INVESTIGAȚIE Atacul cibernetic care a blocat o lună piața imobiliară din România a fost anticipat de existența pe internet a mii de parole de notari, avocați, ingineri și funcționari publici

Parolele angajaților Agenției Naționale de Cadastru (ANCPI) și ale cetățenilor români care foloseau aplicațiile instituției erau expuse pe Internet înainte să aibă loc atacul din iulie 2026, arată documentarea realizată de HotNews, care a putut consulta aceste parole cu ajutorul unui instrument care indexează date personale expuse pe Internet și Dark Web.

• Pe internet se găsesc și astăzi parolele folosite de mii de utilizatori obișnuiți, care nu sunt angajați ai ANCPI și care au folosit aplicațiile ANCPI în interes personal sau profesional. 
• Aceștia sunt reprezentanți ai instituțiilor publice (primării, consilii locale) sau profesioniști din diverse domenii (notari, avocați, ingineri, arhitecți). 
• Am vorbit cu unii dintre oameni, care au ajuns chiar să fie șantajați după ce hackeri au intrat în posesia datelor lor, obținute prin pătrunderile în sistemele ANCPI.

Mai mulți angajați ANCPI responsabili cu infrastructura informatică a instituției aveau parolele expuse pe Dark Web cu ani înainte ca instituția să fie atacată cibernetic de un grup de hackeri intitulat „ByteToBreach”. 

HotNews a descoperit aceste informații secrete prin intermediul unui motor de căutare folosit de jurnaliști, cercetători și instituții în domeniul securității cibernetice pentru a analiza date confidențiale expuse public, pe Internet sau Dark Web, ca urmare a unor breșe de securitate. 

De-a lungul anilor, vulnerabilitățile infrastructurii informatice au expus public parolele a mii de utilizatori din afara instituției – persoane fizice, profesioniști din domeniul imobiliar, instituții publice – care au folosit aplicațiile ANCPI pentru operațiuni de cadastru și carte funciară.

Chiar și prima analiză efectuată de Directoratul Național de Securitate Cibernetică (DNSC), confirmă comportamentul neprofesionist în interiorul instituției de stat. Concluziile raportului confirmă vulnerabilitatea descoperită de HotNews: angajații cu acces la echipamente esențiale foloseau și reutilizau aceleași parole slabe. 

Aceste parole erau ușor de decriptat, iar autentificarea multifactor lipsea. Autentificarea multifactor e metodă de securitate prin care identitatea unui utilizator este verificată în mai multe feluri înainte de a i se permite accesul la cont: de pildă, combinația e-mail sau mesaj pe telefon.

Ce s-a întâmplat în iulie 2026

Atacul cibernetic din 14 iulie 2026 asupra infrastructurii informatice a ANCPI a blocat aproape o lună piața imobiliară din România. S-au oprit recepțiile cadastrale, intabulările, eliberarea de extrase de carte funciară și de autorizații de construire. Toate sunt operațiuni esențiale pentru piața imobiliară care depindeau de buna funcționare a platformelor afectate de atac. 

Aplicația e-Terra, grav afectată de atac, a fost repornită parțial pe 11 august 2026. 

Ruta pe care au intrat

Raportul DNSC despre incident arată că atacatorii au profitat inițial de o vulnerabilitate a sistemului de autentificare, OpenAM, despre care se știa din 2021. Raportul a fost scurs în spațiul public deși purtătorul cuvânt al instituției spune că nu avea caracter public.

OpenAM era folosit de ANCPI pentru logarea utilizatorilor și nu mai fusese actualizat de ani de zile, arată autorii analizei DNSC. 

De ce a durat atât remedierea

Raportul arată că intrarea în sistemele informatice ale instituției a început cu patru zile înainte ca DNSC să fie alertat de Eduard Gherghe, directorul departamentului de Infrastructură Informatică al ANCPI.

Remedierea a durat atât pentru că ANCPI a sesizat atacul abia după ce sistemele sale informatice au început să nu mai funcționeze. Paul Șerban, expert în securitate cibernetică, a parcurs raportul DNSC despre atac și a explicat pentru HotNews de ce crede că instituția a avut o reacție atât de întârziată. Pentru început, sistemul de securitate care ar fi trebuit să protejeze serverele ANCPI de acțiuni suspecte din exterior înregistra date de trafic numai pentru 7 minute. 

„Atacatorul efectiv a intrat cu ciocanul, cu barosul și a început să dărâme pereții pe acolo. Și tot le-a luat patru zile să-și dea seama”, susține Paul Șerban, expert în cybersecurity. 

Paul Șerban, expertul consultat de redacție este plătit de companii private pentru a le testa sistemele de securitate cibernetică prin mijloace pe care le-ar folosi și un hacker. 

„Erau orbi”

În mod normal, susține specialistul, înregistrările traficului suspect trebuiau să fie preluate de alte sisteme și apoi transformate, pe baza unor reguli prestabilite, în niște alerte. Or, din raportul DNSC reiese că software-ul care ar fi trebuit să gestioneze astfel de evenimente era abia în faza de testare, nefiind legat la niciun sistem. „Deci ei erau orbi”, spune Paul Șerban.

Odată infiltrați în sistemul de autentificare, atacatorii au decriptat parole stocate acolo și au intrat în celelalte sisteme interne ale ANCPI. 

Parole slabe

Raportul DNSC susține că parolele utilizate de administratori erau slabe, ușor de spart, și refolosite pentru intrarea în mai multe sisteme care alcătuiesc infrastructura IT a Agenției Naționale de Cadastru și Publicitate Imobiliară. 

Odată obținută o singură parolă, atacatorii s-au putut extinde rapid către „alte componente critice ale infrastructurii”, fără a mai trebui să exploateze în mod separat posibilele vulnerabilități ale acestora. 

Grupul de atacatori – identificat de DNSC ca „ByteToBreach” și suspectat că ar avea origini algeriene sau grecești – este descris în raport drept o „amenințare cibernetică matură” care deține capabilității tehnice ce „acoperă întregul lanț de atac”. 

Punctele slabe ale sistemului informatic puteau fi exploatate și de cineva fără abilități de hacker

„Nu a fost un atac greu. Am lucrat trei zile cu normă întreagă în weekend, plus încă o zi de luni”, a afirmat, într-un interviu acordat postului Antena 1, un hacker care susține că s-ar afla în spatele atacului. 

Dar datele de logare ale mai multor administratori ai infrastructurii informatice ANCPI erau compromise cu mult înainte ca grupul ByteToBreach să-și înceapă călătoria clandestină prin sistemele instituției. Unul dintre administratori este menționat chiar în raportul DNSC: Cristian Despa, un inginer de sistem din Alba Iulia care avea un „nivel foarte ridicat de control” asupra obiectelor care aparțin domeniului web „ancpi.ro”. 

Ce am descoperit 

HotNews a folosit un instrument OSINT și a obținut mai multe probe despre precaritatea sistemelor atacate. Nu dăm numele instrumentului, tocmai ca să nu ușurăm eventualele încercări de a descoperi date personale, obținute ilegal de hackeri și postate pe Dark Web.

Acest instrument obține informațiile cu ajutorul unor boți/programe automate de scanare a site-urilor publice și a Dark Web-ului, deci datele ANCPI circulau deja pe Internet, platforma doar le-a indexat și centralizat într-un singur loc. 

Trebuie precizat că instrumentul nu verifică acuratețea datelor pe care le indexează, deci nu poate garanta că, de exemplu, o parolă descoperită acolo mai funcționează sau a funcționat vreodată. 

Cum am verificat

HotNews a făcut însă parte din această verificare. Redacția a putut confirma, cu ajutorul platformei haveibeenpwned.com, că datele vizate au fost compromise. „Have I Been Pwned” este un instrument gratuit care îi permite oricui să verifice dacă o adresă de e-mail folosită pentru a se înregistra pe diferite site-uri a fost expusă, cu tot cu parolă, în urma unei breșe de securitate. 

Căutarea e-mail-ului de muncă folosit de Cristian Despa, specialistul IT menționat în raportul DNSC, produce un singur rezultat: un fișier text cu date confidențiale obținute printr-un program de tip infostealer. 

Acesta este conceput să fure din browserul utilizat de computerul infectat (n.r. Google Chrome, în cazul acesta) parole, cookie-uri de sesiune care permit acces la conturi fără a mai fi nevoie de parolă, numere de carduri bancare, chei către portofele digitale și alte informații relevante despre sistemul infectat, precum istoricul navigării pe Internet și adresa IP. 

Slăbiciunile erau mult mai vechi. Și există probe pentru acest lucru.

Oricine putea intra, contra unei sume

Fișierul de date compromise a fost indexat de instrumentul folosit pentru documentare în 18 ianuarie 2024, cu doi ani și jumătate înainte ca sistemele informatice ANCPI să fie atacate de gruparea ByteToBreach. 

Accesul la conținutul fișierului este restricționat utilizatorilor simpli, care nu au achiziționat o licență premium a instrumentului OSINT folosit de redacție (n.r. prețul unui abonament pleacă de la câteva mii de euro pe an). Însă un actor statal ostil, pentru care suma e infimă, ar fi putut accesa oricând, din 2024 încoace, fișierul care conține date despre inginerul Cristian Despa. 

În același fișier apare și e-mail-ul de muncă al altui IT-ist din ANCPI. HotNews a decis să nu dea numele descoperite, cu excepția celui pe care DNSC l-a semnalat. E greu de evaluat, în acest moment, care este responsabilitatea fiecărui om din IT de la ANPCI. Unele sarcini care țin de securitate nu erau la ei, ci la firme externe.

Publicați cu nume și prenume, ei ar fi transformați, poate, în țapii ispășitori ai unei scurgeri unde contribuie mulți factori. Identitatea acestor angajați nu ar crește serviciul public al articolului, am apreciat noi. 

Specialiști IT din cadrul ANCPI cu parole aflate la un click distanță

Pe Dark Web apar datele de logare ale altor funcționari ANCPI responsabili de infrastructura informatică a instituției. 

Un angajat apare în 14 pachete de date personale expuse și indexate în perioada 2019-2025. 12 dintre aceste fișiere au putut fi accesate în integralitate de HotNews și conțin inclusiv parola folosită, la un moment dat, de angajatul ANCPI pentru e-mail-ul de la muncă. 

Este o parolă simplă, formată din nouă litere care împreună alcătuiesc două cuvinte comune ale limbii române. Un om obișnuit, fără abilități tehnice de hacker, le-ar putea ghici cu ușurință. 

Alt angajat, de la o filială ANCPI din sudul țării, se află într-o situație similară. E-mail-ul lui de muncă apare în 17 pachete de date compromise și indexate în același interval de timp, 2019-2025, la fel ca în cazul colegului său.  

Fișierele conțin parole folosite de angajat pentru a se loga, cu ajutorul adresei de muncă, pe diferite platforme, inclusiv pe serverul de e-mail al domeniului ancpi.ro. 

Deși puțin mai complicate decât datele de logare descoperite în cazul colegului (n.r. conțin și caractere speciale, respectiv numerice), parolele folosite de acest angajat nu corespund nici ele standardelor de siguranță din domeniu. 

În ambele situații, HotNews a putut confirma cu ajutorul haveibeenpwned.com că adresele de e-mail instituționale folosite de cei doi IT-iști apar în mai multe breșe de date, unele chiar mai vechi decât cele descoperite inițial. 

„În astfel de situații, când parolele sunt simple și au fost scurse deja, prin alte breșe de securitate, ai putea zice chiar că atacatorul s-a complicat”, susține Paul Șerban. 

DNSC știa și el

Teoretic, testarea repetată a unor parole până când una dintre ele funcționează (n.r. „credential stuffing”) se poate dovedi un pariu riscant. Dar echipamentele ANCPI stocau înregistrări de evenimente pentru un interval de numai 7 minute.

În plus, traficul suspect nu genera oricum alerte, pentru că sistemul care ar fi trebuit să facă asta nu era încă implementat. 

De altfel, DNSC știa deja că ANCPI și alte instituții ale statului sunt vulnerabile din acest punct de vedere. Într-un interviu acordat postului public de radio, directorul instituției, Dan Cîmpean, a declarat că în atacuri de tipul acesta hackerii folosesc inclusiv credențiale de utilizatori care fie sunt compromise, „fie au fost publicate în trecut pe Internet”. 

HotNews i-a contactat pe angajații ANCPI expuși, dar până la ora publicării, aceștia n-au răspuns întrebărilor redacției. 

Parolele folosite de mii de utilizatori ai aplicațiilor ANCPI erau deja expuse public

Vulnerabilitatea instituției nu se oprește la aceste cazuri punctuale. 

O căutare cu același instrument OSINT după domeniul „mail.ancpi.ro”, serviciul de poștă electronică al instituției, generează sute de fișiere ce conțin date confidențiale compromise. Printre aceste date se găsesc sute de adrese de e-mail instituționale ale căror parole fuseseră publicate pe Internet înainte să aibă loc atacul cibernetic din iulie 2026. 

„Datele cetățenilor nu au fost extrase de hackeri. Nu avem indicii că au fost accesate. Au fost accesate doar aplicațiile care rulează informații de pe site-ul oficial. Bazele de date ale cetățenilor sunt pe servere la care hackerii nu au avut acces”, asigura, la câteva zile după atacul din iulie 2026, directorul general al ANCPI, Alexandru Laurențiu Blaga.

Datele multor cetățeni români erau deja compromise

Cu ajutorul instrumentului OSINT folosit de redacție se găsesc astăzi parolele folosite de mii de utilizatori obișnuiți, care nu sunt angajați ai ANCPI, dar le foloseau pentru a se loga în aplicațiile instituției – e-Terra, ePayment, MyEterra, Geoportal etc. 

Vorbim despre notari, reprezentanți ai instituțiilor publice (primării, consilii locale), profesioniști din diverse domenii (avocați, ingineri, arhitecți) și persoane fizice care au folosit aplicațiile ANCPI în interes personal sau profesional. 

În multe cazuri, datele respectivilor erau găzduite de serverele vizate și de atacul din iulie 2026: OASSL și OpenAM, ambele menționate în raportul DNSC despre incident. 

Câteva exemple

HotNews a documentat cazul unui funcționar public din județul Cluj ale cărui date de logare în aplicațiile ANCPI au fost expuse public înainte de atacul cibernetic din iulie 2026. 

Adresele lui de e-mail – cea instituțională și cea personală – apar, cu tot cu parolele folosite pentru a se loga în aplicații precum e-Terra, Geoportal și ePayment, în 19 fișiere de date compromise și indexate de motorul de căutare în perioada 2024-2026.  

Și în cazul oamenilor din afara ANCPI, păstrăm confidențiale numele. 

HotNews a trimis solicitări către ANCPI și DNSC, dar cele două instituții n-au răspuns până la ora publicării acestui articol. Vom reveni cu punctele lor de vedere imediat ce le vom primi. 

L-au șantajat

Contactat telefonic pentru a lămuri împrejurările în care datele au ajuns pe Internet, funcționarul a declarat că ele au fost furate dintr-un cont de Google Chrome în 2024, după ce calculatorul lui a fost infectat cu un virus. 

El a aflat despre incident chiar de la atacatori, care i-au cerut bani și au încercat să-l șantajeze. 

Funcționarul public își amintește că platformele ANCPI nu ofereau nici atunci opțiunea autentificării multifactoriale. Așadar, dacă nu și-ar fi schimbat parolele imediat cum a aflat despre incident, autorii atacului ar fi putut accesa nestingheriți istoricul operațiunilor întreprinse de bărbat prin aplicațiile instituției. 

Un cabinet notarial din Constanța

Într-o situație similară este și un cabinet notarial din județul Constanța ale cărui adrese de e-mail apar în mai multe pachete de date compromise indexate de instrumentul folosit pentru documentare. Contactați de HotNews, notarii habar n-aveau că parolele folosite pentru a se conecta la aplicațiile ANCPI au fost expuse public. Confirmă că, înaintea atacului cibernetic din iulie 2026, platformele instituției nu ofereau opțiunea autentificării multifactoriale. 

Primăria din Buzău

Al treilea caz documentat de HotNews privește o primărie din județul Buzău. Parola utilizată de instituție (n.r. numele unei angajate) pentru a se loga în Registrul Agricol Național a fost expusă public încă din anul 2023. Primarul a confirmat că datele găsite de redacție au fost folosite pentru a accesa platformele ANCPI, dar spune că nu știa nimic despre expunerea lor publică. 

HotNews l-a întrebat pe edil la ce informații ar fi avut acces cineva care ar fi obținut datele de logare ale instituției. „Ar fi văzut titluri de proprietate de pe raza județului. Sunt date personale. Mă rog, unii sunt defuncți, alții sunt în viață, dar da, sunt date cu caracter personal”, a recunoscut politicianul. 

Cine lucrează pentru sistemele ANCPI?

Publicația independentă Public Record a identificat trei contracte de mentenanță a sistemelor informatice. În ultimii opt ani, ANCPI a cheltuit 68 de milioane de lei în acest sens. Banii au ajuns la trei firme diferite, dintre care două trebuiau, conform caietelor de sarcini, să testeze siguranța sistemelor și să intervină în cazul unui atac cibernetic. 

Firmei Wing Leading Edge SRL i-a fost atribuit începând cu 2023 contractul de mentenanță a aplicației e-Terra, folosită pentru gestionarea cadastrului/cărții funciare și una dintre principalele ținte ale atacului din iulie. 

Conform caietului de sarcini, firma trebuia să monitorizeze funcționalitatea generală a sistemului și să se asigure că softurile de securitate sunt la zi și își fac treaba – inclusiv prin „teste specifice de penetrare din exteriorul rețelei”. 

Conform raportului DNSC, softurile folosite de serverele ANCPi pentru a opera nu erau actualizate și nici nu erau protejate prin soluții antivirus specifice, atacatorul din iulie profitând de o vulnerabilitate despre care se știa din 2021. Singurele protejate de programe antivirus erau calculatoarele angajaților ANCPI, softurile fiind cumpărate prin firma IT ABOUT IT, conform datelor SEAP centralizate de platforma Sicap.ai. 

„Ca pentester, când mă aflu într-o rețea și identific anumite servicii și servere, primul lucru pe care îl fac este să aflu ce versiune este și dacă are vulnerabilități și expuneri comune (n.r. CVE) asociate cu el. Un pentester care face mai mult decât să ruleze o scanare, cu siguranță ar fi observat sistemele neactualizate”, susține Paul Șerban, cunoscut în branșă ca „LazyTitan”, când îi arătăm caietul de sarcini. 

Deși au încasat peste 11 milioane de lei din acest contract, reprezentanții Wing Leading Edge au refuzat să discute cu jurnaliștii Public Record despre testele efectuate, invocând „obligații contractuale de confidențialitate”. 

Firma Esri Romania SRL, responsabilă pentru mentenanța informatică a aplicației Geoportal, avea de asemenea obligația de a evalua sănătatea sistemului prin teste de penetrare periodice, potrivit caietului de sarcini. Din noiembrie 2023, compania a primit pentru acest contract peste 15 milioane de lei de la statul român. Nici reprezentanții ei n-au răspuns solicitărilor.