Pierderile privaților, un simplu „disconfort” pentru stat

Atacul asupra ANCPI nu a produs doar o problemă tehnică. A blocat tranzacții, credite, lucrări cadastrale și activitatea unor profesioniști, în timp ce costurile sunt suportate aproape exclusiv de cetățeni și companii.

Analiză și opinie — situația cunoscută la 25 iulie 2026

Pe 14 iulie 2026, sistemele informatice ale Agenției Naționale de Cadastru și Publicitate Imobiliară au devenit nefuncționale. Nu a căzut doar o pagină web și nu a fost indisponibil un serviciu auxiliar. Au fost afectate toate sistemele informatice gestionate de ANCPI, inclusiv adresele de e-mail și aplicația e-Terra, infrastructura de care depinde activitatea de cadastru și publicitate imobiliară din întreaga țară.

O zi mai târziu, ANCPI a confirmat că instituția fusese ținta unui atac cibernetic și a descris situația drept cea mai amplă întrerupere tehnică din istoria sa.

Cu toate acestea, după mai multe zile în care activitatea cadastrală și o parte importantă a pieței imobiliare au rămas blocate, instituția a ales să descrie efectele indisponibilității drept un „disconfort temporar”.

Formularea este relevantă nu numai ca eroare de comunicare. Ea exprimă o problemă mai profundă în relația dintre stat și cei care depind de serviciile sale: atunci când instituția nu funcționează, consecințele economice suportate de cetățeni și companii sunt reduse la nivelul unui inconvenient minor.

„Disconfort” pentru cine?

Pentru conducerea unei instituții, indisponibilitatea temporară a unei aplicații poate apărea într-un raport ca un incident tehnic.

Pentru un cumpărător care trebuie să semneze un contract până la o anumită dată, poate însemna pierderea unor condiții fiscale, expirarea unei aprobări de credit sau aplicarea unei clauze contractuale.

Pentru un vânzător poate însemna amânarea încasării prețului.

Pentru un dezvoltator imobiliar poate însemna blocarea simultană a mai multor tranzacții, probleme de lichiditate și imposibilitatea respectării unor termene asumate.

Pentru un notar, un cadastrist, un avocat, o bancă sau o companie care utilizează informațiile ANCPI în activitatea curentă, poate însemna ore sau zile de muncă pierdute, angajați plătiți fără posibilitatea finalizării operațiunilor și clienți nemulțumiți.

Indisponibilitatea e-Terra a împiedicat înregistrarea cererilor noi și soluționarea celor deja depuse. În lipsa documentelor de carte funciară, nici tranzacțiile notariale dependente de aceste documente nu puteau fi finalizate în condițiile obișnuite.

Acestea nu sunt simple neplăceri. Sunt pierderi economice reale, suportate de persoane care nu au administrat infrastructura ANCPI, nu au selectat furnizorii de tehnologie, nu au stabilit procedurile de securitate și nu au avut posibilitatea să prevină incidentul.

Statul impune termene și dă amenzi dar când statul nu le respectă, cere înțelegere

Relația dintre instituțiile publice și mediul privat este profund asimetrică.

Când un cetățean sau o companie nu respectă un termen, statul poate aplica penalități, amenzi, dobânzi, anularea unei cereri sau pierderea unui drept. Explicația că sistemul informatic propriu nu a funcționat rareori înlătură consecințele.

Când sistemul statului devine nefuncțional, discursul se schimbă. Nu mai există termene ferme, penalități sau despăgubiri. Există „eforturi”, „procese complexe”, „reluare etapizată” și solicitări de înțelegere.

Această asimetrie trebuie contestată.

Statul nu poate pretinde disciplină digitală totală de la contribuabili, profesioniști și companii, dar să trateze propria incapacitate de a furniza un serviciu public esențial drept un eveniment fără consecințe patrimoniale.

Atacul cibernetic explică incidentul și nu înlătură răspunderea

Responsabilitatea directă pentru atac îi aparține, evident, atacatorului. Accesarea ilegală, distrugerea, criptarea sau sustragerea unor date sunt fapte care trebuie investigate și sancționate penal.

Dar existența unui atacator extern nu înlătură automat responsabilitatea instituției atacate.

Securitatea cibernetică nu presupune garanția imposibilă că niciun atac nu va reuși vreodată. Presupune capacitatea de:

• a reduce probabilitatea compromiterii;

• a detecta rapid accesul neautorizat;

• a limita propagarea atacului;

• a proteja copiile de siguranță;

• a menține funcțiile critice;

• a restaura serviciile într-un termen acceptabil;

• a comunica transparent efectele incidentului.

Întrebarea corectă nu este doar „cine a atacat ANCPI?”, ci și:

Cum a fost posibil ca un atac informatic să blocheze aproape întreaga infrastructură digitală a instituției, inclusiv serviciul de e-mail și principalul sistem operațional?

Dacă o instituție gestionează registrul proprietăților din România, un atac cibernetic nu poate fi tratat ca un eveniment imprevizibil. Este unul dintre riscurile principale pentru care infrastructura, procedurile, contractele și copiile de siguranță ar fi trebuit proiectate.

Datele „nu au fost afectate”. Dar ce înseamnă exact această afirmație?

ANCPI a susținut în mod repetat că bazele de date tehnice și juridice nu au fost afectate. Instituția a anunțat, de asemenea, migrarea aplicațiilor în Cloudul Guvernamental, sub coordonarea Serviciului de Telecomunicații Speciale.

Afirmația că bazele de date nu au fost „afectate” nu răspunde însă tuturor întrebărilor relevante.

Datele nu au fost modificate?

Nu au fost șterse?

Nu au fost criptate?

Nu au fost accesate?

Nu au fost copiate?

Nu au fost exfiltrate?

Sunt întrebări diferite, iar răspunsul la una dintre ele nu le rezolvă automat pe celelalte.

Publicația Public Record a documentat existența unui anunț prin care un atacator pretindea că oferă spre vânzare date atribuite ANCPI și copii ale unor servere GitLab care ar conține codul-sursă al unor aplicații. Același atacator susținea că a început ștergerea unor copii de siguranță. Aceste afirmații nu demonstrează singure autenticitatea, integralitatea sau amploarea datelor pretins obținute, dar sunt suficient de grave pentru a necesita un răspuns tehnic verificabil, nu doar o asigurare generală.

Poziția prudentă este că, în acest moment, nu este demonstrat public că întreaga bază cadastrală ar fi fost sustrasă. Dar nici simpla afirmație că datele „nu au fost afectate” nu poate substitui un raport criminalistic independent.

Publicul trebuie să afle ce sisteme au fost accesate, ce privilegii a obținut atacatorul, ce jurnale au fost analizate, ce date puteau fi consultate și pe ce elemente tehnice se bazează concluzia că informațiile proprietarilor sunt în siguranță.

Existența unui backup nu este același lucru cu existența unei recuperări funcționale

ANCPI a anunțat că dispunea de mai multe locații destinate copiilor de siguranță și că procesul de restaurare și consolidare era în desfășurare.

Aceasta este o informație importantă, dar incompletă.

Un backup nu este util doar pentru că există. Trebuie să fie:

• separat suficient de infrastructura compromisă;

• protejat împotriva modificării sau ștergerii;

• verificat periodic;

• restaurabil într-un mediu curat;

• testat prin exerciții reale de recuperare;

• dimensionat pentru un termen concret de reluare a activității.

În securitatea informatică, diferența dintre „avem backup” și „putem restaura în siguranță serviciul într-un termen acceptabil” este enormă.

Directiva europeană NIS2 include explicit continuitatea activității, gestionarea copiilor de siguranță, recuperarea în caz de dezastru, gestionarea crizelor, securitatea furnizorilor și evaluarea eficacității măsurilor de securitate printre obligațiile de bază ale entităților vizate. Directiva prevede și implicarea conducerii în aprobarea și supravegherea măsurilor de securitate cibernetică.

Legislația românească de transpunere cere entităților esențiale și importante să adopte măsuri proporționale cu riscul, să asigure trasabilitatea activităților, să evalueze furnizorii și să se supună auditurilor de securitate cibernetică.

Indiferent de încadrarea administrativă exactă a ANCPI în registrele NIS2, acestea reprezintă standardul minim rezonabil pentru o instituție care administrează una dintre cele mai importante infrastructuri informaționale ale statului.

Durata blocajului nu demonstrează singură că nu au existat copii de siguranță. Dar sugerează că trebuie verificată serios capacitatea reală de continuitate și recuperare, nu doar existența formală a unor echipamente sau contracte.

Contracte de securitate existau. Cine răspundea pentru rezultat?

Investigația Public Record arată că ANCPI a achiziționat servicii de securitate cibernetică prin două acorduri-cadru, în 2019 și 2023, cu valori de aproximativ 950.000 de lei și, respectiv, 1,5 milioane de lei.

Documentația celui mai recent contract descria soluția de securitate ca fiind de importanță națională și cu eficiență critică. Erau prevăzute servicii de suport permanent, intervenții tehnice, auditarea anuală a soluției și termene de reacție pentru incidente critice sau majore. Investigația a constatat însă că documentația analizată nu conținea cerințe explicite privind recuperarea datelor sau un sistem de backup. Furnizorul a susținut că nu avea obligația contractuală de a detecta orice atac împotriva infrastructurii ANCPI.

Aceste informații nu demonstrează automat vinovăția furnizorului. Securitatea unei infrastructuri complexe poate fi împărțită între mai multe servicii, echipe și contracte.

Ele demonstrează însă necesitatea unui audit contractual complet:

• Cine administra efectiv fiecare componentă?

• Cine monitoriza evenimentele de securitate?

• Cine trebuia să detecteze accesul neautorizat?

• Ce alerte au fost generate?

• Când au fost observate?

• Ce vulnerabilități erau cunoscute?

• Ce recomandări au rezultat din auditurile anuale?

• Au fost remediate?

• Cine era responsabil pentru continuitatea activității și restaurarea sistemelor?

• Au fost respectate termenele de intervenție?

• Existau sancțiuni contractuale și vor fi aplicate?

Fără aceste răspunsuri, sintagma „instituțiile competente investighează” riscă să devină mecanismul prin care răspunderea este împinsă într-un viitor nedefinit.

Migrarea în Cloudul Guvernamental nu răspunde la întrebarea esențială

Pe 23 iulie, premierul interimar Ilie Bolojan a declarat că transferul aplicației în Cloudul Guvernamental se apropia de finalizare, că urma o evaluare de securitate realizată de STS și un audit al noii infrastructuri. Tot atunci, reluarea activității era estimată pentru săptămâna următoare, ceea ce ar fi apropiat durata blocajului de două săptămâni.

Mutarea într-o infrastructură nouă poate fi o măsură necesară. Dar nu este un răspuns complet.

Un audit al noii infrastructuri poate arăta dacă noul mediu este suficient de sigur pentru repornire. Nu explică:

• cum a fost compromis mediul anterior;

• ce măsuri de protecție au eșuat;

• dacă vulnerabilitățile erau cunoscute;

• dacă atacul putea fi detectat mai devreme;

• dacă backup-urile au fost expuse;

• cine a verificat periodic planul de recuperare;

• cine răspunde pentru durata indisponibilității.

Reconstrucția sistemului nu trebuie să devină și ștergerea memoriei instituționale a incidentului.

O „lecție” fără sancțiuni este doar o formulă de comunicare

Premierul interimar a descris incidentul drept o „lecție” pentru autoritățile care gestionează date și a invocat necesitatea respectării standardelor, a personalului competent și a unor sisteme de protecție actualizate.

Dar cetățenii și companiile nu au nevoie ca statul să constate, după producerea pagubelor, că securitatea este importantă.

Au nevoie să afle:

• cine nu a respectat standardele;

• ce obligație concretă a fost încălcată;

• cine trebuia să verifice respectarea ei;

• ce măsuri disciplinare, administrative sau contractuale vor fi luate;

• cum vor fi evitate incidentele similare;

• cine suportă prejudiciile deja produse.

Fără răspundere, fiecare incident devine o „lecție”, fiecare eșec devine o „experiență”, iar fiecare pierdere suportată de public este transformată într-o contribuție involuntară la procesul de învățare al statului.

Este vorba despre o mușamalizare?

În acest moment, nu există suficiente dovezi publice pentru a afirma ca fapt că Guvernul sau ANCPI desfășoară o mușamalizare deliberată.

O asemenea acuzație ar necesita indicii că reprezentanții instituțiilor cunoșteau caracterul fals al unor declarații, au ascuns sau distrus probe, au împiedicat investigațiile ori au refuzat ilegal publicarea unor informații.

Există însă suficiente elemente pentru a vorbi despre minimizare, comunicare defensivă și opacitate instituțională:

• incidentul a fost prezentat inițial drept o problemă tehnică;

• efectele blocajului au fost numite „disconfort temporar”;

• instituția a emis asigurări generale privind siguranța datelor înainte de publicarea concluziilor investigației;

• nu a fost prezentată public o cronologie tehnică;

• nu au fost explicate cauzele compromiterii;

• nu au fost identificate responsabilități;

• nu a fost anunțat un mecanism de despăgubire;

• publicului i s-a recomandat să consulte exclusiv sursele oficiale, deși tocmai informațiile oficiale au rămas limitate și lipsite de detaliile necesare verificării independente.

Acesta nu este încă tabloul unei mușamalizări dovedite. Este însă tabloul unei administrații preocupate în primul rând să controleze percepția asupra crizei, nu să explice integral cauzele și consecințele ei.

Statul nu poate externaliza toate pierderile

Pe 23 iulie, premierul a susținut posibilitatea prelungirii termenului pentru anumite contracte care riscau să piardă aplicarea cotei reduse de TVA din cauza blocajului ANCPI.

O asemenea prelungire este necesară, dar acoperă numai o parte dintre efecte.

Rămân neacoperite:

• cheltuielile suplimentare de finanțare;

• prelungirea contractelor de credit;

• expirarea unor aprobări;

• penalitățile sau avansurile aflate în litigiu;

• costurile notariale și juridice repetate;

• orele de muncă pierdute;

• blocarea activității profesioniștilor și companiilor;

• amânarea încasărilor;

• costurile reorganizării unor tranzacții;

• pierderile produse de incapacitatea respectării unor termene comerciale.

Nu toate aceste pierderi pot fi imputate automat ANCPI. Fiecare prejudiciu presupune dovedirea existenței, întinderii și legăturii de cauzalitate.

Dar statul are obligația morală și administrativă de a crea cel puțin un mecanism prin care prejudiciile să poată fi declarate, documentate, evaluate și, acolo unde se constată culpa instituțională, compensate.

Altfel, statul își păstrează beneficiile digitalizării când sistemele funcționează, dar transferă integral riscurile digitalizării asupra publicului atunci când sistemele se prăbușesc.

Ce trebuie să publice autoritățile

Pentru ca acest caz să nu fie închis prin câteva comunicate liniștitoare, autoritățile ar trebui să publice, după protejarea informațiilor care ar putea facilita alte atacuri:

1. Cronologia completă a incidentului, de la primul acces neautorizat identificat până la oprirea sistemelor.

2. Vectorul inițial de compromitere și vulnerabilitățile exploatate, cel puțin după remedierea lor.

3. Sistemele și conturile afectate, nivelul de acces obținut și durata prezenței atacatorului în infrastructură.

4. Evaluarea exfiltrării datelor, inclusiv metodologia pe baza căreia s-a concluzionat că bazele tehnice și juridice nu au fost afectate.

5. Situația copiilor de siguranță, modul în care au fost izolate și rezultatele ultimelor teste de restaurare efectuate înainte de atac.

6. Obiectivele de recuperare asumate: în cât timp trebuiau restabilite sistemele și ce volum de date putea fi pierdut conform planurilor aprobate.

7. Rapoartele auditurilor de securitate, într-o formă anonimizată și curățată de detalii exploatabile.

8. Contractele și responsabilitățile furnizorilor, împreună cu evaluarea respectării obligațiilor asumate.

9. Măsurile administrative și disciplinare, dacă sunt constatate deficiențe de management, monitorizare sau control.

10. Mecanismul de protejare și despăgubire a persoanelor afectate, inclusiv prelungirea automată a termenelor care nu au putut fi respectate din cauza indisponibilității sistemelor.

Un audit secret, ale cărui concluzii sunt rezumate într-o singură frază de tipul „datele sunt în siguranță”, nu este suficient pentru restabilirea încrederii.

Concluzie: succesul a fost al hackerului, eșecul aparține exclusiv statului

Conducerea ANCPI, furnizorii contractați și instituțiile care aveau obligația de supraveghere trebuie să explice de ce un atac previzibil a putut bloca pentru atât de mult timp o infrastructură esențială.

Trebuie stabilit dacă au existat vulnerabilități cunoscute și neremediate, dacă planurile de continuitate au fost adecvate, dacă backup-urile au fost testate, dacă furnizorii și-au respectat obligațiile și dacă managementul a exercitat controlul necesar.

Mai ales, trebuie recunoscut că efectele incidentului nu au fost suportate în principal de instituție.

Salariile personalului public au continuat să fie plătite. Bugetele instituțiilor nu au fost suspendate. Conducătorii lor nu au plătit din fonduri proprii costurile blocajului.

Factura a fost trimisă, fără acord și fără procedură de compensare, către cetățeni, profesioniști și companii. Pentru aceștia, pierderile nu sunt un „disconfort temporar” ci sunt bani, termene, contracte, investiții și ore de muncă pierdute.

Atunci când statul numește toate acestea „disconfort” sau "lecție", problema nu mai este doar securitatea informatică ci este felul inechitabil în care instituțiile publice și guvernul își înțeleg responsabilitatea față de cei pe care ar trebui să îi servească.