În timp ce scriu aceste rânduri, încă nu poți cumpăra sau vinde legal o locuință în România. Nu din cauza pieței - ci pentru că Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) a fost spartă, aplicația e-Terra este căzută, iar notarii nu au cum să înregistreze o tranzacție sau să elibereze un extras de carte funciară. Așa stau lucrurile de mai bine de o săptămână. Momentul este crud: cota redusă de TVA de 9% pentru locuințele care se mai califică expiră pe 1 august, iar dezvoltatorii imobiliari avertizează că ratarea termenului poate costa o familie până la 72.000 de lei.
Iată partea care ar trebui să îngrijoreze orice inginer și orice demnitar. Directorul Directoratului Național de Securitate Cibernetică (DNSC), Dan Cîmpean, a spus că atacul „nu a fost complex și putea fi prevenit” și că atacatorul a exploatat „vulnerabilități despre care îi anunțaserăm destul de recent”.
Nu este povestea unui adversar sofisticat. Este povestea unuia previzibil - iar previzibil e mai rău, pentru că previzibil înseamnă că putea fi oprit.
Ce știm, de fapt
Cronologia publică este simplă. Pe 14 iulie, e-Terra a picat și a fost descrisă întâi ca un „incident tehnic”. Într-o zi a fost confirmat atacul cibernetic. Un atacator motivat financiar, care își spune „ByteToBreach”, a publicat capturi pe un forum de criminalitate cibernetică, a scos datele la vânzare, a copiat depozitele GitLab ale ANCPI împreună cu codul sursă și a lansat ransomware. Relatările sunt consecvente: intruziunea a fost facilitată de credențiale valide - atacatorul a lăsat chiar un mesaj în sensul că spera ca una dintre parolele sparte să funcționeze.
ANCPI susține că datele cetățenilor nu au fost compromise și că nu s-a plătit nicio răscumpărare; atacatorul susține contrariul și a pus datele la vânzare. Cele două versiuni vor avea nevoie de timp ca să fie reconciliate și nu aș considera niciuna închisă. Dar un fapt nu se contestă și este cel mai important: ANCPI se reface doar pentru că unele copii de siguranță au fost păstrate offline, în mai multe locații. Agenția a început să își mute aplicațiile în Cloudul Guvernamental, sub coordonarea STS - dar, în timp ce scriu, serviciul încă nu este complet revenit.
Nu voi reproduce detaliile interne pe care le-a aruncat atacatorul. Circulă deja, iar retipărirea adreselor IP, a credențialelor sau a numelor angajaților nu face decât să ajute următorul atacator și să victimizeze din nou niște oameni care doar își făceau treaba. Partea utilă - lecțiile - nu are nevoie de niciunul dintre ele.
De ce a fost ușor: anatomia unui atac „clasic”
Un expert citat în presă a descris-o precis: un sistem accesibil din internet avea o vulnerabilitate cunoscută, aceasta a fost exploatată, atacatorul a ajuns în rețeaua internă, iar de acolo vedea toate sistemele și serviciile și, în final, a ajuns la datele importante. Această singură frază conține patru eșecuri separate. Merită desfăcute, pentru că sunt aceleași patru eșecuri din aproape orice breșă de acest tip.
1. Ușa din față era un sistem legacy expus în internet pe care nimeni nu l-a peticit. O vulnerabilitate cunoscută pe un sistem expus în internet este punctul clasic de intrare. Generația de middleware enterprise din era Java și serverele de identitate on-prem pe care instituțiile publice încă le rulează sunt expuse prin proiectare, cară o coadă lungă de vulnerabilități RCE publicate și sunt peticite lent tocmai pentru că sunt „prea critice ca să te atingi de ele”. Un serviciu expus în internet de care ți-e frică să te atingi ca să-l actualizezi nu este un activ. Este o datorie cu numărătoare inversă.
2. Credențialele valide și reutilizate au transformat un punct de sprijin în cheile casei. Credențialele furate și reutilizate sunt principalul vector de breșă la nivel de industrie, nu doar aici. Când aceeași parolă de administrator deschide mai mult de un sistem, o singură scurgere încetează să fie un incident și devine mișcare laterală. Exact pentru asta există un model de administrare pe niveluri, un manager de parole sau o soluție PAM reală și MFA rezistent la phishing.
3. Rețeaua era plată. „De acolo, atacatorul vedea toate sistemele.” Aceasta este semnătura unei rețele fără nicio segmentare internă reală. Segmentarea este diferența dintre un singur server compromis și un tur ghidat prin toată infrastructura.
4. Bijuteriile coroanei - virtualizarea și backup-urile - erau la îndemână. Aici inginerii subestimează constant. Cine controlează hypervisorul controlează fiecare mașină virtuală de pe el, inclusiv controlerele de domeniu. Cine controlează sistemul de backup controlează dacă mai poți recupera ceva. Dacă aceste planuri împart credențiale cu servere obișnuite și stau pe aceeași rețea plată, „compromite un server” devine discret „compromite tot, apoi încearcă să ștergi”. ANCPI a supraviețuit acelui ultim pas doar pentru că unele copii erau offline. Nu a fost sofisticare. A fost singura decizie bună rămasă în picioare când a sosit atacatorul.
Cauza reală este un număr: 0,2%
Dă la o parte detaliul tehnic și ajungi la cauza propriu-zisă. În aproximativ două decenii, ANCPI a cheltuit pe securitate cibernetică, potrivit relatărilor, circa 1,6 milioane de lei (aproximativ 305.000 de euro) - 0,2% dintr-un program de digitalizare de circa 710 milioane de lei (135 milioane de euro) (cifrele sunt de la Ziarul Financiar). Citește raportul din nou: la fiecare 500 de lei cheltuiți ca sistemul să fie mai mare și mai central în viața de zi cu zi, cam un leu a mers către apărarea lui. Iar slăbiciunile fuseseră semnalate din timp.
Nu este un eșec tehnic. Este un eșec de guvernanță și de prioritizare. Securitatea a fost tratată ca o linie opțională de buget pe un sistem care devenise, pe tăcute, infrastructură critică națională - registrul cine ce deține dintr-o țară întreagă.
Nu este doar ANCPI
Ar fi liniștitor să spunem că e o excepție. Nu este. Două zile mai târziu a fost lovit Ministerul Investițiilor și Proiectelor Europene. În decembrie, Apele Române au fost lovite de ransomware pe circa o mie de sisteme. Instituțiile publice din România absorb, potrivit relatărilor, peste 10.000 de tentative de atac pe zi. ANCPI este doar cea care a ajuns în știri, pentru că a blocat piața imobiliară. Parcul mare și moale de sisteme legacy on-prem din sectorul public este o țintă generoasă, iar atacatorii au observat clar asta.
Ce apără cu adevărat împotriva unui astfel de atac
Construiesc automatizare și identitate pe stiva Microsoft ca meserie, așa că voi fi concret - dar nimic din toate astea nu este exotic, iar principiile sunt neutre față de furnizor:
- Identitatea, pe primul loc. MFA rezistent la phishing peste tot. Un model de administrare pe niveluri, cu stații de lucru cu acces privilegiat, astfel încât o credențială de domain admin să nu ajungă niciodată pe o mașină obișnuită. Parole de administrator local unice și rotite automat. Și zero reutilizare de credențiale între niveluri. Identitatea legacy on-prem pe care nu o poți petici în siguranță este exact motivul pentru care există identitatea modernă din cloud - aici consultanța Microsoft 365 și Azure în jurul Entra ID (conditional access, Privileged Identity Management, Identity Protection) își merită costul de multe ori.
- Segmentează rețeaua și tratează planurile de management ca nivel 0. Hypervisorul, sistemul de backup și controlerele de domeniu sunt bijuteriile coroanei. Primesc propriul segment izolat, propriile credențiale și propriul MFA - și nu sunt niciodată accesibile dintr-un server de aplicație compromis.
- Copii de siguranță imutabile și offline - prin proiectare, nu din noroc. ANCPI a supraviețuit pentru că unele backup-uri erau offline. Fă din asta planul, nu accidentul: copii imutabile și offline, restaurări pe care chiar le testezi și presupunerea că atacatorul îți va șterge întâi backup-urile.
- Peticește ce e expus în internet și acționează pe avertismentele primite. DNSC spune că semnalase aceste vulnerabilități. O vulnerabilitate despre care ai fost anunțat și pe care nu ai reparat-o nu mai este un risc. Este o decizie.
- Presupune breșa. Zero Trust nu este un produs pe care îl cumperi; este postura de a presupune că orice componentă este deja compromisă și de a limita necruțător ce îi aduce asta atacatorului. Un audit scurt și onest de automatizare și securitate care cartografiază exact asta - identitate, segmentare, backup-uri, expunere - este mult mai ieftin decât o săptămână de paralizie națională.
Concluzia incomodă
Aproape niciuna dintre aceste soluții nu este scumpă sau exotică raportat la un program de 135 de milioane de euro. Segmentare, MFA, peticire, copii offline, să nu reutilizezi parole - acesta este miezul plictisitor și bine documentat al meseriei. Golul de la ANCPI nu a fost capacitatea și, în sens absolut, nu au fost nici banii. A fost prioritizarea: timp de douăzeci de ani, un registru național de proprietate a fost finanțat pentru apărare ca un site de prezentare.
Atacul putea fi prevenit. La fel și următorul. Singura întrebare reală este dacă instituțiile care ne țin cele mai importante date aleg să îl prevină înainte de titlul din presă - sau după.
