„Toate raportările recepționate sunt luate în evidență”. Răspunsul STISC la solicitarea de informații a ZdG privind atacul cibernetic de amploare asupra serviciilor guvernamentale
În ultimul an, Serviciul Tehnologia Informației și Securitate Cibernetică (STISC) susține că nu a primit, prin intermediul mecanismului public, sesizări oficiale privind existența unor vulnerabilități care ar fi putut pune în pericol, inclusiv datele cu caracter personal ale cetățenilor, se spune într-un răspuns al instituției la o solicitare de informații a Ziarului de Gardă. Totodată, STISC susține că, în aceeași perioadă, a recepționat și examinat șapte raportări privind vulnerabilități de securitate cibernetică, „pentru care au fost formulate și comunicate răspunsuri către persoanele care le-au raportat”.
După ce ZdG a scris despre cazul unui specialist IT, stabilit de mai mulți ani în Olanda, care a declarat că a sesizat STISC, în urmă cu câteva luni, cu privire la mai multe vulnerabilități identificate la un serviciu guvernamental, dar nu a primit niciun răspuns din partea instituției, cu excepția unui tichet de confirmare a înregistrării unui potențial incident de securitate, un cititor ne-a scris că a raportat, la rândul său, o listă de vulnerabilități identificate într-un soft, însă nu a primit niciun răspuns. Acesta nu a precizat instituția căreia i-a transmis sesizarea.
„Precizăm că toate raportările recepționate sunt luate în evidență, verificate și supuse unui proces de analiză tehnică și evaluare a riscurilor asociate. În funcție de rezultatele evaluării, sunt stabilite, după caz, măsurile necesare pentru remedierea vulnerabilităților confirmate, inclusiv prin implicarea instituțiilor și subdiviziunilor responsabile.
De asemenea, STISC pune la dispoziție Platforma Guvernamentală de Divulgare a Evenimentelor Cibernetice, accesibilă la adresa https://cyberevent.gov.md, prin intermediul căreia pot fi transmise raportări și informări privind evenimentele de securitate cibernetică, inclusiv vulnerabilitățile identificate, în vederea facilitării examinării și gestionării acestora”, menționează reprezentanții instituției.
Totodată, potrivit răspunsului oferit, STISC precizează că a fost inițiată o investigație interinstituțională, în cadrul căreia au fost efectuate „verificări suplimentare de securitate pentru evaluarea incidentului și prevenirea unor situații similare”.
„În contextul atacului cibernetic recent, imediat după identificarea activităților neobișnuite, STISC, în cooperare cu Agenția de Guvernare Electronică (AGE) și Agenția pentru Securitate Cibernetică (ASC), a întreprins măsuri pentru limitarea incidentului și protejarea datelor. În acest sens, serviciile vizate au fost deconectate preventiv, iar activitatea de extragere neautorizată a datelor a fost stopată la data de 23 octombrie, ora 11:30.
Totodată, instituțiile responsabile au fost informate și au primit recomandări tehnice privind remedierea vulnerabilităților identificate și consolidarea măsurilor de securitate”, dă asigurări instituția.
În cadrul solicitării de informații, ZdG a întrebat STISC ce sume au fost investite, în ultimul an, în securitatea cibernetică, mai exact în protecția sistemelor informaționale ale statului, precum EVO sau MPAss. Serviciul a redirecționat însă solicitarea, „conform competențelor”, către Agenția de Guvernare Electronică (AGE).
La rândul său, AGE a declarat pentru ZdG că, în ultimii doi ani au fost efectuate, în mai multe etape, evaluări și testări de securitate asupra Platformei de dezvoltare a serviciilor electronice (PDSE) și a unor servicii dezvoltate pe aceasta, inclusiv cu implicarea unor companii specializate externe. Aceștia nu ne-au oferit date exacte privind cheltuielile pentru securitate, menționând că soluționarea incidentelor, în cadrul activităților de monitorizare și suport tehnic asigurate non-stop, revine STISC.
„(…) În aprilie 2025 au fost realizate analize ale codului sursă și teste de penetrare, iar în aprilie 2026, la inițiativa AGE și ASC (Agenția pentru Securitate Cibernetică) au fost efectuate teste de penetrare de către o altă companie specializată externă. Rezultatele acestor evaluări nu au arătat vulnerabilități critice (…).
(…) Conform Regulamentului privind administrarea tehnică și menținerea resurselor și sistemelor informaționale de stat, aprobat prin HG 414/2018, precum și cu prevederile acordurilor încheiate între AGE și STISC, în sarcina STISC, în calitate de administrator tehnic, sunt stabilite atribuții privind asigurarea securității infrastructurii, prin:
- aplicarea și gestionarea regulilor de filtrare a traficului de rețea la nivelul infrastructurii;
- aplicarea și gestionarea regulilor specifice de filtrare a traficului web;
- controlul accesului;
- aplicarea mecanismelor de protecție împotriva atacurilor DoS/DDoS;
- aplicarea și gestionarea mecanismelor de prevenire și detectare a intruziunilor (IPS/IDS);
- raportarea incidentelor de securitate către posesor;
- soluționarea incidentelor în cadrul activităților de monitorizare și suport tehnic în regim 24/7.
Iar conform HG 482/2020, STISC a fost desemnat în calitate de Centru guvernamental de răspuns la incidentele cibernetice (CERT Gov), fiind învestit cu atribuții privind prevenirea, identificarea, analiza și reacția la incidentele cibernetice la nivel guvernamental. Potrivit pct. 5 subpct. 16¹) din măsurile aprobate prin HG nr. 482/2020, CERT Gov asigură securitatea rețelelor și a sistemelor informatice proprietate a statului la nivel guvernamental. De asemenea, pct. 11 subpct. 3) lit. b) stabilește expres, în cadrul măsurilor de contracarare, identificarea la timp a amenințărilor sau atacurilor cibernetice și blocarea manifestării acestora”, se spune în răspunsul pentru ZdG.
„Am identificat vulnerabilități, câteva dintre ele – critice”
Pe 9 noiembrie, ZdG a scris că, după atacul cibernetic de amploare din R. Moldova, în care au fost vizate mai multe platforme și servicii publice digitale gestionate de Agenția de Guvernare Electronică (AGE), un specialist IT stabilit de mai mulți ani în Olanda a afirmat că în urmă cu câteva luni a sesizat STISC în legătură cu mai multe vulnerabilități identificate la un serviciu guvernamental. Acesta a spus că nu a primit niciun răspuns din partea instituției, în afară de un tichet prin care a fost confirmată înregistrarea unui potențial incident de securitate.
Totuși, Afanasie Beșleaga consideră că atacul cibernetic prin care au fost sustrase datele personale a sute de mii de cetățeni ai R. Moldova, „cel mai probabil”, nu ar fi putut fi prevenit și că vulnerabilitățile identificate de el nu au fost exploatate în cadrul incidentului. De asemenea, el este de părere că în spatele acestuia nu s-a aflat un actor statal, întrucât „nu este de o complexitate mare”, și că atacul cibernetic putea fi organizat chiar și de un elev.
Afanasie Beșleaga este stabilit de șapte ani în Țările de Jos. Atât în R. Moldova, cât și în Olanda este fondatorul unor companii în domeniul tehnologiilor informaționale. „Am activat și activez în continuare în securitatea cibernetică. Am lucrat atât pe partea defensivă, cât și ofensivă”, afirmă Afanasie.
ZdG nu a reușit să obțină date exacte de la unele instituții ale statului privind investițiile autorităților în securizarea datelor cetățenilor și a serviciilor publice. „Răspunsul neoficial a fost că nu avem buget”, afirmă Afanasie Beșleaga că i s-a răspuns atunci când a discutat cu reprezentanții unor instituții din domeniu despre investițiile în securizarea informațiilor. „Dar cred că pe atacatori nu-i interesează dacă este buget sau nu”, spune acesta.
Doar Mihai Lupașcu, directorul Agenției pentru Securitate Cibernetică (ASC), a oferit date exacte despre cheltuielile pentru securitate. Acesta a precizat pentru ZdG că implementarea măsurilor de securitate cibernetică reprezintă responsabilitatea fiecărei entități în parte, fără a exista un buget centralizat destinat acestui scop la nivel național.
Potrivit lui Lupașcu, în ceea ce privește ASC, bugetul total alocat pentru anul 2026 constituie aproximativ 27 de milioane de lei, fiind repartizat după cum urmează: cheltuieli de personal – 17 milioane de lei și cheltuieli pentru întreținerea instituției și implementarea proiectelor de securitate cibernetică – 10 milioane de lei.
Întrebat când au fost efectuate ultimele audituri de securitate, Lupașcu a declarat că pe parcursul anului 2026 instituția a participat la evaluarea nivelului de securitate cibernetică.
„R. Moldova a transpus cadrul normativ european în domeniul securității cibernetice, bazat pe Directiva NIS2. În conformitate cu acest cadru, autoritatea națională de securitate cibernetică are, printre alte atribuții, responsabilitatea de a identifica și desemna furnizorii de servicii din sectoarele critice, atât din sectorul public, cât și din cel privat […]. Pe parcursul anului 2026, ASC a participat la evaluarea nivelului de securitate cibernetică a entităților din sectorul energetic, contribuind la identificarea deficiențelor de securitate și la formularea recomandărilor necesare pentru consolidarea rezilienței cibernetice a sectorului”, susține Lupașcu.
Expert: „Prea puțină atenție s-a acordat domeniului protecției datelor și măsurilor de securitate”
Sergiu Bozianu, președintele Asociației pentru Protecția Vieții Private, a declarat anterior pentru ZdG că cei care au penetrat și au spart baza de date poartă, în primul rând, răspundere pentru atacul cibernetic.
„Ei, în primul rând, trebuie să fie identificați. Dar, la mod practic, răspunderea administrativă și juridică cade pe deținătorul registrului de stat și a integratorului, deci AGE, celelalte instituții, cum ar fi STISC, ASC, Centrul Național pentru Protecția Datelor. Acestea sunt instituțiile vizate care trebuie să ne ofere răspuns. Uitați-vă, nu vreau sa fiu răutăcios în această situație, dar, mai devreme sau mai târziu, acest incident urma să se întâmple, eu chiar aș spune că el s-a intamplat tardiv, prea puțină atenție s-a acordat domeniului protecției datelor și măsurilor de securitate”, puncta Bozianu.
Cel mai mare atac cibernetic din istoria R. Moldova
Potrivit AGE, în perioada 19–23 octombrie, conform estimărilor preliminare, au fost extrase seturi de date asociate unui număr de circa 750 de mii de IDNP-uri. Informațiile vizate includ date de identificare, precum numele, prenumele, data și locul nașterii, datele despre membrii familiei de gradul I, permisul de conducere, fotografia, companiile deținute sau administrate, precum și informații financiare, inclusiv codul IBAN, datoriile fiscale și istoricul plăților prin MPay. Potrivit instituției, informațiile privind cardurile bancare nu au fost afectate, întrucât plățile cu cardul prin MPay și EVO sunt procesate prin sistemele securizate ale băncilor, iar platforma guvernamentală nu stochează aceste informații sensibile. Prim-ministrul Vasile Tofan a anunțat că există indicii privind implicarea unor actori statali străini în atacul cibernetic, iar organele competente investighează acest aspect.
Potrivit președintei Maia Sandu, datele a peste 450 de mii de cetățeni au fost accesate în urma atacului cibernetic asupra sistemelor guvernamentale din octombrie. Conform șefei statului, cifra este mai mică decât cea vehiculată anterior, dar rămâne una semnificativă. AGE urmează să notifice persoanele vizate.
„Comunicarea instituțiilor statului despre incident a fost întârziată și nu a răspuns tuturor îngrijorărilor oamenilor. Lipsa unui protocol de comunicare pentru asemenea situații a dus la ezitări și reacții. Ultimele evaluări arată că au fost accesate date a peste 450 de mii de cetățeni, o cifră mai mică decât cea care s-a vehiculat în ultimele zile, dar oricum este o cifră mare. Acești oameni urmează să fie notificați de către AGE”, a precizat Maia Sandu.
Potrivit președintei, atacul a scos la iveală probleme structurale și de guvernanță în infrastructura digitală a statului. Sistemele verificau aplicația care solicita date, dar nu și identitatea utilizatorului sau dreptul acestuia de a accesa informațiile.
„Astfel, o singură aplicație cu acces defect a deschis registrele a cel puțin 10 instituții. Atacatorul, având un set de IDNP-uri, a intrat în sistem și a extras date pe care ulterior le-a folosit pentru a pătrunde mai departe și a extrage dosare complete”, a explicat Sandu.
Președinta a prezentat și cronologia atacului. Potrivit acesteia, solicitările automate, provenite de la peste 638 de adrese IP care ascundeau sursa reală, au început în seara zilei de 19 octombrie.
Pe 4 noiembrie, după audierea reprezentanților instituțiilor responsabile de securitatea cibernetică, președintele Comisiei parlamentare pentru securitate națională, apărare și ordine publică, Lilian Carp, a declarat că atacul a fost lansat din afara Republicii Moldova. Unele adrese IP folosite de atacatori au fost identificate în țări pe care deputatul le-a numit „mai exotice”.
Carp a precizat că cele aproximativ 750 de mii de seturi de date nu reprezintă neapărat tot atâtea persoane afectate, deoarece datele unei persoane puteau fi accesate de mai multe ori, prin intermediul unor platforme diferite.
