Republica Moldova: atac asupra serviciilor publice digitale, 11 milioane de cereri și date asociate cu circa 750.000 de IDNP. Ce este confirmat și ce învață orice sistem interconectat

• Între 19 și 23 octombrie, atacatorii au exploatat vulnerabilități în unele servicii electronice care puteau fi accesate fără autentificare și au folosit datele obținute pentru a extrage mai multe din sisteme interconectate, potrivit AGE, citată de The Record. Cotidianul.md, citând Serviciul de Tehnologia Informației și Securitate Cibernetică (STISC), spune că au fost interogate circa un milion de IDNP, iar accesul neautorizat „ar fi permis” obținerea de informații asociate cu circa 750.000. Descrierea metodei este preliminară.
• Nu toate persoanele au fost expuse la toate categoriile de date, iar 750.000 nu este un număr de persoane, ci de identificatori. Categoriile posibile, preliminare: identitate, rude de gradul întâi, statut de asigurare medicală, medic de familie, pensii, prestații sociale, dizabilități, permis de conducere, fotografii, mijloace de transport, firme deținute sau administrate și, pe partea financiară, coduri IBAN, obligații fiscale și istoricul plăților prin MPay.
• Autoritățile spun că nu au fost compromise datele cardurilor bancare, că nu au identificat modificări neautorizate în registre și că un IBAN singur nu permite retrageri sau transferuri.
• Extragerea neautorizată a fost oprită pe 23 octombrie, în jurul orei 11:30. AGE a examinat 82 de servicii publice digitale și a deconectat temporar serviciile considerate vulnerabile, plus peste 30 de sisteme informatice și panouri de administrare. Printre serviciile afectate: cereri de autorizații de construire, autorizații de transport veterinar, import de medicamente și înregistrări de siguranță alimentară. Majoritatea au fost securizate, iar accesul se restabilește treptat, după verificări.
• Pe 25 octombrie, în jurul orei 2:00, a fost detectată și blocată o nouă tentativă de forțare a accesului, iar pe 27 octombrie, în jurul orei 7:00, au existat alte tentative de extragere, care au eșuat, potrivit Cotidianul.md.
• Un serviciu guvernamental ar fi înregistrat incorect temeiul legal al prelucrării datelor, ceea ce ar explica de ce unii cetățeni au văzut în aplicația EVO intrări de istoric pentru proceduri pe care nu le inițiaseră. Este o explicație preliminară a autorităților.

• Premierul Vasile Tofan a spus pe 28 octombrie că țara este ținta unor atacuri coordonate și la scară largă, că se examinează o posibilă implicare a unor state străine și că incidentul ar putea face parte dintr-o campanie mai largă. Un purtător de cuvânt a vorbit de posibile atacuri hibride.
• Nu există atribuire: Moldova nu a numit nicio țară sau grupare, iar sursele nu prezintă dovezi. The Record notează doar că autoritățile moldovene au acuzat în trecut Rusia de campanii de destabilizare, fără să lege Rusia de acest incident.
• Moldova 1 relatează că autoritățile „suspectează” că inteligența artificială ar fi putut facilita atacul, fără detalii. Este o suspiciune, nu o constatare.
• Președinta Maia Sandu va convoca Consiliul Național de Securitate „în zilele următoare”, fără dată anunțată.

• Cine a făcut-o și dacă un stat este implicat: în curs de investigare.
• Numărul exact de persoane afectate și ce categorii de date au fost obținute pentru fiecare: verificările sunt preliminare.
• Care sunt serviciile fără autentificare exploatate și ce vulnerabilități erau: autoritățile nu le-au numit.
• Dacă datele au fost publicate, vândute sau folosite: nu există informații. Autoritățile avertizează că pot fi folosite pentru fraude prin impersonarea băncilor sau a instituțiilor publice.
• Când se restabilesc toate serviciile: nu există termen.
• Dacă sunt afectați cetățeni români sau organizații din România: sursele citite nu spun nimic.

Atacatorii nu au nevoie de parole dacă un serviciu răspunde fără autentificare. Cu un IDNP, un serviciu interconectat poate oferi nume; cu numele, alt serviciu oferă rude; cu rudele, altul oferă pensii, asigurare medicală sau proprietăți. 11 milioane de cereri în cinci zile înseamnă un tipar de enumerare, nu utilizare normală.

În Danemarca, în octombrie, un acces legitim al unei firme private la registrul CPR a fost abuzat și descoperit printr-o factură mare. Aici, accesul nu era nici măcar legitim, ci absent. Lecția comună: volumul trebuie să sune alarme, nu să apară într-o factură sau într-un raport peste o săptămână.

• Inventariază toate punctele de acces la date accesibile fără autentificare, inclusiv API-uri „interne” expuse, servicii de căutare și endpointuri de interoperabilitate. Pentru fiecare, întreabă: de ce nu cere autentificare?
• Cere autentificare și autorizare la fiecare cerere, nu doar la intrarea în sistem. O cerere între servicii trebuie să spună cine întreabă și pentru ce.
• Pune limite și cote: cereri pe oră și pe zi pentru fiecare apelant, pe fiecare tip de interogare, cu blocare automată când pragul este depășit.
• Detectează tiparele de enumerare: același apelant care parcurge identificatori consecutivi, rate neobișnuite, cereri în afara orelor sau către persoane fără legătură cu apelantul.
• Minimizează ce răspunde un serviciu la o cerere: nu returna rude, istoric financiar sau alte categorii dacă scopul cererii nu le cere.
• Pregătește o procedură de oprire: Moldova a deconectat 82 de servicii și peste 30 de sisteme. Poți face asta repede, în ordine, fără să oprești ce nu trebuie?
• Jurnalizează cine a consultat datele fiecărei persoane și arată-i persoanei istoricul. Intrările EVO au făcut posibilă observarea unor accese; asta este o practică bună, dar numai dacă baza legală este înregistrată corect.
• Comunică repede și clar: ce categorii de date, ce nu a fost afectat (cardurile), ce să facă oamenii și ce urmează. Autoritățile moldovene au dat avertismente către public.

• Datele includ rude și medic de familie. Fii atent la mesajele alarmiste despre un membru al familiei, cu cereri urgente de bani sau de date: verifică-le prin altă cale înainte să plătești.
• Nu da parole, coduri de autentificare sau date confidențiale la apeluri, SMS-uri sau e-mailuri neașteptate, nici dacă interlocutorul „știe” detalii despre tine.
• Nu deschide linkuri din surse necunoscute și nu confirma plăți cerute de necunoscuți.
• Dacă vezi tranzacții necunoscute, anunță imediat banca sau instituția.

Republica Moldova are propriul cadru legal. Pentru o organizație din UE, GDPR cere notificarea autorității de supraveghere (în România, ANSPDCP) în 72 de ore, dacă este posibil, și informarea persoanelor când riscul este ridicat. Administrația publică intră sub NIS2, cu avertizare timpurie în 24 de ore și raport inițial în 72 de ore pentru incidente semnificative, în România prin OUG 155/2024, aprobată prin Legea 124/2025. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Cifrele (11 milioane de cereri, circa 750.000 de IDNP, un milion de IDNP interogate) sunt preliminare și vin de la AGE și STISC, prin presă. Nu există o declarație oficială pe care să o fi citit direct. Implicarea străină este o ipoteză a premierului, iar rolul AI este o suspiciune.

Awarely Learning poate pregăti exerciții pentru conducere și instituții despre frauda care urmează unei scurgeri, iar Awarely Monitor poate ajuta la evidența endpointurilor expuse. Articolul nu este consultanță juridică și nu garantează conformitatea.