Atacul ANCPI a expus vulnerabilitățile platformelor online ale statului. Securitatea cibernetică slabă produce pierderi offline grave

Atacul care a lovit ANCPI pe 14 iulie a făcut imposibilă emiterea extraselor de carte funciară. Fără acest document, notarii nu pot autentifica vânzări, băncile nu pot finaliza credite ipotecare, iar proprietățile nu pot fi intabulate.

Registrul proprietății a devenit din punct unic de acces la informație – un punct unic de eșec al administrației. Digitalizarea a eliminat o parte a hârtiei și a redus timpul de procesare. Dar a concentrat întregul flux într-o platformă a cărei indisponibilitate poate opri simultan cumpărători, dezvoltatori, agenții, notari și bănci.

O „defecțiune” online care produce pierderi offline

Legea permite păstrarea cotei de TVA de 9% pentru anumite locuințe doar dacă transferul proprietății este finalizat până la 31 iulie 2026. De la 1 august, cota urcă la 21%. Cumpărătorii care au semnat antecontracte și și-au calculat finanțarea la vechea taxă depind acum de restaurarea unui sistem public.

„Cei mai afectați sunt cumpărătorii care au antecontracte semnate. Altfel, ei vor fi taxați cu 21% TVA, în loc de 9%”, spune Georgian Marcu, consultant imobiliar.

În cazul unei locuințe aflate aproape de plafonul eligibil, diferența poate ajunge la aproximativ 14.000 de euro. Pentru unele familii, suma nu înseamnă doar un preț mai mare, ci imposibilitatea de a încheia tranzacția sau riscul de a pierde avansul. „Nu cred că putem vorbi încă de pierderi financiare. Depinde însă de cât timp va dura”, arată Marcu.

Piața poate absorbi câteva zile de amânare, dar nu o perioadă fără termen. Contractele expiră, aprobările bancare au valabilitate limitată, iar dezvoltatorii depind de încasări pentru a continua lucrările. „În momentul de față, toată lumea este în panică. Lipsa comunicării este mai gravă decât ceea ce s-a întâmplat”, avertizează el.

710 milioane lei pentru IT, 0,2% pentru securitate cibernetică

O analiză a achizițiilor publice arată că ANCPI a derulat în aproape două decenii contracte de IT și digitizare de aproximativ 710 milioane lei. Sumele alocate explicit securității cibernetice au fost mai mici de 1,6 milioane lei, echivalentul a circa 0,2%.

Raportul arată problema de fond. Statul a investit în digitalizare ca înlocuitor pentru procesele vechi, dar nu a tratat protecția, continuitatea și restaurarea sistemelor ca părți ale aceleiași investiții. O platformă nu este completă atunci când funcționează într-o zi obișnuită, ci când poate continua sau reveni rapid după un incident.

Dan Cîmpean, directorul DNSC, spune că atacul nu a folosit o tehnică excepțională. Au fost exploatate vulnerabilități cunoscute, alături de credențiale pierdute. „Nu a fost un atac foarte complex. Dar, da; putea fi prevenit”, afirmă

DNSC notificase vulnerabilități către instituție. Atacul nu demonstrează doar capacitatea unei grupări de a găsi o breșă, ci și incapacitatea administrației de a transforma avertismentele în remedieri, testări și decizii de management. „Nu avem informații că hackerii ar fi extras date personale ale cetățenilor. Nu avem indicii că administratorii IT au folosit parole slabe”, precizează directorul DNSC.

Investigația a identificat însă mostre de credențiale, fragmente de cod și anumite categorii de date expuse. Dimensiunea completă a incidentului trebuie stabilită după restaurare și analiza tehnică. „E incidentul secolului pentru ANCPI! Nu se mai pot face tranzacții imobiliare”, spune Dan Cîmpean.

Apărarea de hackeri nu mai este un moft

Un sistem precum e-Terra nu deservește doar funcționarii ANCPI. El susține dreptul de proprietate, creditarea ipotecară, piața construcțiilor și o parte din veniturile fiscale. De aceea, riscul său trebuie urmărit la nivelul conducerii instituției și al Guvernului. Irineu Darău, ministrul interimar al Economiei și Digitalizării, pune responsabilitatea remedierii la ANCPI, dar cere o schimbare de abordare în întreaga administrație.

„Este responsabilitatea în întregime a ANCPI și a conducerii sale să izoleze vulnerabilitățile și să le rezolve cât mai repede. Fiecare instituție trebuie să trateze securitatea cibernetică drept prioritate zero”, spune Irineu Darău.

Prioritatea zero înseamnă inventarierea sistemelor, instalarea actualizărilor, separarea rețelelor, copii de siguranță testate și planuri de continuitate. Mai înseamnă raportarea rapidă a incidentelor și comunicarea clară cu utilizatorii afectați. „Niciodată nu poți să reduci la zero riscul de atac cibernetic. Cred însă că foarte multe instituții, inclusiv ANCPI, mai au de lucru în prevenție. ANCPI putea să facă o muncă de prevenție mult mai intensă”, afirmă ministrul.

În multe instituții, conducerea tratează securitatea ca pe o cheltuială care poate fi amânată. Bugetele sunt orientate spre lansarea platformelor, în timp ce auditarea, mentenanța și simulările de atac primesc resurse limitate. Costul apare abia după incident, când serviciile sunt oprite, iar instituțiile trebuie să restaureze date și să gestioneze consecințe economice.

Statul are nevoie de specialiști pe care îi poate și păstra

Securitatea cibernetică nu poate fi cumpărată doar prin contracte. Instituțiile au nevoie de oameni capabili să evalueze furnizorii, să urmărească vulnerabilitățile și să decidă rapid atunci când apare un atac.

Administrația concurează cu sectorul privat pentru specialiști rari, dar îi plătește după grile rigide. Fără competență internă, statul rămâne dependent de contractori și poate primi servicii pe care nu are capacitatea să le verifice.„Dacă nu vom avea oameni buni și la stat, profesioniști comparabili cu cei din privat, atunci ne prefacem că facem digitalizare și securitate cibernetică. În special DNSC trebuie întărit, pentru că este unul dintre scuturile noastre”, avertizează Irineu Darău.

Problema nu se rezolvă prin salarii mari acordate automat. Instituțiile trebuie să lege remunerația de competențe, responsabilități și rezultate, iar funcțiile tehnice critice să fie protejate de numiri politice și rotații administrative.

Digitalizarea doar mută riscul, nu îl și elimină

Cazul ANCPI arată că digitalizarea poate face statul mai rapid, dar și mai fragil. Când un flux devine exclusiv digital, instituția trebuie să asigure redundanță, restaurare verificată și o procedură temporară prin care activitatea economică să poată continua.

Un plan de continuitate nu înseamnă revenirea permanentă la dosarul cu șină. Înseamnă capacitatea de a emite documente esențiale prin sisteme alternative, de a valida ulterior operațiunile și de a evita transferarea costului incidentului asupra cetățenilor.

Guvernul și Parlamentul trebuie să decidă și ce se întâmplă cu persoanele care pierd cota redusă de TVA din cauza blocajului. Contribuabilul nu controlează infrastructura publică și nu ar trebui sancționat fiscal pentru indisponibilitatea ei.

Atacul asupra ANCPI nu este doar o problemă a cadastrului. Este avertismentul că bazele de date publice au devenit infrastructură economică. Când securitatea lor este tratată ca anexă, paguba nu rămâne pe servere: ajunge în credite, contracte, investiții, taxe și încrederea în stat.