25 de milioane de evenimente de securitate cibernetică în România. Cum arată ameninţările hibride ale Rusiei
Adaugă-ne ca sursă preferată în Google
Peste 25 de milioane de evenimente de securitate cibernetică, atacuri asupra administraţiei, sănătăţii şi infrastructurilor critice au avut loc în 2025, conform raportului anual realizat de Directoratul Naţional de Securitate Cibernetică (DNSC). Numărul incidentelor de phishing, fraudă şi compromitere a conturilor a crescut puternic, atacurile ransomware au înregistrat o majorare de peste 153%, iar infrastructurile publice şi private au fost vizate de campanii tot mai sofisticate, alimentate de inteligenţa artificială, deepfake, spoofing telefonic şi exploatarea vulnerabilităţilor software.
Raportul descrie un peisaj digital în care atacatorii nu mai urmăresc doar blocarea unor site-uri sau infectarea unor calculatoare, ci vizează direct banii, identitatea digitală, infrastructurile critice şi funcţionarea instituţiilor.
În analiza sa, DNSC apreciază că, la nivel de 2025, nivelul general al ameninţării cibernetice în România a fost „ridicat”. Instituţiile publice, companiile din energie, sănătate, transporturi, telecomunicaţii, sectorul financiar şi industria alimentară au fost expuse unor atacuri care au combinat vulnerabilităţi tehnice cu manipularea utilizatorilor.
Phishingul, principalul vector de atac
În 2025, DNSC a înregistrat 4.975 de incidente de tip phishing, faţă de 2.917 în 2024. Creşterea este de 70,6%, iar phishingul a ajuns să reprezinte 36,09% din totalul incidentelor raportate către Directorat.
Atacurile nu mai sunt construite, în principal, prin mesaje evidente, pline de greşeli gramaticale şi imagini rudimentare. Potrivit raportului, infractorii au început să trimită mesaje redactate corect în limba română, cu elemente grafice care reproduc fidel identitatea vizuală a unor bănci, instituţii publice sau companii cunoscute.
E-mailul nu mai este singurul canal utilizat. Campaniile sunt distribuite simultan prin servicii de mesagerie, reţele sociale şi platforme de comunicare. Un mesaj primit pe WhatsApp poate trimite utilizatorul către o pagină falsă de autentificare, iar datele introduse acolo pot fi folosite ulterior pentru fraude financiare sau pentru preluarea contului.
Un rol tot mai important îl joacă inteligenţa artificială. Instrumentele de generare automată a textului pot produce mesaje convingătoare, personalizate şi adaptate limbajului victimei. În unele situaţii, atacatorii pot imita inclusiv stilul de comunicare al unui coleg, al unui superior sau al unui reprezentant al unei instituţii.
Fraudele au crescut cu 91%
Incidentele de fraudă şi tentativă de fraudă au crescut de la 2.061 în 2024 la 3.937 în 2025, ceea ce reprezintă o majorare de 91%. Fraudele reprezintă 28,56% din totalul incidentelor raportate.
O parte dintre atacuri presupun impersonarea unor instituţii financiare, autorităţi sau angajaţi ai unor companii. Victima este sunată de pe un număr care pare legitim şi este informată, de exemplu, că există o tentativă de fraudă pe contul său. Pentru „blocarea” operaţiunii, i se solicită date personale, coduri de autorizare sau instalarea unei aplicaţii.
În alte cazuri, atacatorii se prezintă drept poliţişti, procurori, reprezentanţi ai băncilor sau angajaţi ai unor companii de curierat. Scopul este acelaşi: obţinerea unor date sau determinarea victimei să transfere bani.
Unele fraude au utilizat coduri QR şi transferuri către portofele de criptomonede accesate prin terminale ATM.
Compromiterea conturilor a crescut de peste patru ori
Cea mai spectaculoasă creştere a fost înregistrată în cazul incidentelor de compromitere a conturilor. Numărul acestora a crescut de la 248 în 2024 la 1.125 în 2025, adică o majorare de 353%.
DNSC explică faptul că multe dintre cazuri au fost generate de campanii de inginerie socială derulate prin aplicaţii de mesagerie. Una dintre metodele utilizate a fost mesajul care invita victima să voteze pentru o persoană într-un concurs online. După accesarea linkului, utilizatorului i se solicita introducerea unui cod de autentificare WhatsApp sau a altor date care permiteau preluarea contului.
Odată obţinut accesul, atacatorii puteau trimite mesaje frauduloase către lista de contacte a victimei. În acest fel, atacul se multiplica, deoarece mesajul venea de la un număr cunoscut şi părea credibil.
La baza fenomenului se află şi reutilizarea parolelor. O parolă folosită pe mai multe platforme poate fi testată automat de infractori după ce apare într-o bază de date compromisă. Această tehnică, cunoscută drept credential stuffing, nu presupune exploatarea unei vulnerabilităţi tehnice complexe, ci folosirea unor parole deja furate.
DNSC indică drept problemă şi lipsa autentificării multifactor sau configurarea deficitară a acesteia. O parolă puternică nu este suficientă dacă un cont poate fi accesat doar prin introducerea unei singure credenţiale.
Ransomware-ul a crescut cu peste 153%
Ransomware-ul a rămas una dintre cele mai grave ameninţări pentru organizaţiile din România. În 2025, DNSC a gestionat 256 de incidente majore de acest tip, iar comparativ cu anul precedent, categoria a crescut cu peste 153%.
Atacurile au afectat 22 de instituţii publice, 115 persoane fizice şi 119 persoane juridice sprijinite de Directorat. Modelul predominant a fost Ransomware-as-a-Service, prin care infrastructura şi instrumentele de atac sunt dezvoltate de un grup, iar operaţiunile sunt efectuate de afiliaţi.
Această descentralizare face ca atacurile să fie mai uşor de multiplicat. Un grup poate pune la dispoziţie malware-ul, infrastructura de comandă şi metodele de criptare, în timp ce alţi atacatori identifică victimele şi lansează operaţiunile.
Printre grupările monitorizate în România se numără LockBit, RansomHub, KillSec, Akira, Qilin, Safepay, Fog şi Lynx. Unele sunt asociate sau aliniate cu Federaţia Rusă, însă în mai multe cazuri originea exactă nu a putut fi confirmată.
Producătorul CocoRico, afectat de gruparea Akira
Unul dintre atacurile analizate de DNSC a vizat compania Aaylex ONE SA, cunoscută prin brandul CocoRico. Societatea, care are peste 2.000 de angajaţi şi operează în 36 de locaţii din nouă judeţe, a fost afectată de un atac atribuit grupării Akira.
Atacul a perturbat activităţi esenţiale precum contabilitatea, producţia, operaţiunile şi accesul la serverele de fişiere. DNSC estimează că accesul iniţial a fost obţinut, cel mai probabil, prin exploatarea unei vulnerabilităţi care afectează interfeţele web ale unor produse Cisco Adaptive Security Appliance şi Cisco Firepower Threat Defense.
Intervenţia specialiştilor a permis recuperarea a peste 66% dintre fişierele criptate. Printre datele recuperate s-au aflat baze de date necesare pentru continuitatea serviciilor operaţionale.
Atacul asupra Primăriei Capitalei
Un alt incident important a vizat Primăria Municipiului Bucureşti. Potrivit raportului DNSC, atacatorii au exploatat o vulnerabilitate de tip SQL injection a serverului GIS expus public şi a bazei de date asociate.
După compromiterea iniţială, atacatorii au efectuat mişcare laterală în infrastructură şi au ajuns la serverul Active Directory. Acolo au creat un cont de administrator, ceea ce le-a asigurat persistenţa în reţea.
Contul a fost folosit ulterior pentru accesarea serverului Microsoft Exchange şi implantarea fişierului Sliver.exe, un instrument utilizat pentru operaţiuni de exfiltrare şi menţinerea accesului într-o infrastructură compromisă.
Specialiştii DNSC au identificat şi eliminat programul maliţios. Directoratul a transmis, de asemenea, recomandări pentru securizarea sistemelor şi a adreselor de email.
O săptămână de blocaj la Apele Române
Administraţia Naţională Apele Române a fost afectată de un atac ransomware care a blocat aproape întreaga activitate a instituţiei, inclusiv activitatea structurilor teritoriale. Potrivit DNSC, instituţia nu şi-a putut desfăşura normal activitatea timp de aproximativ o săptămână.
În urma intervenţiei, specialiştii au recuperat integral datele de pe un server al Administraţiei Bazinale de Apă Jiu şi baza de date SQL Hidrolog, utilizată de dispeceri. Analiza tehnică a fost documentată într-un raport de investigaţii digitale.
Incidentul arată vulnerabilitatea instituţiilor care depind de sisteme informatice centralizate şi care nu dispun de suficiente mecanisme de continuitate operaţională. În cazul unor atacuri asupra administraţiei publice, consecinţele nu se limitează la pierderea unor fişiere, ci pot afecta direct serviciile oferite populaţiei.
Energie, cercetare şi sănătate
Complexul Energetic Oltenia a raportat un atac ransomware care a afectat aproximativ 20 de staţii de lucru şi 45 de servere. Reţeaua operaţională nu a fost afectată, iar producţia nu a fost perturbată.
Institutul Naţional de Cercetare-Dezvoltare pentru Ecologie Industrială a fost, de asemenea, victima unui atac ransomware.
Într-un caz care a vizat compania Junior Group din Constanţa, analiza criminalistică a indicat implicarea grupării LockBit. Datele criptate nu au putut fi recuperate. DNSC a stabilit că societatea folosea programe software piratate, inclusiv pentru servere şi securitate, fapt care a facilitat accesul atacatorilor.
Centrele de transfuzie sanguină din Maramureş şi Craiova au fost compromise prin atacuri atribuite LockBit 4.0.
O fraudă de peste 20.000 de euro prin compromiterea e-mailului
Atacurile nu au urmărit doar criptarea fişierelor. Uneori, infractorii au încercat să controleze conversaţiile comerciale şi să redirecţioneze plăţi.
Un astfel de caz a fost documentat la Tohan SA, companie din grupul industrial ROMARM, care activează în producţia de armament, muniţie şi echipamente pentru sectorul militar.
Atacatorii au compromis două adrese de email ale companiei şi au configurat reguli de redirecţionare a mesajelor. Prin această metodă au putut să intercepteze conversaţii şi să modifice documente transmise între parteneri.
În urma atacului, compania a efectuat transferuri bancare neautorizate în valoare totală de 20.148 de euro. DNSC a identificat mai multe programe maliţioase de tip spyware şi infostealer şi a transmis recomandări privind securizarea sistemelor şi a adreselor de email.
Acest tip de atac este dificil de observat, deoarece mesajele pot continua să circule aparent normal. Atacatorul nu trebuie să blocheze sistemele. Este suficient să monitorizeze conversaţiile şi să intervină în momentul în care apare o factură sau o instrucţiune de plată.
Peste 25 de milioane de evenimente detectate de senzorii DNSC
Senzorii instalaţi sau configuraţi de DNSC au înregistrat în 2025 un total de 25.307.028 de evenimente relevante de securitate cibernetică. Numărul este apropiat de cel din 2024, când au fost înregistrate 25.567.341 de evenimente, dar structura ameninţărilor s-a modificat.
Cele mai multe evenimente au fost asociate încercărilor de penetrare prin campanii de phishing: 7.251.708, faţă de 941.076 în 2024. Creşterea indică o intensificare majoră a campaniilor automate de phishing.
Au fost detectate şi 5.879.193 de încercări de penetrare prin brute-force, 5.315.696 de scanări pentru colectarea de informaţii şi 4.282.152 de evenimente asociate traficului nejustificat, utilizat pentru identificarea vulnerabilităţilor.
Încercările de penetrare prin exploatarea unor vulnerabilităţi au crescut de la 14.590 în 2024 la 292.117 în 2025. Şi traficul provenit de la adrese IP cu reputaţie îndoielnică a crescut, de la 860.790 la 1.034.700 de evenimente.
Datele DNSC indică o concentrare mai pronunţată a activităţilor maliţioase în ultima parte a anului. Directoratul apreciază că această evoluţie reflectă atât atacuri automatizate şi campanii coordonate, cât şi utilizarea unor vectori mai sofisticaţi.
Băncile şi curierii, cele mai vizate sectoare
Sectorul bancar a fost cel mai afectat, cu 71,09% din incidentele raportate în funcţie de sectorul economic. Majoritatea au fost atacuri de phishing care au vizat utilizatorii serviciilor financiar-bancare.
Serviciile poştale şi de curierat au fost al doilea sector ca număr de incidente, cu atacuri care au exploatat în special încrederea clienţilor. Mesajele false despre colete, taxe de livrare sau adrese incomplete au fost folosite pentru a colecta date bancare.
Infrastructurile pieţei financiare au reprezentat 6,34% din incidente, iar administraţia publică 3,13%. Sectorul energetic a reprezentat 2,90%, sănătatea 2,30%, transporturile 1,43%, iar infrastructura digitală 0,78%.
Deşi sectorul energetic a înregistrat un număr mai mic de incidente, DNSC subliniază că impactul potenţial al acestora este mult mai mare. O compromitere a sistemelor IT sau OT poate afecta continuitatea unor servicii esenţiale.
În sănătate, atacurile ransomware şi SQL injection au fost printre cele mai relevante. DNSC a transmis recomandări de remediere către 129 de organizaţii în urma identificării unor vulnerabilităţi şi credenţiale expuse.
Peste 43.000 de vulnerabilităţi exploatabile, semnalate instituţiilor
În 2025, DNSC a monitorizat aproximativ 317.000 de înregistrări disponibile prin programul Common Vulnerabilities and Exposures, administrat de MITRE şi urmărit inclusiv de agenţiile internaţionale de securitate.
Directoratul a informat 2.020 de instituţii publice şi operatori de servicii esenţiale despre peste 43.000 de vulnerabilităţi exploatabile identificate în infrastructuri IT&C expuse public. Notificările au vizat şi scurgeri de date sensibile distribuite prin canale precum Telegram, WhatsApp, Signal sau alte platforme online.
DNSC a analizat în detaliu 121 de vulnerabilităţi cu severitate ridicată sau critică, imediat după publicarea acestora. În urma analizelor, au fost emise şi transmise 253 de informări către entităţi publice şi private.
Directoratul a identificat, de asemenea, 734 de adrese IP vulnerabile sau caracterizate printr-un nivel de risc foarte ridicat. Entităţile afectate şi, după caz, furnizorii de hosting au fost notificaţi pentru a putea începe remedierea.
Printre vulnerabilităţile critice analizate s-au numărat probleme care permit executarea de cod de la distanţă, ocolirea autentificării sau obţinerea privilegiilor de administrator în produse şi platforme utilizate pe scară largă. Lista a inclus soluţii Cisco, Fortinet, Microsoft SharePoint, Oracle Identity Manager, Wazuh, pgAdmin, Kibana şi alte produse enterprise.
În sănătate, principalele probleme sunt lipsa personalului specializat, controlul incomplet al infrastructurii IT şi expunerea la ransomware. În administraţia centrală şi locală, DNSC a identificat lipsa unor planuri clare de răspuns şi notificare, precum şi riscuri asociate infrastructurii învechite şi culturii de securitate deficitare.
În sectorul apei potabile au fost semnalate parole implicite, slabe sau partajate, instruire insuficientă şi reacţii întârziate la incidente. În industria alimentară, un atac ransomware poate bloca producţia, depozitarea şi distribuţia, iar dependenţa de furnizori terţi poate amplifica efectele.
Alegerile prezidenţiale, supravegheate în regim de criză
Alegerile prezidenţiale din mai 2025 au determinat o mobilizare specială a DNSC, într-un context caracterizat de volum ridicat de conţinut electoral, dezinformare online şi campanii coordonate.
Directoratul a participat la Echipa Lucrări Campanie Online, constituită la Biroul Electoral Central. Zece experţi DNSC au contribuit la procesarea a peste 5.800 de decizii privind conţinutul electoral online.
În paralel, un task force intern a analizat peste 1.600 de conturi suspecte de pe TikTok, Facebook şi Instagram. Dintre acestea, 103 au fost identificate ca având un comportament posibil automatizat şi au fost raportate platformelor.
DNSC a elaborat o metodologie pentru analiza comportamentului neautentic pe platformele online de dimensiuni foarte mari şi a creat o bază de date cu peste 1.400 de conturi verificate.
În zilele critice ale alegerilor, echipa CSIRT naţională a asigurat monitorizarea infrastructurii digitale şi răspunsul la incidente în regim permanent. Activitatea a fost desfăşurată în colaborare cu Autoritatea Electorală Permanentă, Serviciul de Telecomunicaţii Speciale şi Ministerul Afacerilor Interne.
Directoratul a analizat inclusiv conţinuturi electorale suspecte, campanii de dezinformare şi comportamente artificiale din jurul conturilor candidaţilor, folosind platformele OSAVUL şi EXOLYT.
În ziua turului al doilea, DNSC a sprijinit gestionarea comunicării oficiale a Autorităţii Electorale Permanente pe platforma X. Au fost formulate şi recomandări privind digitalizarea fluxului de soluţionare a sesizărilor, utilizarea unor instrumente de analiză bazate pe inteligenţă artificială şi profesionalizarea echipelor mixte.
