Atacurile care au lovit în ultimele zile Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI), Ministerul Investițiilor și Proiectelor Europene și site-ul ghișeul.ro nu au legătură între ele și nu sunt opera unor state, ci a unor atacatori motivați financiar sau de dorința de faimă. Aceasta este concluzia Directoratului Național de Securitate Cibernetică (DNSC), prezentată de directorul instituției, Dan Cîmpean, la Antena 3 CNN.
Circuitul civil, blocat de zile bune
Sistemul ANCPI a fost atacat pe 14 iulie, iar de atunci aplicațiile instituției nu mai funcționează. Consecința directă: nu se mai fac tranzacții imobiliare și nu se mai eliberează extrase de carte funciară în toată țara. Președintele ANCPI, Laurențiu Blaga, a declarat că nu are nicio informație că datele cetățenilor ar fi fost sustrase și că instituția are mai multe backup-uri în locații diferite. Estimarea lui pentru reluarea activității: săptămâna viitoare, cu condiția obținerii avizelor de securitate pentru migrarea aplicațiilor în cloud-ul guvernamental.
Atacatorul, cunoscut online ca „ByteToBreach”, a declarat ulterior pentru Euronews România că regretă problemele create și că nu vinde datele „chiar oricui”, negând totodată că ar fi cerut o răscumpărare de 10 milioane de euro.
Amploarea reală: zeci de mii de evenimente pe zi
Prima cifră oferită de directorul DNSC arată dimensiunea fenomenului la nivel național: „Noi la Directorat detectăm undeva între 20-30-40.000 de evenimente de securitate cibernetică zilnic.”
Dintre acestea, o parte se transformă în atacuri propriu-zise: „Din care 10-12% din total, undeva între 50 și 100, sunt ținte ale acestor atacuri zilnice la nivel național. Care sunt instituții, companii – de la companii mici, la mari instituții ale statului, mai mici sau mai mari, mai mature sau mai puțin mature din punct de vedere al securității”, explică Dan Cîmpean.
Trei atacuri, trei autori diferiți
Cea mai importantă clarificare a directorului DNSC privește ideea, vehiculată public, a unui asalt coordonat asupra României.
„Ce e foarte important de precizat pentru aceste atacuri recente: deci cel de la ANCPI, atacul de la Ministerul Investițiilor și Proiectelor Europene și clonarea site-ului ghișeu.ro. În primul rând, sunt niște incidente necorelate. Asta este concluzia noastră de la Directorat. Deci nu au legătură unul cu celălalt”, mai spune acesta.
Nici autorii nu sunt aceiași: „Nu sunt aceleași grupări. Ele au moduri de operare diferite, tehnici, tactici și proceduri de atac diferite și, pe baza datelor pe care le avem până acum, nu par a fi actori statali în spatele incidentelor. Sunt actori motivați financiar și cei care au atacat infrastructura ANCPI cu dorința de a-și crea o reputație, faimă în spațiul cibernetic. De aceea s-au și lăudat”.
Datele nu au fost scoase la vânzare, susține DNSC
„Un aspect pe care vreau să-l precizez, pentru că a fost un pic de confuzie care a apărut și în mass-media. Practic, nu au scos date la vânzare, doar au ilustrat, au prezentat mostre ale datelor pe care au reușit să le sustragă”, mai spune Cîmpean.
Motivația principală, spune el, ține de statut în comunitatea de hackeri: „În primul și în primul rând, vor să-și creeze o reputație în rândul hackerilor”.
Asta nu înseamnă însă că banii nu contează. Modelul de business rămâne același: „Unele dintre aceste grupări își oferă serviciile în sprijin. Ce oferă ca sprijin? Oferă, de obicei, chei de decriptare pentru a avea posibilitatea să te recuperezi. Deci ei vor bani”.
Trendul: constant, dar cea mai mare parte rămâne invizibilă
Întrebat dacă atacurile s-au intensificat în ultima vreme, directorul DNSC a răspuns că fenomenul e stabil ca volum - doar că majoritatea cazurilor nu ajung niciodată în spațiul public:
„Să știți, trendul este constant. Sunt foarte multe atacuri care nu apar public, pentru că nu este un impact vizibil, ca în acest caz, adică site-urile încă funcționează sau au fost sustrase date, dar nu sunt foarte vizibile. Sunt foarte multe firme private impactate, dar și instituții din domeniul public”, explică el.
De ce sunt atacatorii aproape imposibil de prins
Aici e limita reală a autorităților. Chiar și atunci când atacatorii sunt identificați, tragerea lor la răspundere depinde de geografie și de cooperarea internațională.
„Mediul cibernetic are o caracteristică extrem de interesantă: nu are granițe. Deci atacatorii lucrează de oriunde din lume, din locații geografice care nu au acord de extrădare cu România, ale căror autorități nu cooperează cu ale noastre pentru a schimba date și a-i identifica pe respectivi. Se protejează în spatele multiplelor mecanisme tehnice pentru a-și masca identitatea”, adaugă directorul DNSC.
