Exista un moment in viata oricarui om din IT cand se uita la un incident si nu mai simte nimic. Nici furie, nici mirare. Doar recunoastere lenta, greata, de tipul „a, deci asa arata cand se intampla in sfarsit”.
Pe 14 iulie 2026 a picat ANCPI. Azi e 28 Fa tu socoteala.
Treisprezece+1, cu noroc.
„Un incident tehnic”
Prima comunicare oficiala a fost „incident tehnic”. Clasic. Cand un sistem de stat cade, primul reflex nu e sa afli ce s-a intamplat, e sa gasesti cuvantul care sperie cel mai putin. „Incident tehnic” suna ca un bec ars, sau cineva care s-a impiedicat si a scos storage-ul din priza… A doua zi, pe 15, s-a confirmat: atac cibernetic. Ransomware. Atacatorii au criptat si au sters o parte din infrastructura de virtualizare pe care rulau aplicatiile agentiei.
Nu au criptat-o. Au sters-o. Nuanta aia e toata povestea. Cand un atacator sterge in loc sa cripteze, iti spune ceva foarte precis: nu se astepta sa poti restaura repede… Si a avut dreptate.
E-Terra – sistemul central de cadastru si carte funciara, adica actul de proprietate al tarii asteia in format digital – a stat. Cu tot cu email-urile institutiei. ANCPI a numit-o „cel mai grav incident din istoria institutiei”, ceea ce e o formulare interesanta pentru o institutie care exista de mai putin timp decat vulnerabilitatea pe care se presupune ca au exploatat-o.
Consecinta practica: notarii nu mai pot autentifica tranzactii imobiliare. Nu se mai elibereaza extrase de carte funciara. Nu se mai inregistreaza nimic. Si – atentie aici – nu exista procedura alternativa pe hartie. Zero. Nici un notar, nici un birou teritorial, nici un ghiseu.
Am digitalizat singurul lucru pe care il aveam pe hartie si am uitat sa pastram hartia.
Poezie.
Doi oameni
Aici incepe partea interesanta.
Furnizorul de servicii de securitate cibernetica al ANCPI a fost o firma cu doi angajati in 2025. Cifra de afaceri in jur de 365.000 de euro pe an. Timp de raspuns contractual: doua ore pentru incidente critice.
Doua ore. Doi oameni. Pentru sistemul care tine evidenta cui apartine fiecare metru patrat din Romania.
Sa punem si contractele: acord-cadru in 2019, in jur de 950.000 de lei. Altul in 2023, aproximativ 1,5 milioane de lei, pe 48 de luni. Ultimul contract subsecvent — semnat pe 30 aprilie 2026. Cu doua luni si jumatate inainte sa dispara infrastructura. Nu spun ca firma aia e vinovata. Spun ca cineva a semnat. Cineva a citit caietul de sarcini si a decis ca „importanta nationala” incape confortabil in doi oameni cu SLA de doua ore. Ala e omul. Ala nu apare in nicio stire, nu da interviuri si probabil are acum un concediu planificat.
Eu am acasa un homelab cu trei noduri Proxmox si un NAS. Am backup 3-2-1, am snapshot-uri, am un runbook scris de mine pentru mine pentru ca sunt batran si imi notez ce fac. Nu spun asta ca sa ma dau destept. Spun asta pentru ca sunt un tip de 42 de ani care se ocupa de asta in weekend, singur, gratis, pentru filmele lui si pentru Home Assistant.
Ei aveau doi. Si ei aveau cadastrul.
2021
Atacatorul — care isi zice ByteToBreach si care a dat interviuri, pentru ca 2026 — sustine ca a intrat pe o vulnerabilitate cunoscuta din 2021. Trateaz-o ca pe o afirmatie, nu ca pe un fapt.
Dar hai sa vedem ce nu e afirmatie. Directorul DNSC, Dan Cimpean, a declarat public ca atacul putea fi prevenit si ca hackerii au exploatat vulnerabilitati pe care DNSC le semnalase anterior institutiei. Citeste propozitia aia inca o data. Cineva a facut treaba, a scris notificarea, a trimis-o. Notificarea a stat singurica pe un birou pana cand infrastructura a disparut.
Sistemul asta n-a fost spart… rau.
Si stii de ce e credibil? Pentru ca toti cei care am atins vreodata un sistem stim exact cum arata: o aplicatie scrisa mai demult, pe un stack pe care nu-l mai suporta nimeni, cu un vendor care nu mai raspunde la telefon, aplicatie care merge pe un hypervisor (vmware 6) pe care nimeni nu indrazneste sa-l patch-uiasca pentru ca „daca il repornim, cine stie daca mai porneste”.
E Aro-ul ala caruia ii pui guma de mestecat la imbinari sa nu mai trocane… E dacia reparata in parcare cu sarma. Merge. Toata lumea stie ca merge cu sarma. Nimeni nu vrea sa fie ala care atinge sarma, ca e ruginita si cine vrea injectii antitetanos?
Ce a mai zis atacatorul ca a luat: copii ale serverului GitLab cu codul sursa al e-Terra si RENNS, credentiale, backup-uri (pe care pretinde ca le sterge). Datele au fost scoase la vanzare pe internet. Directorul ANCPI a raspuns ca nu au fost furate date personale ale cetatenilor. Guvernul a zis ca baza de date cadastrala centrala nu a fost compromisa. Sper sa aiba dreptate, chiar sper… dar „nu a fost compromisa” spusa in ziua 13, de o institutie care in ziua 1 zicea „incident tehnic”, e o propozitie pe care o citesti si o verifici peste sase luni.
Si acum partea groasa
Pana aici e o poveste trista dar banala. Sistem vechi, buget prost, contract prost, hacker. S-a mai intamplat. Se va mai intampla… dar partea care ma tine treaz e alta.
In iulie 2026, Microsoft a scos un Patch Tuesday cu 570 de vulnerabilitati. Aproape 60 critice. Circa 250 de escaladari de privilegii. Trei zero-day-uri, doua exploatate activ. Recordul precedent, din iunie 2026, a fost aproape triplat. Google a scos peste 900 de fixuri intr-o singura luna. Adobe a trecut la buletine de doua ori pe luna, pentru ca o data nu mai face fata.
De ce? Pavan Davuluri, EVP la Microsoft, a spus-o simplu: „ritmul descoperirii de vulnerabilitati se schimba, progresele in AI fac posibila gasirea a mai multor probleme, mai rapid, in mai mult cod”.
Traducere: masinile au invatat sa citeasca cod mai bine decat noi si au inceput cu al nostru.
In aprilie 2026, un model de la Anthropic a gasit autonom mii de vulnerabilitati zero-day — RCE-uri, lanturi complete de escaladare de privilegii — in toate sistemele de operare majore, toate browserele majore, biblioteci fundamentale gen FFmpeg si kernelul Linux. Cifra care mie mi-a dat la temelie: 181 de exploituri functionale intr-o singura versiune de Firefox, fata de 2 la generatia anterioara de modele. De la 2 la 181, in cateva luni… Nu e o imbunatatire, e o schimbare majora… Ca sa nu ramana in aer: Firefox 150 a livrat 271 de fixuri gasite in aceeasi evaluare.
Pe 11 mai 2026, Google Threat Intelligence a raportat primul caz confirmat de actor ostil care foloseste un zero-day dezvoltat cu ajutorul AI-ului, cap-coada. Deci hai sa punem cele doua jumatati ale articolului asta una langa alta:
Pe o parte, un ritm de descoperire a vulnerabilitatilor care s-a inmultit cu 3, cu 10, cu 90, in functie de cum masori. Pe de alta parte, o institutie a statului roman care patch-uia in ritmul unui acord-cadru pe 48 de luni, cu doi oameni.
Nu e o cursa pe care o pierzi… esti ala care trebuia sa participe dar nu ca nu s-a calificat… nu i-a sunat ceasul si a dormit bine, dulce, dar ca un pierzator.
Nu e despre ANCPI
Si aici e chestia care ar trebui sa deranjeze pe toata lumea, nu doar pe cei care voiau sa vanda un apartament luna asta.
ANCPI nu e un accident izolat. E un esantion.
Aceleasi caiete de sarcini. Aceleasi firme. Aceleasi licitatii castigate la pretul cel mai mic pentru ca asta era criteriul. Aceleasi migrari „in cloud” anuntate de trei guverne diferite si facute de zero. ANAF, casele de sanatate, evidenta populatiei, sistemele din educatie, registrul auto — daca toate au fost construite in aceeasi perioada, de aceiasi integratori, pe aceleasi contracte, atunci ANCPI nu e o exceptie ci e primul care a cazut.
Reactia acum e migrarea in cloud-ul guvernamental, cu sprijin de la STS, DNSC si Cyberint. Serios, bine — e singurul lucru rezonabil pe care il puteau face pe termen scurt.
Dar hai sa ne uitam un pic si la cloud-ul asta in care mutam actele de proprietate ale tarii. Acord-cadru de 427 de milioane de lei din PNRR, patru datacentere — Bucuresti, Brasov, Sibiu, Timisoara. Si un dosar in instanta: pe 4 decembrie, judecatorii au respins cererile STS si ale castigatorului impotriva unei decizii CNSC care considerase abuziva clasificarea rapoartelor de evaluare a ofertelor. Castigatorul contesta formularea si sustine ca licitatia nu a fost anulata.
Deci mutam cadastrul intr-o infrastructura care isi are propriul litigiu despre cum a fost atribuita. Nu spun ca e rea. Spun ca e construita de acelasi mecanism care ne-a adus aici.
Si oricum: migrarea e o mutare, nu o vindecare. Daca muti aceeasi aplicatie, cu aceleasi dependinte netratate si cu aceiasi doi oameni care se uita la ea, ai mutat problema intr-un rack mai frumos. Cloud-ul nu e inerent mai safe. Nu asta face cloudul… cloudul e de fapt servere de care fizic nu mai ai tu grija, au alti gigei grija de ele… muti o parte din risc si atributii la altii…
Iar costul, ca sa nu ramanem in abstract: o tranzactie imobiliara amanata peste pragul fiscal poate insemna pana la 14.000 de euro diferenta de TVA pentru un om obisnuit. Nu pentru stat. Pentru un om care voia sa se mute.
Epilog
E 2026. Avem modele AI care gasesc 181 de gauri intr-un browser cat imi fac eu o cafea. Avem atacatori care dau interviuri. Avem un sistem national de proprietate care sta de 13-14 zile si care nu are procedura pe hartie pentru ca hartia era „ineficienta”, si avem, in continuare, licitatii castigate de firme cu doi angajati pentru infrastructura critica, pentru ca asa scrie in lege ca se face.
Hai sa ne aliniem. Nu la cloud — la realitate. Realitatea zice asa: din momentul asta, orice bucata de cod scrisa vreodata de statul roman e citita de ceva care nu oboseste, nu doarme si nu are nevoie de acord-cadru.
Nu e o amenintare. E o descriere.
ps. Ce ma enerveaza cel mai tare nu e ca s-a intamplat, e inevitabil. Un sistem sigur 100% e ala care e scos din priza sau fara internet… e pc-ul care il aveam in 199x care rula windows 3.1. Ce e enervant e ca nimeni nu va fi demis, si nu vom invata nimic din asta. Se va face o comisie, se va scrie un raport, se va anunta „o strategie nationala de securitate cibernetica” cu termen 2030 si peste doi ani vom fi exact aici, cu alta institutie si alt hacker cu alt nume misto.
pps. Daca ai o tranzactie imobiliara in aer chiar acum: fa-ti dosarul complet pe hartie, cere de la notar dovada datei depunerii si pastreaza fiecare email. Nu pentru ca te ajuta acum. Pentru ca peste sase luni, cand cineva iti va cere sa demonstrezi ceva, singura ta arma va fi exact lucrul pe care l-am declarat depasit: o hartie cu o data pe ea.
Surse
Atacul de la ANCPI
- G4Media – Dan Cimpean, directorul DNSC: atacul putea fi prevenit, au exploatat vulnerabilitati notificate anterior
- G4Media – seful ANCPI: nu au fost furate date personale ale cetatenilor
- G4Media – serviciile raman indisponibile, a inceput migrarea in cloud-ul guvernamental
- HotNews – datele furate, scoase la vanzare pe internet
- HotNews – hackerul ByteToBreach: „Nu le vand chiar oricui”
- Economedia – e-Terra ramane indisponibil dupa atacul ransomware
- JURIDICE.ro – stadiul repunerii in functiune a sistemului e-Terra
- Digi24 – Guvernul: nu putem anunta inca data repornirii
- CriticArad – furnizorul de securitate, contractele si cronologia
Cloud-ul guvernamental
- Bugetul.ro – acordul-cadru de 427 milioane lei pentru Cloud-ul Guvernamental
- CursDeGuvernare – „Batalia pentru cheile Romaniei”: litigiul pe licitatia organizata de STS
AI si ritmul vulnerabilitatilor
- Krebs on Security – Microsoft patch-uieste un record de 570 de vulnerabilitati
- BleepingComputer – Patch Tuesday iulie 2026: 570 de brese, 3 zero-day-uri
- Help Net Security – modelul Anthropic gaseste si exploateaza zero-day-uri pe toate OS-urile si browserele majore
- Schneier on Security – 271 de zero-day-uri in Firefox
- Google Threat Intelligence – adversari care folosesc AI pentru exploatarea vulnerabilitatilor