Exclusiv Românul care a spart site-ul Pentagonului, despre atacul de la Cadastru: "O problemă de siguranţă naţională"

• Amploarea pagubelor din atacul de la Cadastru
• Securitate precară la instituţie extrem de importantă 
• Ce crede Cernăianu despre repunerea în funcţiune 
• Identificarea atacatorului de la ANCPI  
• Cine este Răzvan "TinKode" Cernăianu

Răzvan Cernăianu a explicat, pentru Observator, care sunt pagubele actuale create de hackerul care a spart sistemul de la Cadastru, dar şi cum totul se poate transforma într-un bulgăre de zăpadă tot mai mare, cu consecinţe pe mai multe planuri. 

Amploarea pagubelor din atacul de la Cadastru

BIANCA IACOB: Un astfel de atac a avut loc in Slovacia anul trecut tot la cadastru - de ce cadastru, care sunt interesele din spatele unui astfel de atac si cat de mare este damage-ul? 

RĂZVAN CERNĂIANU: Din perspectiva mea, cadastrul nu este ales întâmplător. Este una dintre puținele baze de date care reunesc trei informații extrem de valoroase: identitatea, averea și localizarea fizică. Prin compromiterea unei singure instituții poți bloca la nivel național tranzacții imobiliare, credite și moșteniri, adică un sector întreg, dar poți obține și o hartă a proprietăților și a persoanelor care le controlează.

Corelate cu alte baze de date, aceste informații pot arăta cine deține ce, unde are interese și prin ce poate fi influențat. De aici apar numeroase alte scenarii:

Hoți: cadastrul, corelat cu informații publice despre averea unei persoane, poate ajuta la identificarea unor locuințe secundare, anexe sau depozite. Cazul Kim Kardashian a demonstrat cum asocierea locației cu bunurile deținute poate pregăti un jaf țintit.

Escroci imobiliari: pot identifica proprietăți cu moștenitori neclarificați, proprietari plecați din țară sau litigii în desfășurare, asupra cărora să încerce preluări frauduloase.

Muzee și arheologi: cadastrul nu indică direct unde se află un artefact, dar corelat cu alte informații poate ajuta la identificarea unor clădiri, laboratoare sau posibile depozite temporare asociate instituțiilor și cercetătorilor.

Furt de identitate: documentele asociate proprietăților pot conține date personale, adrese, semnături, contracte sau procuri, care pot fi folosite pentru construirea unor fraude mult mai credibile.

Persoane influente: proprietățile politicienilor, magistraților, oamenilor de afaceri sau ale familiilor acestora pot deveni puncte de plecare pentru supraveghere, intimidare ori alte atacuri.

Militar: proprietățile administrate de MApN nu dezvăluie direct o bază secretă, dar pot restrânge căutarea unor obiective necunoscute publicului. Cazul Strava Global Heatmap din 2018 a demonstrat cum date aparent banale pot contribui la localizarea unor baze militare.

APT (advanced persistent threat, n.r.): un actor statal poate combina toate aceste informații pentru a construi o hartă a persoanelor influente, proprietăților, relațiilor și obiectivelor care pot fi supravegheate, compromise sau folosite pentru presiune.

Prejudiciul are astfel trei niveluri: economic, prin blocarea unui întreg sector; personal, prin expunerea proprietăților și a documentelor cetățenilor; și strategic, prin posibilitatea folosirii datelor împotriva intereselor statului. Serverele pot fi reconstruite, dar informațiile copiate nu mai pot fi retrase din posesia atacatorului.

Din acest motiv, compromiterea cadastrului poate deveni o problemă de siguranță națională. Valoarea și multiplele utilizări ale datelor îi pot oferi atacatorului mai multe metode de a obține bani: poate cere o răscumpărare pentru deblocarea sistemelor sau pentru a nu publica informațiile, iar în caz de refuz le poate vinde unor persoane ori grupări interesate.

Securitate precară la instituţie extrem de importantă 

B.I.: De ce şi cum a reuşit să se poarte ca un administrator al reţelei şi nimeni nu a sesizat? 

R.C.: 

Ca să înțeleagă oricine, imaginați-vă infrastructura ANCPI ca pe un hotel foarte mare. Intrarea principală poate avea pază și sisteme de securitate, dar în lateral a rămas ani întregi o ușă de serviciu întredeschisă. Acea ușă, deschisă din 2021, a permis oricărui atacator să compromită întregul hotel. Atacatorul nu a avut nevoie să păcălească un angajat sau să-i afle parola, ci doar să aibă curajul să intre pe acea ușă.

Odată ajuns în interior, a observat că liftul central nu îi solicita o cartelă de client sau de angajat, astfel că putea circula liber de la etajele publice către zonele tehnice și administrative. Aceste camere se aflau perete în perete și aveau chiar uși de comunicare între ele. În acest fel, a mers dintr-o cameră în alta până când a găsit cartela master a întregului hotel și a devenit, practic, administrator.

Putea inventaria, copia, opri, șterge sau cripta serverele, de parcă întregul personal ar fi fost în vacanță.

Nu a fost observat deoarece sistemele de supraveghere și securitate erau aproape inutile, iar una dintre soluțiile de securitate păstra înregistrările doar șapte minute. A fost observat abia după peste 86 de ore, când efectele au devenit imposibil de ignorat: anumite etaje erau deja în flăcări, iar fumul putea fi văzut de la kilometri distanță.

B.I.: De ce o instituţie atât de importantă a statului nu are protecţie?

R.C.: 

Securitatea acestui sistem a existat mai mult la nivel declarativ. Documentația și anexele contractuale conțineau cerințe de securitate, însă a lipsit verificarea efectivă a acelor cerințe prin audituri și teste de penetrare anuale, urmate de mentenanță continuă de securitate.

Un audit reprezintă doar fotografia sistemului din acel moment, în timp ce vulnerabilități noi apar zilnic. În urma auditului, firma specializată ar cunoaște deja infrastructura, aplicațiile și versiunile instalate, astfel încât ar putea verifica lunar ce vulnerabilități au apărut, dacă actualizările au fost aplicate și dacă soluțiile automate au omis ceva.

Apoi, produsele de securitate pot oferi confortul psihologic că ești protejat, dar reprezintă, în opinia mea, cel mult 50% din procesul de protecție. Mai multe produse nu înseamnă automat mai multă securitate: fiecare extinde suprafața de atac, iar unele pot ajunge să conțină chiar mai multe vulnerabilități decât aplicațiile pe care ar trebui să le protejeze.

În plus, unele componente au fost dezvoltate și administrate de firme nespecializate în securitate cibernetică, deși dezvoltarea unei aplicații și identificarea modalităților prin care aceasta poate fi compromisă sunt două specializări complet diferite. A lipsit și un program public VDP sau bug bounty, care ar fi permis identificarea și raportarea sigură a vulnerabilităților, completând auditurile și mentenanța de securitate.

Degeaba declari hotelul obiectiv strategic, angajezi paznici și instalezi camere scumpe, dacă nu angajezi și o echipă de ninja care să încerce să pătrundă controlat, să vadă cum reacționează personalul, dacă procedurile funcționează și ce alte căi de acces ai omis.

Atacatorul a făcut exact acest test și a demonstrat că întregul sistem putea fi oprit. Acum, în locul costului relativ redus al auditurilor, statul ajunge să plătească din bani publici o sumă de o mie de ori mai mare. La aceasta se adaugă blocarea unui întreg sector de activitate, cu efecte directe asupra populației.

Ce crede Cernăianu despre repunerea în funcţiune 

B.I.: E viabil startul aplicaţiei anunţat săptămâna asta?

R.C.: 

Nu pot răspunde cu exactitate fără să cunosc dimensiunea aplicațiilor, numărul specialiștilor implicați și testele efectuate. Trebuie însă luate în calcul câteva riscuri:

1. ByteToBreach copiază de obicei codul sursă și bazele de date, care pot fi analizate ulterior de el sau de eventualii cumpărători pentru identificarea unor noi vulnerabilități. Probabil nu ar reveni acum, când infrastructura este atent monitorizată, ci după ce atenția scade. De aceea, un audit aprofundat al codului sursă, realizat la cel mai înalt nivel posibil, este obligatoriu.

2. Serviciul vulnerabil a fost expus aproape cinci ani, deci nu știm dacă acesta a fost primul atacator. Alți actori puteau introduce mecanisme de acces persistent, care pot reveni în infrastructură dacă sistemele nu au fost reconstruite folosind copii curate, păstrate separat și neexpuse atacatorilor.

3. Aplicațiile și componentele interconectate pot însuma milioane de linii de cod, iar durata verificării depinde de complexitatea lor și de mărimea echipei. Cu suficienți specialiști, repornirea etapizată este plauzibilă. Aceasta permite verificarea și monitorizarea serviciilor pe rând, dar nu garantează că întregul cod a fost deja auditat complet.

În Slovacia, portalul cadastral minimal a revenit după aproximativ două luni, însă restaurarea celorlalte servicii a continuat timp de 8–10 luni, iar unele componente au fost refăcute în 2026.

Identificarea atacatorului de la ANCPI  

B.I.: Cât de greu este de identificat cine este în spatele atacului? Hackerul a lăsat inclusiv “uşi” virtuale deschise pentru a fi contactat

R.C.:

În acest caz, identificarea este mai ușoară decât atunci când atacul nu este revendicat, iar autorul nu lasă nicio semnătură sau metodă publică de contact.

Faptul că și-a lăsat public mai multe metode de contact și chiar răspunde este o anomalie pentru un black hat care produce daune, șantajează și urmărește câștiguri financiare. Practic, după ce comite atacul, își deschide un fel de ghișeu public prin care poate fi contactat de victime, cumpărători, jurnaliști, dar și de investigatori.

Pe lângă aceste conturi publice, există numeroase alte metadate care pot conduce la el. Acestea trebuie însă identificate și corelate pentru a construi imaginea completă.

Autoritățile sunt obligate să respecte procedurile legale. Acest lucru le oferă avantaje importante, precum accesul oficial la datele furnizorilor, cooperare internațională și posibilitatea ridicării dispozitivelor, dar presupune și birocrație, limite de jurisdicție și obligația ca fiecare probă să poată fi folosită în instanță. Un cercetător independent poate uneori corela mai rapid informațiile publice, însă nu are acces la aceleași resurse și mijloace legale. Informațiile obținute de acesta pot sprijini ancheta și pot deveni probe după verificarea lor oficială. Cele două părți pot colabora și își pot completa reciproc investigațiile, însă nu cunosc dacă autoritățile au solicitat și sprijinul unor cercetători independenți în acest caz.

Cine este Răzvan "TinKode" Cernăianu

Originar din Drobeta Turnu-Severin, Răzvan Cernăianu este specialist în securitate cibernetică, cu peste două decenii de experiență, cunoscut încă din perioada în care analiza infrastructuri guvernamentale și militare din întreaga lume pentru a le demonstra punctele slabe.

Printre ţintele sale, acum mai bine de 15 ani, au fost NASA, Pentagonul, Armata SUA, ESA şi Royal Navy, dar şi companii precum Google, Oracle, Apple şi Yahoo. În ianuarie 2012 a fost arestat de autorităţile române, într-o anchetă coordonată cu FBI, NASA şi Armata SUA, pentru accesarea neautorizată a unor sisteme americane.

La acea vreme, au existat inclusiv petiţii pentru ca el să fie eliberat. Susţinătorii săi spuneau că a fost mai degrabă împins de curiozitate, nu de rea intenţie. 

Din 2014, lucrează ca "white hat hacker", efectuând teste de securitate pentru companii. 

Cernăianu a scris şi el un articol în care vorbeşte despre amploarea atacului de la ANCPI, care poate fi găsit AICI.