Analiză a diferenței dintre tentative, incidente detectate și atacurile care ajung să fie făcute publice. – Delia NECULA
Știrea despre Ministerul Economiei și Finanțelor din Franța a circulat deja intens: acolo, un atacator a reușit să acceseze și să extragă date ale contribuabililor din sistemele Direcției Generale a Finanțelor Publice (DGFiP). Potrivit informațiilor confirmate ulterior de autoritățile franceze, incidentul a afectat aproximativ 678.000 de persoane și entități.
Da, se întâmplă și la ei, nu doar la ANCPI în Romania. Reacțiile au fost previzibile: „iar un atac”, „iarăși o breșă majoră”, „Europa este sub asediu”. Este oare? Și este vorba doar despre Europa?
După multiple discuții cu colegii mei și după ce am citit zeci sau sute de articole despre incidente cibernetice, cred că reacția nu mai e o surpriză. Atacurile cibernetice sunt o realitate zilnică. Așa că întrebarea pe care o ridic este: câte dintre ele nu ajung niciodată la știri?
Detaliul care mie mi se pare cel mai relevant în cazul francez nu este doar faptul că incidentul s-a produs, ci cronologia. Accesul neautorizat a avut loc la finalul lunii iunie. Activitatea suspectă a fost oprită atunci, dar extragerea datelor nu a fost identificată ca atare. Publicul a aflat abia în august, după ce atacatorul și-a revendicat reușita și a oferit datele spre vânzare. Între cele două momente există o fereastră de aproximativ 6 săptămâni în care nimeni din afara instituției nu știa ce se întâmplase. Iar acest decalaj dintre compromitere, detecție și comunicare este mult mai comun decât ne place să credem: M-Trends 2026 plasează mediana globală a intervalului dintre compromitere și detecție la 14 zile pentru 2025, însă diferența pe surse de detecție este cea care contează – aproximativ 9 zile când organizația își descoperă singură incidentul, față de 25 de zile când află din exterior.
Trei realități diferite, nu un singur număr
Când cineva întreabă „câte atacuri sunt, de fapt?”, răspunsul pe care l-aș da este: întrebarea este incompletă, pentru că există trei niveluri diferite de realitate și le confundăm constant.
Primul nivel este cel al tentativelor: phishing, scanări automate, încercări de autentificare, exploatarea vulnerabilităților și inginerie socială. Toate acestea se întâmplă non-stop, la o scară pe care nicio știre nu o poate reflecta. Oricine a avut acces la un SIEM sau la logurile unui firewall expus la Internet știe exact despre ce vorbesc: volumul este absurd de mare și complet invizibil pentru oricine nu se uită direct la el.
Al doilea nivel este cel al incidentelor detectate. Nu tot ce trece de prima linie este observat imediat. Uneori semnalul există în loguri, dar nimeni nu îl investighează până nu este prea târziu. Alteori, organizația află nu din propriile sisteme, ci de la un partener, de la o autoritate, de la un cercetător independent sau, ca în cazul din Franța, direct de la atacator, atunci când acesta decide să se laude public.
Al treilea nivel, cel mai mic dintre toate, este cel al incidentelor care devin publice. Aici ajung mai ales cazurile care produc o întrerupere vizibilă, afectează mulți oameni, implică date sensibile, declanșează o obligație legală de notificare sau lovesc un nume suficient de cunoscut încât presa să fie interesată. Să ne amintim, de exemplu, incidentul care a afectat sistemele ANCPI și a blocat sau întârziat efectiv tranzacții imobiliare în România.
ENISA a analizat 4.875 de incidente pentru perioada iulie 2024 – iunie 2025. Este o cifră utilă, dar nu este un recensământ. Chiar metodologia agenției arată că analiza se bazează în principal pe surse deschise și pe informații anonimizate, furnizate voluntar de statele membre și de partenerii ENISA. Ceea ce nu este detectat, raportat sau observabil nu intră în statistică, oricât de oficială ar fi aceasta.
Europa nu duce lipsă de exemple – problema este că le uităm prea repede
Dacă ne uităm doar la ultimele luni, lista este deja lungă. În martie, Comisia Europeană a confirmat un atac asupra infrastructurii cloud care găzduia platforma Europa.eu, cu indicii de extragere de date. În aprilie, France Titres, agenția franceză responsabilă de documentele de identitate, a confirmat un incident separat; ancheta a dus inclusiv la cercetarea unui suspect de 15 ani. În iunie, INSEE, institutul național de statistică al Franței, a raportat compromiterea identităților și a datelor profesionale de contact pentru aproximativ 12.800 de angajați, foști angajați și membri ai unor corpuri profesionale asociate. Tot în iunie, Novo Nordisk a anunțat accesarea neautorizată a unor sisteme interne și copierea unor date limitate referitoare la participanți la studii clinice.
La începutul lunii august, Liechtenstein a oprit temporar registrul beneficiarilor reali după o breșă în care au fost copiate date asociate cu aproximativ 31.000 de companii, fundații și trusturi. În aceeași perioadă, gruparea Cl0p a revendicat extragerea de date de la aproape 50 de companii din întreaga lume, printre care Philips, Shell, GE și Fiserv, după exploatarea unor vulnerabilități din produsele PTC Windchill și FlexPLM, folosite în inginerie și producție. O revendicare de acest tip nu este automat o dovadă finală: organizațiile vizate au raportat situații diferite, iar amploarea pare încă necunoscută. Tiparul, însă, este limpede: o vulnerabilitate într-un produs utilizat pe scară largă poate transforma un singur punct slab într-o campanie cu zeci de victime.
Ce ar trebui să ne intereseze, dincolo de fiecare caz în parte, este că în spatele lor nu stă un singur tip de atacator. Avem criminalitate financiară clasică, spionaj, hacktivism, exploatare oportunistă a vulnerabilităților și, tot mai des, grupuri tinere pentru care reputația online și haosul produs contează aproape la fel de mult ca banii. Financial Times descrie fenomenul unor atacatori tineri, occidentali și imprudenți, folosind Scattered Spider și ecosistemul din jurul său drept exemple. La tipologia atacatorilor s-a adăugat, în ultimul an, și instrumentarul: Google Threat Intelligence Group a documentat primele familii de malware care apelează modele lingvistice în timpul execuției, nu doar în faza de dezvoltare – PROMPTFLUX, care își cere singur tehnici de ofuscare pentru a evita detecția pe bază de semnătură, și PROMPTSTEAL, atribuit unui actor statal și folosit în operațiuni reale – iar rapoartele din 2026 descriu trecerea de la experiment la utilizare la scară, inclusiv pentru inginerie socială personalizată și pentru extragerea de modele proprietare. Concluzia practică pentru orice companie nu este să profileze psihologic atacatorul, ci să accepte că nu își mai poate proiecta apărarea pentru un singur adversar previzibil.
De ce unele incidente devin știri, iar altele rămân complet îngropate
Am observat constant, în ultima perioadă, că vizibilitatea unui incident nu este dată neapărat de cât de sofisticat a fost din punct de vedere tehnic, ci de efectul lui în exterior. Un incident devine știre când blochează plăți sau servicii, când afectează milioane de oameni, când expune date medicale sau financiare, când lovește o instituție publică sau când cineva îl revendică spectaculos, ca în cazul Cl0p.
În schimb, un incident rămâne discret când este limitat rapid, când nu produce indisponibilitate vizibilă, când victima nu este un brand cunoscut sau când chiar organizația afectată comunică un impact limitat. Există și o reticență reputațională firească: multe organizații comunică strict minimul obligatoriu legal, niciun cuvânt în plus. Iar uneori explicația este mai simplă și mai îngrijorătoare: pur și simplu nu știu încă ce li s-a întâmplat.
Volumul de știri nu măsoară volumul atacurilor. Măsoară o combinație între capacitatea de detecție, impact, obligații de raportare, interes public și decizii de comunicare.
