehnologii de învățare automată și analiză pe grafuri pentru detectarea în timp real a rețelelor comerciale opace și a evaziunii fiscale.
Rolul ASF și piața incipientă a asigurărilor cyber
Autoritatea de Supraveghere Financiară (ASF) are un rol dublu în acest ecosistem: supraveghează conformitatea entităților reglementate cu standardele tehnologice naționale și europene și monitorizează, în același timp, piața locală a asigurărilor de risc cibernetic. Încă din 2015, ASF a emis reglementări privind guvernanța și securitatea sistemelor informatice, completate ulterior prin norme dedicate externalizării serviciilor de tip cloud, care impun societăților de asigurare controale stricte și audituri periodice.
În contextul aplicării Regulamentului DORA (Digital Operational Resilience Act), ASF a colectat primele registre de informații privind acordurile contractuale pentru servicii TIC încheiate cu furnizori terți, termenul-limită fiind 10 aprilie 2025. Exercițiul este esențial pentru identificarea riscurilor de concentrare la nivelul furnizorilor tehnologici critici din sectorul financiar non-bancar și pentru prevenirea propagării rapide a unui eventual incident major în întreaga piață.
Piața românească a asigurărilor cyber rămâne, însă, incipientă. Numărul societăților locale cu produse dedicate este extrem de redus, cea mai cunoscută fiind Colonnade Insurance, în timp ce companiile internaționale precum AIG, Chubb sau AXA XL sunt active mai ales prin intermediul brokerilor. Pentru a putea încheia astfel de polițe, organizațiile trebuie să facă dovada unui nivel minim de maturitate cibernetică, a implementării unor standarde recunoscute precum ISO 27000 sau ISO 20000 și a existenței unei funcții active de responsabil cu securitatea informației (CISO). Polițele acoperă, de regulă, pierderile financiare directe, costurile de investigație digitală, asistența juridică, gestionarea reputațională și costurile de refacere a datelor, iar asigurătorii evaluează, înainte de subscriere, istoricul de incidente al companiei, prezența sa online, tipul de date stocate și măsurile active de protecție împotriva malware-ului.
La fel ca celelalte instituții publice, ASF se confruntă și cu campanii externe de dezinformare și fraudă: atacatorii clonează frecvent site-uri ale unor brokeri legitimi sau creează entități fictive care pretind autorizare din partea ASF, pentru a promova investiții cu profit rapid. Autoritatea colaborează cu DNSC pentru identificarea și închiderea rapidă a acestor domenii web frauduloase și publică alerte periodice pe portalul propriu.
Cadrul legislativ: de la DORA la NIS2
Tranziția României către un spațiu cibernetic mai sigur este ghidată de două mari cadre europene de reglementare: Directiva NIS2, transpusă prin Ordonanța de urgență nr. 155/2024 și aprobată cu modificări prin Legea nr. 124/2025, și Regulamentul DORA, aplicabil direct din ianuarie 2025. Ambele mută responsabilitatea directă pentru reziliența digitală de la nivelul departamentelor tehnice de IT către conducerea executivă a organizațiilor, managementul de vârf devenind personal sancționabil în caz de neconformitate.
Regulamentul DORA se aplică instituțiilor financiare, băncilor, asigurătorilor, firmelor de investiții și furnizorilor critici de servicii TIC ai acestora, iar nerespectarea prevederilor poate atrage amenzi de până la 2% din cifra de afaceri anuală globală a entității. Raportarea incidentelor majore de natură TIC se face către BNR și ASF, care transmit ulterior informațiile către DNSC.
Directiva NIS2, transpusă prin Legea nr. 124/2025, vizează sectoare precum energia, transporturile, sănătatea, administrația publică, infrastructura digitală și sectorul fiscal, incluzând Ministerul Finanțelor și ANAF. Entitățile clasificate drept esențiale riscă amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri, iar cele considerate importante, până la 7 milioane de euro sau 1,4% din cifra de afaceri. Legea impune, de asemenea, obligații stricte de raportare: o notificare de alertă timpurie către DNSC în maximum 24 de ore de la depistarea unui incident și un raport complet în cel mult 72 de ore.
Pentru conformarea cu noul cadru, organizațiile identificate drept esențiale sau importante au avut obligația să se înregistreze în registrul oficial administrat de DNSC până la 22 septembrie 2025, utilizând instrumentele dedicate NIS2@RO și depunând evaluări de risc conform metodologiei naționale ENIRE@RO. Legislația impune totodată eliminarea sistemelor de operare depășite, precum Windows 10, al cărui suport oficial a încetat la 14 octombrie 2025, și migrarea către platforme moderne, precum Windows 11 Pro, dotate cu module hardware de securitate TPM 2.0, alături de soluții antivirus de tip enterprise și sisteme de backup securizate, găzduite în centre de date autorizate.
„Conformitatea de bifă” – principala vulnerabilitate structurală
Dincolo de cadrele legislative ambițioase, experții în securitate ofensivă din România atrag atenția asupra unei vulnerabilități sistemice pe care o numesc „conformitatea de bifă”: tendința multor instituții de a trata auditurile de securitate cibernetică drept o simplă formalitate juridică, fără o testare independentă reală a sistemelor în condiții de stres.
Pentru a contracara această practică, specialiștii propun câteva direcții concrete de acțiune. În primul rând, toate instituțiile de stat ar trebui să dețină un registru actualizat, în timp real, al activelor digitale expuse direct în internet, astfel încât vulnerabilitățile să poată fi identificate și remediate înainte de a fi exploatate. În al doilea rând, se recomandă introducerea unor reguli „anti-bifă” în auditurile cibernetice: procesele de audit și testele de penetrare ar trebui realizate exclusiv de echipe independente, cu obligația declarării oricărui conflict de interese și interzicerea testării sistemelor proprii dezvoltate sau operate de aceeași entitate. Echipele de testare ar trebui nominalizate transparent, iar prezența unui specialist senior care să își asume, prin semnătură, constatările raportului ar trebui să devină obligatorie.
O a treia direcție vizează consecințele juridice și administrative: autoritățile publice notificate cu privire la vulnerabilități, fie de către DNSC, fie de auditori autorizați, ar trebui obligate prin lege să remedieze breșele într-un termen clar definit, depășirea acestuia fără justificări tehnice solide urmând să atragă sancțiuni administrative directe pentru conducerea instituției și, eventual, suspendarea temporară a serviciilor digitale nesecurizate care pun în pericol datele cetățenilor.
Nu în ultimul rând, specialiștii insistă asupra factorului uman: având în vedere că peste jumătate dintre funcționarii publici nu au beneficiat de o instruire formală în securitate informatică, se recomandă introducerea unor programe naționale de certificare obligatorie pentru toți utilizatorii de sisteme guvernamentale, care să acopere managementul parolelor, utilizarea corectă a autentificării multi-factor și descurajarea utilizării de soluții software neautorizate, cunoscute drept shadow-IT.
Concluzie
Seria de incidente din ultimii ani – de la atacul asupra ANCPI, la breșele de la MIPE și ANAF, până la eroarea de procesare de la BNR – conturează imaginea unui sistem instituțional aflat într-o etapă de tranziție. Cadrele legislative europene, DORA și NIS2, oferă un fundament solid pentru responsabilizarea conducerii executive și pentru standardizarea răspunsului la incidente, însă implementarea lor reală, dincolo de conformarea formală, rămâne testul decisiv pentru reziliența cibernetică a sectorului financiar și fiscal românesc.
