Video EXCLUSIV. Profilul hackerului de la Cadastru: Oportunist din India, de 24-25 de ani

• Cine este hackerul suspectat că a atacat sistemul de la Cadastru
• Atacul de la Cadastru scoate la iveală vulnerabilităţile sistemelor statului
• Experţii cer un audit al sistemelor publice digitale

Platforma online pentru proprietari nu este încă funcţională după atacul cibernetic de luna trecută. Pierderile rezultate din blocarea sistemului informatic de la Cadastru sunt estimate la zeci de milioane de euro.

Într-un interviu pentru Observator, prin intermediul unei aplicaţii de mesagerie criptate, hackerul dă de înţeles că a cerut bani autorităţilor pentru a debloca situaţia.

Bytetobreach: "Mai bine să plăteşti decât să pierzi milioane de dolari din cauza unei întreruperi la nivel naţional".

Cine este hackerul suspectat că a atacat sistemul de la Cadastru

Procurorii DIICOT merg pe firul atacului pentru a afla identitatea hackerului. Răzvan Cernăianu, specialist în securitate cibernetică şi cunoscut pentru că a spart serverele NASA şi ale armatei americane, a realizat pentru Observator portretul-robot al atacatorului.

"Un oportunist care acţionează pentru bani şi faimă, fără nicio motivaţie politică", îl descriu experţii. Spărgătorul de coduri pare să fie un tânăr din India, de 24 - 25 de ani, care se ascunde sub pseudonimul Bytetobreach. Foarte posibil absolvent al unei facultăţi de cybersecurity, a atacat cel puţin 60 de instituţii şi baze de date de pe cinci continente. Majoritatea, instituţii guvernamentale, financiare şi din sectorul informatică - telecomunicaţii care deţin date personale valoroase. Cu informaţiile furate a obţinut bani de la infractori sau de la instituţii pe care le-a şantajat.

Atacul de la Cadastru scoate la iveală vulnerabilităţile sistemelor statului

Atacul de la Cadastru demonstrează cât de slabă este infrastructura informatică a statului. Experţii se tem că atacul ar putea fi reluat la o scară şi mai mare. Critică aplicațiile depăşite și responsabilitățile fragmentate între instituții.

"Avem o infrastructură foarte vulnerabilă şi asta vă putem spune din interior din 2020 spunem aceste lucruri guvernanţilor. problema de cybersecurity nu începe din momentul în care sistemul este gata, ci din momentul proiectării", a explicat Bogdan Ivănel.

În prima jumătate a anului, Directoratul Naţional pentru Securitate Cibernetică a fost anunţat de aproape 16.000 de atacuri cibernetice. Cele mai vizate au fost sectorul bancar şi administraţia publică. Atacurile s-au înmulţit după invazia Rusiei în Ucraina. În unele zile au fost câteva mii.

"Este important să plecăm de la premisa că oricând putem deveni o victimă sau ţinta unui atac cibernetic. Capacitatea de a le contracara rămâne inegală şi adesea insuficientă. Putem să vorbim şi de echipamente depăşite, software învechite", a precizat Mihai Rotaru, DNSC.

Experţii cer un audit al sistemelor publice digitale

"Deocamdată putem să punem plasturi, în acest moment avem nevoie de un audit al sistemele publice digitale ca să vedem unde sunt probleme exacte şi care sunt", mai spune Bogdan Ivănel.

Cel mai recent raport al Directorului pentru Securitate Cibernetic arată că în 2024 au existat 27.000.000 de atacuri cibernetice la nivel naţional.

Mai jos redăm interviul integral cu Răzvan Cernăianu, specialist în securitate cibernetică şi cunoscut pentru că a spart serverele NASA şi ale armatei americane:

B.I. Ai citit conversaţia mea cu ByteToBreach, ai consultat informațiile publice despre atacurile precedente ale acestuia, îi poți face un profil?

R.C. Da. Am citit conversația și am corelat afirmațiile sale cu țintele, documentele tehnice și artefactele publice. Un profil serios nu se construiește doar din ce spune atacatorul despre el, ci din tiparele pe care le repetă. Am identificat 60 de ținte asociate public cu ByteToBreach, răspândite pe cinci continente. Dintre acestea, 18 provin din telecomunicații și IT, 17 din sectorul financiar, iar 8 sunt instituții guvernamentale. Deși susține că uneori decide "pe moment", distribuția indică o preferință clară pentru infrastructuri care dețin informații valoroase sau a căror oprire produce presiune economică și reputațională.

Documentele tehnice arată că poate exploata vulnerabilități cunoscute, instala mecanisme de persistență, colecta și sparge credențiale, naviga prin Active Directory, cloud, containere și medii de virtualizare, pivota între sisteme și organizații conectate, apoi extrage baze de date, cod-sursă și documente.

Campania din Nigeria este una dintre cele mai bune dovezi. La Sterling Bank a exploatat un RCE public, a instalat Sliver C2 și a rămas nedetectat nouă zile. A enumerat infrastructura OpenShift/Kubernetes, a extras chei AES din cod, a accesat API-uri bancare și a pivotat către CardinalStone. Compromiterea s-a extins apoi către Remita, infrastructura națională de plăți, de unde analizele publice indică extragerea a aproximativ 3 TB de date, inclusiv 657.242 de documente KYC și fișiere cu chei HSM pentru 46 de instituții financiare. În cazul C.A.C., instituția a confirmat accesul neautorizat, iar atacatorul a revendicat extragerea a 25 de milioane de documente, însă nu există un raport tehnic public care să confirme întregul scenariu.

La ANCPI a pornit de la vulnerabilitatea RCE din OpenAM și a ajuns la GitLab, cod-sursă, baze de date, Active Directory, mașini virtuale și infrastructura de backup. În cazul CGI Suedia, informațiile publice indică acces la Jenkins, containere Docker, chei SSH și GitLab, de unde a fost extras codul-sursă al unor servicii guvernamentale.

A folosit și propriul ransomware pentru Linux, ByteToCrypt. Analiza acestuia indică un programator capabil, dar cu mai puțină experiență în dezvoltarea de ransomware. Implementarea este fragilă și conține erori, însă rămâne suficient de eficientă pentru criptare și acțiuni antiforensics. Principala sa calitate nu este dezvoltarea unor instrumente revoluționare, ci capacitatea de a exploata complet accesul obținut.

Motivația este, cu un nivel ridicat de încredere, 100% financiară. A declarat acest lucru în repetate rânduri, inclusiv despre ANCPI. Datele sunt furate pentru vânzare sau extorcare, iar criptarea și distrugerea infrastructurii sunt folosite pentru creșterea presiunii. Expunerea publică a atacurilor îi consolidează reputația și credibilitatea comercială, dar nu reprezintă scopul principal.

Evaluarea mea, în stilul unei analize de intelligence, este următoarea: cu un nivel ridicat de încredere, vorbim despre un actor financiar, oportunist și fără o agendă politică. Cu un nivel mediu de încredere, este un operator individual sau un grup foarte restrâns. Are competențe operaționale peste medie, perseverență și o toleranță ridicată la risc, dar nu există indicii că descoperă vulnerabilități zero-day sau că deține capabilitățile unui actor statal.

Pericolul său real nu constă într-o tehnică extraordinară, ci în capacitatea de a identifica o singură intrare și de a transforma fiecare greșeală ulterioară a organizației într-o compromitere totală. Atât timp cât va continua să găsească infrastructuri slab protejate și date care pot fi monetizate, este foarte probabil să repete același model.

Am făcut analiza şi pe text, conexiuni, greșeli gramaticale, Reverse linguistic profiling, primele ţinte, relevanță, apoi extinderea la alte ţări/ţinte. Ce rezultă este că ar putea fi din India.

Am analizat semnătura folosită pe site la final. Expresia era "in the grace of the Lord".

În engleza indiană creștină apare relativ natural, inclusiv în comunicări religioase sau instituționale. Un vorbitor britanic ori american ar spune mai frecvent:

• "by the grace of the Lord"
• "by God's grace"
• "with God's grace"

Făcând puzzle-ul, bucată cu bucată, din datele pe care am reușit să le analizez rezultă că ar fi din India, proaspăt absolvent la vreo facultate de cybersecurity, 24-25 de ani. Lucrez la o investigaţie amănunţită şi o să public toate informaţiile pe blogul meu Tinkode, în câteva zile.

B.I. Cât de vulnerabile au rămas serviciile ANCPI după repornire?

R.C. Nimeni nu poate ști astăzi cât de vulnerabile au rămas serviciile ANCPI. Testul real va fi timpul. Sunt însă convins că instituțiile implicate acum în migrare, auditare și monitorizare au capacitatea să gestioneze corect procesul.

Rămâne de văzut cât din infrastructură va fi administrat în continuare de ANCPI și dacă serviciile contractate vor fi prestate și verificate efectiv, nu doar bifate pe hârtie. Fiecare sistem ar trebui repornit etapizat, numai după validarea securității.

Cu audituri recurente și mentenanță periodică de securitate, distinctă de mentenanța software, infrastructura ar trebui adusă cât mai aproape de "bulletproof". Securitate de 100% nu există, dar probabilitatea repetării unui asemenea scenariu poate fi redusă la 5-10%, prin oprirea atacurilor înainte să ajungă la sistemele și datele sensibile.

Acel risc de 5-10% vine, de exemplu, din vulnerabilitățile zero-day. Acestea pot fi descoperite de atacatori și exploatate în secret, înainte ca producătorul să le cunoască și să ofere o remediere.

Riscul nu poate fi eliminat complet, dar monitorizarea continuă poate detecta și opri atacul înainte să ajungă la sistemele și datele sensibile. Securitatea cibernetică este un proces continuu de monitorizare, identificare și reacție.

B.I. Cum vezi tot procesul - de la comunicarea instituțiilor, la modul în care ai gestionat acest atac?

R.C. Comunicarea instituțională nu a fost unitară. Mesajele inițiale ale ANCPI au fost vagi și nu au reflectat gravitatea situației. În schimb, raportul intermediar realizat de DNSC este, dintre toate cazurile atribuite public lui ByteToBreach pe care le-am analizat, cel mai detaliat document tehnic. Acesta explică vectorul inițial, cronologia atacului, deplasarea prin infrastructură, sistemele afectate și problemele întâlnite în investigație.

Lipsa de transparență a produs și un efect de bumerang. O parte a publicului a ajuns să creadă că atacatorul ar fi fost ajutat direct de cineva din interiorul ANCPI sau chiar al SRI. Nu există dovezi publice pentru un asemenea sprijin intenționat, însă este incontestabil că incompetența și neglijența administrativă l-au ajutat să obțină acest rezultat. Când instituțiile lasă goluri în comunicare, oamenii le completează cu suspiciuni, iar lipsa de transparență ajunge să le afecteze și mai mult credibilitatea.

Prin comparație, în cazurile Sterling Bank, Remita și C.A.C. din Nigeria au predominat tăcerea instituțională și informațiile provenite de la atacator sau din presă. În cazul CGI Suedia, autoritățile au confirmat investigația, dar fără să ofere o analiză tehnică asemănătoare.

Raportul DNSC demonstrează că România are oameni capabili să investigheze și să explice un asemenea atac. Exact acest tip de comunicare trebuie să ofere statul cetățenilor. Problema nu este lipsa capabilității tehnice, ci modul administrativ în care este organizată și valorificată. Numărul specialiștilor este limitat, iar fără o arhitectură construită de la zero pe principiul securității, inventariată și gândită să poată fi scalată, fiecare incident consumă foarte mult timp și resurse.

Din punct de vedere tehnic, consider corectă gestionarea etapizată a recuperării și faptul că sistemele nu au fost repornite în primele 48 de ore. În incidente de asemenea amploare, și celelalte state procedează la fel: izolează infrastructura, investighează, reconstruiesc, verifică integritatea și abia apoi repornesc serviciile. Atacatorul nu compromisese doar un site de prezentare, ci ajunsese la cod-sursă, baze de date, mașini virtuale, domeniu și infrastructura de backup.

Partea care lipsește este răspunderea. Nu mă refer la tehnicienii plătiți prost care operează zilnic sistemele, ci la persoanele cu funcții de conducere, adesea fără expertiză tehnică, care stabilesc prioritățile, aprobă bugetele și recepționează proiectele. Când sunt cheltuite sume uriașe, trebuie verificat dacă prețurile sunt justificate, dacă serviciile au fost prestate și dacă firmele câștigătoare dețineau în realitate competențele declarate în ofertele prin care au bifat cerințele caietelor de sarcini.

Răspunderea trebuie să urmeze puterea de decizie și administrarea banului public. Dacă reconstruim infrastructura, dar păstrăm același mecanism prin care persoane fără expertiză aprobă contracte supradimensionate și acceptă servicii neverificate, eliminăm efectele atacului, dar păstrăm vulnerabilitatea care l-a făcut posibil.

B.I. Pornim de la ANCPI, cum este infrastructura României, care sunt vulnerabilitățile?

R.C. Cazul ANCPI arată o problemă mai largă: infrastructura statului este fragmentată între sute de instituții, fiecare cu propriile servere, aplicații, angajați și contractori.

DNSC coordonează securitatea cibernetică civilă și răspunsul la incidente, STS protejează infrastructurile pe care le administrează, iar SRI, prin Cyberint, gestionează amenințările cu impact asupra securității naționale și sistemul ȚIȚEICA. Acesta ar trebui să ofere monitorizare, identificarea vulnerabilităților și corelarea alertelor pentru infrastructurile de interes național. ANCPI se afla printre cele aproximativ 122 de infrastructuri incluse în ȚIȚEICA 3.

Totuși, autoritățile centrale nu pot administra fiecare server al statului. Instituțiile care și-au păstrat infrastructura proprie, angajații lor IT și companiile contractate pentru mentenanță sau securitate rămân responsabile pentru inventariere, actualizări, configurare, parole, segmentare și copii de siguranță.

Marea vulnerabilitate este tocmai această fragmentare a responsabilității. Avem aplicații vechi, servicii expuse inutil pe internet, inventare incomplete, segmentare slabă și contracte în care fiecare răspunde doar pentru o bucată. În final, nimeni nu urmărește riscul de la identificare până la remediere.

La ANCPI, un RCE critic și public din 2021 a rămas exploatabil aproape cinci ani. Nu știm dacă ȚIȚEICA nu l-a detectat sau dacă alerta a fost transmisă și ignorată. În ambele variante, lanțul de protecție nu a reușit să elimine riscul.

În concluzie, gândiți-vă la această situație ca la o problemă de logistică. Orice autoritate centrală are un număr limitat de specialiști, dar trebuie să supravegheze infrastructurile unui număr foarte mare de instituții care își administrează independent sistemele. Pe măsură ce crește numărul acestora, crește inevitabil și riscul ca anumite vulnerabilități să rămână neidentificate sau neremediate.

Asta evidențiază o vulnerabilitate instituțională și de guvernanță. Dacă autoritatea centrală poate doar să monitorizeze și să alerteze, dar nu poate impune remedierea, verifica rezultatul și sancționa lipsa de reacție, nu poate garanta nivelul de securitate necesar. Problema nu este lipsa totală a legislației, ci lipsa unui mecanism unitar, cu responsabilități clare, termene obligatorii și autoritate reală de intervenție.

B.I. Ce ar fi trebuit să învățăm din atac ca să evităm un scenariu la indigo? ANCPI poate fi reprodus la o scară mai mare sau rămâne un caz singular?

R.C. Principala lecție este că nu ajunge să cumperi produse de securitate sau să împarți responsabilitatea între mai multe instituții și companii. Trebuie să existe un proces complet: inventarierea tuturor sistemelor, scanarea continuă, alertarea vulnerabilităților critice, un termen obligatoriu pentru remediere și verificarea faptului că problema a fost eliminată.

Pentru infrastructurile de interes național, o alertă critică nu ar trebui să rămână într-un e-mail. Trebuie escaladată până la remediere, iar dacă instituția sau firma contractată nu reacționează, autoritatea care monitorizează trebuie să poată impune măsuri. În paralel sunt necesare segmentarea rețelei, autentificarea multifactor, copii de siguranță izolate, păstrarea logurilor și teste independente recurente.

Scenariul ANCPI poate fi reprodus și la o scară mai mare, pentru că vulnerabilitățile care l-au făcut posibil nu sunt specifice cadastrului. Aceleași aplicații vechi, servicii expuse, parole slabe, rețele nesegmentate și responsabilități fragmentate există în multe instituții.

Un atacator mai bine organizat ar putea exploata simultan tehnologii comune, furnizori sau sisteme de autentificare folosite de mai multe instituții. De aceea, ANCPI nu trebuie tratat ca un caz singular, ci ca un avertisment despre ce se poate întâmpla la nivel național dacă vulnerabilitățile cunoscute sunt doar semnalate, fără să fie urmărite până la remediere.