Atacul cibernetic care a paralizat Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) în iulie 2026 reprezintă, potrivit Directoratului Național de Securitate Cibernetică (DNSC), unul dintre cele mai grave incidente de securitate documentate vreodată într-o instituție publică din România. Analiza tehnică intermediară DNSC-T66-v2026.07.22, publicată între 22–24 iulie, descrie o compromitere sistemică a infrastructurii, cu efecte operaționale majore și consecințe juridice semnificative.

1. Un atac ransomware cu impact național

Incidentul a fost detectat pe 13 iulie 2026, când atacatorii au obținut acces neautorizat la centrul de date ANCPI și au șters aproximativ 100 de mașini virtuale. În ziua următoare, întreaga infrastructură a devenit indisponibilă – inclusiv aplicația e‑Terra, esențială pentru operațiuni notariale, bancare și de carte funciară.

Raportul DNSC notează explicit „afectarea disponibilității întregii rețele deținută de ANCPI”, ceea ce a blocat activitatea instituției și a generat întârzieri majore în serviciile publice dependente de sistemele sale.

2. Cum au reușit atacatorii să compromită infrastructura

Acces la vCenter și control total asupra rețelei

Atacatorii au compromis serverele de autentificare și au obținut acces la VMware vCenter – punctul central de administrare a celor 1.083 de mașini virtuale ale instituției. DNSC arată că atacatorul „a ajuns, practic, în poziția unui administrator al infrastructurii”.

Aplicații critice afectate

Printre sistemele compromise se află:

• e‑Terra și MyEterra
• ePayment
• Registrul Proprietarilor
• Registrul Agricol Național
• Registrul Nomenclaturilor Stradale
• Geoportalul ANCPI
• Aplicațiile utilizate de primării

Extragerea codului sursă

Atacatorii au accesat GitLab și repository‑urile interne, inclusiv proiectele eTerra, GIS, ePayment și module de securitate. Raportul confirmă compromiterea unui fișier Java critic folosit la procesarea plăților – o vulnerabilitate cu efecte pe termen lung, deoarece codul sursă poate fi folosit pentru dezvoltarea de exploituri viitoare.

Date personale sustrase

DNSC confirmă extragerea a aproximativ două milioane de înregistrări ale utilizatorilor platformei de plăți, conținând nume, e‑mailuri, identificatori și hash‑uri de parole. „Este vorba, în principal, despre utilizatori externi ai sistemului”.

Cauzele tehnice: un cumul de deficiențe

Raportul evidențiază o serie de vulnerabilități grave:

• Lipsa antivirusului pe servere
• Sisteme nepatch‑uite ani de zile (OpenAM, GitLab, VMware vCenter 6.0, FortiSIEM, IBM WebSphere)
• Parole reutilizate și credențiale compromise
• Logging insuficient – firewall-ul WAF păstra jurnalele doar 7 minute

Aceste deficiențe au creat un mediu în care un atacator motivat financiar a putut obține control aproape total asupra infrastructurii.

3. Elemente pozitive: baza de date principală și backup-ul

DNSC notează că nu există dovezi ale compromiterii bazei de date Oracle Exadata și că exista un backup replicat la fiecare 4 ore către centrul de date din Brașov – element care permite restaurarea serviciilor fără pierderea bazei principale de cadastru.

4. Implicațiile juridice ale incidentului

• 

4.1. Răspunderea instituțională în cadrul NIS2

ANCPI este o entitate esențială în sensul legislației naționale de securitate cibernetică (OUG nr. 104/2021, OUG nr. 155/2024, Legea nr. 124/2025). Constatările DNSC – lipsa antivirusului, sisteme neactualizate, monitorizare insuficientă – indică o nerespectare a standardului minim de diligență impus de NIS2.

Consecințele pot include:

• sancțiuni contravenționale aplicabile entității;
• răspunderea conducerii pentru neluarea măsurilor de management al riscului cibernetic.

4.2. GDPR: notificări obligatorii și posibile sancțiuni

Extragerea celor două milioane de înregistrări constituie o încălcare a securității datelor personale (art. 4 pct. 12 GDPR). ANCPI are obligația:

• să notifice ANSPDCP în 72 de ore (art. 33 GDPR);
• să informeze persoanele vizate dacă riscul este ridicat (art. 34 GDPR);
• să documenteze intern incidentul.

Deficiențele tehnice constatate de DNSC sunt relevante și pentru art. 32 GDPR (securitatea prelucrării). Nerespectarea obligațiilor poate atrage amenzi și acțiuni în despăgubire din partea persoanelor afectate.

4.3. Aspecte de drept penal

Faptele atacatorilor se circumscriu infracțiunilor informatice prevăzute de Codul penal (art. 360–366): acces ilegal, alterarea datelor, perturbarea funcționării sistemelor. În paralel, se ridică întrebarea unei eventuale răspunderi penale a conducerii instituției, dacă se confirmă că avertismente tehnice au fost ignorate – aspect aflat exclusiv în competența organelor de urmărire penală.

4.4. Răspunderea civilă și patrimonială

Indisponibilitatea sistemelor poate genera prejudicii pentru notari, bănci, cadastriști sau persoane fizice. În aceste situații, răspunderea patrimonială a autorității poate fi angajată în temeiul Legii nr. 554/2004, cu condiția dovedirii faptei ilicite, prejudiciului și legăturii de cauzalitate.

4.5. Răspunderea contractuală față de furnizorul IT

Dacă furnizorul de mentenanță nu a implementat măsurile de securitate prevăzute în contract (antivirus pe servere, actualizări), acesta poate răspunde contractual. Totodată, autoritatea contractantă poate fi vizată pentru deficiențe în monitorizarea execuției contractului – aspect susceptibil de verificare de către Curtea de Conturi.

5. Concluzii

Raportul DNSC descrie un incident critic, rezultat nu dintr-o vulnerabilitate singulară, ci dintr-un cumul de deficiențe structurale. Atacul asupra ANCPI se află la intersecția a patru paliere de răspundere: securitate cibernetică, protecția datelor, drept penal și răspundere civilă. Evaluarea completă a incidentului și stabilirea eventualelor răspunderi individuale sunt încă în desfășurare.