O rețea de instituții e la fel de sigură ca cea mai slabă din ea

În iulie 2026, cineva a spart ANCPI, Agenția Națională de Cadastru și Publicitate Imobiliară, cea care ține cadastrul țării. Apoi a publicat harta rețelei ei interne. Din ea se citește, negru pe alb, cât de sigur era registrul: din 6.205 calculatoare active, aproape 4.900 rulează sisteme fără suport de securitate, 599 dintre ele încă pe Windows XP. Zero cu parole de administrator unice.

Nu noi am scanat ANCPI. Am citit ce era deja public, pus acolo de cel care a spart-o. Ce se citește nu e o ipoteză despre ce s-ar putea întâmpla. E o fotografie a ce rula în acel moment.

Și aici e miza. PNI, Platforma Națională de Interoperabilitate, va lega peste 3.000 de instituții. E o arhitectură corectă, discutată în Episodul 05: platforma nu stochează date, le transportă. Are însă o consecință pe care caietele de sarcini nu o tratează niciodată: o rețea de instituții e la fel de sigură ca cea mai slabă instituție din ea. Conectezi ANAF, CNAS, MAI și ANCPI la aceeași magistrală, iar un atacator care compromite pe cea mai vulnerabilă ajunge, prin ea, la datele cerute de la celelalte.

Cum am ajuns la cifre

Datele provin dintr-o colectare a Active Directory-ului ANCPI, sistemul care ține evidența tuturor calculatoarelor, utilizatorilor și grupurilor dintr-o rețea Windows de organizație. Colectarea a fost făcută cu SharpHound, instrumentul standard de cartografiere a unei rețele Windows, și a ajuns publică pentru că atacatorul a inclus-o în datele scurse. Noi am analizat acel set deja publicat, nu am accesat niciun sistem ANCPI. E un set de șase fișiere, un instantaneu al rețelei la data de 13 iulie 2026.

Un Active Directory nu conține parole și nu conține conținutul fișierelor. Conține inventarul și structura: ce calculatoare există, ce sistem de operare rulează fiecare, când s-au conectat ultima oară, în ce grupuri sunt, cine are drepturi de administrator, ce politici li se aplică. Exact datele din care se citește postura de securitate a unei organizații, fără să atingi un singur fișier al ei.

O precizare de metodă, pe care o repetăm în tot articolul: separăm ce e constatat din dump de ce e ipoteză. Numărul de calculatoare ce rulează Windows XP e un fapt citit direct din date. „Un atacator ar putea ajunge la Domain Admin” e un raționament despre risc, nu o breșă demonstrată.

Cifrele de bază, constatate direct:

• 6.235 de calculatoare înregistrate, dintre care 6.205 active (restul, dezactivate).
• 483 de grupuri, 405 unități organizaționale, 69 de politici de grup, 7 controlere de domeniu.
• Domeniul ANCPI.RO, cu nivel funcțional 2012, adică ridicat ultima oară la un standard din 2012.

6.205 calculatoare, aproape 4.900 fără suport

Prima cifră e și cea mai grea. Din 6.205 calculatoare active, 79 la sută, aproape 4.900, rulează un sistem de operare care nu mai primește actualizări de securitate. Nu „vechi”. Producătorul a încetat oficial să mai livreze corecții, inclusiv pentru vulnerabilități critice nou descoperite.

O precizare necesară asupra cuvântului „active”. În Active Directory, un calculator e „activ” dacă obiectul lui nu e dezactivat, nu neapărat dacă cineva îl folosește azi. O parte dintre aceste obiecte sunt stații scoase din uz cărora nimeni nu le-a șters înregistrarea: peste 2.100 nu s-au mai autentificat de peste un an (revenim la ele la final). Așadar cifra de „aproape 4.900” e numărul de obiecte înregistrate și neduse la retragere, nu o garanție că toate rulează chiar acum. Parcul viu de mașini fără suport e, foarte probabil, mai mic. Rămâne totuși un fapt citit direct din date, iar diferența nu schimbă concluzia: chiar și numai stațiile care s-au autentificat recent depășesc cu mult ce ar trebui să existe pe o rețea de registru național.

Defalcarea, tot din date: 599 de calculatoare ce rulează Windows XP (sistem scos din suport în 2014), 721 pe Windows 7 (2020), 701 pe Windows 8.1 (2023), plus câteva zeci de servere pe Windows Server 2003 și 2008. La acestea se adaugă 2.601 pe Windows 10, sistem al cărui suport gratuit s-a încheiat în octombrie 2025.

Ca să fie clar ce înseamnă concret: un calculator ce rulează Windows XP conectat la rețea e vulnerabil la exploituri publice vechi de peste un deceniu: EternalBlue, familia de atacuri care a alimentat WannaCry în 2017, funcționează pe astfel de mașini fără nicio problemă. Nu vorbim de un risc teoretic sofisticat. Vorbim de unelte descărcabile gratuit, documentate public.

Un ceas care ticăie de doisprezece ani

Datoria tehnică nu apare peste noapte. Funcționează ca o datorie obișnuită: amâni un cost azi, înlocuirea unui echipament învechit, și îl plătești mai scump mai târziu. Doar că aici dobânda nu se plătește în bani, ci în risc, fiecare an în care un calculator rămâne fără actualizări îl face mai ușor de spart. Se acumulează pe tăcute, an de an, de fiecare dată când un sistem iese din suport și nu e înlocuit. Dacă așezi fiecare familie de sisteme pe axa timpului, în dreptul anului în care a ieșit din suport, imaginea devine o cronologie a amânării.

Windows XP e restant de doisprezece ani. Windows 7, de șase. Practic tot parcul e la stânga liniei „azi”. O singură familie, Windows 11, cu 1.270 de calculatoare, e la dreapta ei, în zona suportată. Restul e recuperare.

O hartă a țării, colorată pe risc

ANCPI e o instituție teritorială: un sediu central, 42 de oficii județene (OCPI) și birourile locale (BCPI). Riscul nu e distribuit uniform. Am colorat fiecare județ după procentul lui de calculatoare fără suport.

Roșu aproape peste tot. Cluj, Botoșani, Prahova, Tulcea: 99 la sută. Bihor 98, Sibiu 97. Câteva județe stau mai bine, Hunedoara 41 la sută, Iași 47, Arad și Satu Mare 48, probabil pentru că au trecut deja printr-o rundă de reînnoire a parcului de calculatoare și a sistemelor de operare. Diferența dintre un județ pe verde și unul pe roșu nu e mărimea. E dacă cineva a apucat să înlocuiască echipamentele sau nu.

Ce conține parcul IT

Aceeași realitate, văzută ca flux: cum se împart cele 6.205 calculatoare pe status și, mai departe, pe familii de sisteme moarte.

Cum s-ar prăbuși un domeniu

Aici trecem explicit de la constatare la raționament de risc. Ce urmează nu e o breșă demonstrată. E un lanț de atac construit din slăbiciuni reale, citite din date, modul standard în care echipele de securitate evaluează o expunere înainte ca ea să fie exploatată.

Trei constatări, toate din dump:

1. 599 de calculatoare ce rulează Windows XP, plus servere pe 2003/2008, puncte de intrare cu exploituri publice.
2. Zero calculatoare cu LAPS. LAPS e mecanismul care dă fiecărui calculator o parolă de administrator local unică și randomizată. Fără el, e foarte probabil ca parola de administrator local să fie aceeași pe multe stații, ceea ce transformă compromiterea unei singure mașini în acces pe toate celelalte care împart aceeași parolă. Din 6.235 de calculatoare, niciunul nu are LAPS activat.
3. Trei calculatoare cu „unconstrained delegation”, o configurație care, dacă e prost plasată, permite unui atacator să fure identitatea altor utilizatori care se autentifică pe acea mașină, inclusiv, în cel mai rău caz, a administratorilor de domeniu.

Puse cap la cap, cele trei dau un traseu clasic:

Un atacator intră printr-o stație XP (exploit public). Reutilizează parola de administrator local, aceeași, în absența LAPS, ca să se miște lateral pe alte mașini. De acolo, ajunge la un cont sau o mașină cu drepturi mari și, prin delegare, escaladează la Domain Admin, controlul total al domeniului ANCPI.RO. Repetăm: nu spunem că s-a întâmplat. Spunem că structura nu se opune ca să se întâmple.

De ce contează pentru PNI

Până aici, e postura de securitate a unei singure instituții. Miza apare când o legi de interoperabilitate.

PNI e o magistrală care rutează date sensibile, fiscale, medicale, de evidența populației, de cadastru, între instituții. Modelul de securitate al unei astfel de platforme presupune că fiecare instituție conectată își apără propriul capăt. Un capăt în care 79 la sută dintre calculatoare nu primesc patch-uri, iar un compromis local escaladează plauzibil la controlul întregului domeniu, nu e un capăt pe care te poți baza. Nu pentru că cineva ar fi neglijent cu rea intenție, ci pentru că datoria tehnică s-a acumulat necontrolat, an după an.

Întrebarea de pus înainte de conectare nu e „funcționează integrarea tehnic?”. E „ce nivel de securitate aduce fiecare instituție la masă?”. Pentru ANCPI, răspunsul citit din date e: unul care are nevoie de remediere serioasă înainte, nu după.

Muți seiful, schimbi și lacătul?

Între timp, agenția a anunțat cum se recuperează. Conform unui comunicat oficial ANCPI, a început migrarea aplicațiilor în Cloudul Guvernamental, operațiune coordonată de Serviciul de Telecomunicații Speciale, cu estimare de finalizare în 22 iulie 2026. E o veste bună, dar merită citită cu atenție, pentru că mutarea pe un cloud de stat rezolvă o parte a problemei și lasă neatinsă exact partea prin care a intrat atacul.

Un cloud guvernamental apără infrastructura de jos: găzduire, izolare, redundanță, poate patching gestionat al serverelor. Nu apără însă împotriva a ceea ce s-a întâmplat aici. Amenințarea nu vine dinspre serverul unde stau datele, ci dinspre capătul care le accesează. Dacă o stație ce rulează Windows XP, fără parolă locală unică, e compromisă, iar acea stație are drept de acces la aplicație, atacatorul ajunge la date indiferent unde e găzduită aplicația. Cloudul nu întreabă „ești o mașină sănătoasă?”, întreabă „ai credențialele?”. Iar credențialele stau tocmai pe veriga slabă.

Așa că întrebarea corectă nu e „au mutat aplicațiile pe cloud?”, ci „au reconstruit și stratul de acces?”. Sunt două scenarii foarte diferite. Într-unul, muți aceleași conturi și lași aceleași stații să se conecteze la ele: relochezi seiful, dar dai cheile aceluiași lăcătuș, iar slăbiciunea călătorește odată cu datele. În celălalt, reconstruiești identitatea, cu parole locale unice și autentificare în mai mulți pași: abia atunci mutarea atinge cauza. Comunicatele oficiale vorbesc despre „reinstalare” și „migrare”, ceea ce înclină spre reconstrucție, dar niciunul nu spune explicit ce se întâmplă cu stratul de identitate al rețelei. Public, întrebarea rămâne deschisă. Și e singura care contează.

Ce se poate remedia

Spre deosebire de multe probleme din Dosarul PNI, aceasta are soluții tehnice cunoscute, cu cost previzibil. Nu e nevoie de nicio anchetă ca să începi:

• Izolarea imediată a sistemelor moarte. Calculatoarele pe XP și serverele pe 2003/2008 care nu pot fi înlocuite pe loc trebuie segmentate în rețea, cu SMBv1 dezactivat, până la retragere.
• Activarea LAPS pe tot parcul, prin politică de grup. E gratuit, e nativ în Windows, randomizează parolele de administrator local și taie mișcarea laterală. Impact mare, efort mic.
• Un plan de migrare eșalonat, prioritizat pe județele de pe roșu și pe serverele expuse, cu buget și calendar publice.
• Curățarea conturilor inactive. Peste 2.100 de calculatoare nu s-au mai autentificat de peste un an și umflă inutil suprafața de atac.
• Revizuirea delegărilor și trecerea la variante restrânse (constrained / RBCD), acolo unde delegarea chiar e necesară.

Toate ar trebui făcute oricum. Conectarea la o platformă națională doar le transformă din igienă internă în condiție de sistem.

Întrebările care rămân

Am putut privi înăuntrul ANCPI dintr-un singur motiv: un atac a împins datele afară. Restul întrebărilor sunt însă valabile pentru orice registru al statului.

Și-au făcut celelalte registre ale statului, cele pe care PNI urmează să le conecteze, un astfel de exercițiu? Din afară nu se vede niciunul. Pentru ANCPI, auditul l-a făcut atacatorul.

Cine verifică postura de securitate a unei instituții înainte de conectare? În caietele de sarcini, nimeni. Se presupune că fiecare își apără capătul.

Ce se întâmplă când presupunerea e falsă? Exact ce s-a văzut aici.

E pregătit statul român să înțeleagă ce conectează? Se conectează doar datele, sau și vulnerabilitățile? Acestea sunt întrebările. Fără răspuns, deocamdată.

Ce nu am scris

Ca să fie clar:

• Nu am scris cum anume a intrat atacatorul. Filmul spargerii e public, metodologia lui nu. Analizăm postura rețelei citită din date, nu pașii incidentului, și nu afirmăm că slăbiciunile descrise aici au fost calea de intrare.
• Nu am scris că cineva de la ANCPI a greșit cu rea-credință. Datoria tehnică din administrația publică e sistemică, subfinanțată și veche de ani.
• Nu am scris pașii concreți ai vreunui atac, numele calculatoarelor vulnerabile, adresele de rețea sau alte detalii care ar ajuta pe cineva să exploateze rețeaua. Am agregat deliberat.
• Nu am scris că celelalte instituții pe care le-ar conecta PNI stau mai bine sau mai rău. Nu le-am analizat. ANCPI e cazul pe care îl avem documentat, fiindcă datele lui au ajuns publice.

Drept la replică

ANCPI are drept la replică integrală. Orice comunicare oficială a instituției, inclusiv o descriere a măsurilor deja luate sau planificate, ori a inexactităților pe care le-ar identifica în această analiză, se publică integral, fără editare de fond, cu trimitere clară din acest articol. Termen de răspuns: nelimitat. Același drept îl au ADR și Directoratul Național de Securitate Cibernetică, în măsura în care aspectele privesc conectarea la PNI.

Surse și metodă

Metodă și proveniență. Datele analizate provin dintr-o colectare Active Directory a domeniului ANCPI.RO (format SharpHound, șase fișiere JSON), instantaneu din 13 iulie 2026, publicată de atacatorul care a compromis ANCPI, ca parte a datelor scurse. Redacția nu a accesat niciun sistem al ANCPI: am analizat un set devenit deja public. Cifrele privind sistemele de operare, delegarea, LAPS și structura teritorială sunt agregări directe din aceste fișiere. Nu publicăm datele de tip inventar care ar putea folosi la un nou atac, nume de mașini, adrese de rețea, conturi individuale, și nici scanări de servicii. Colectarea nu conține parole și niciun conținut de fișier.

Repere tehnice publice

• Microsoft · End of support Windows XP, sfârșit suport 8 aprilie 2014
• Microsoft · Windows 7 / 8.1 / 10 lifecycle, datele de sfârșit de suport
• Microsoft · Windows LAPS, parole de administrator local randomizate
• CISA · EternalBlue / MS17-010, exploit public pe SMBv1
• BloodHound / SharpHound, metodologia de cartografiere Active Directory
• Comunicate de presă ANCPI, incidentul de securitate și migrarea aplicațiilor în Cloudul Guvernamental, operațiune coordonată de STS (finalizare estimată 22 iulie 2026)

Episoade din Dosarul PNI

• Episodul 05 · Arhitectura deschisă
• Episodul 11 · Să înțelegem ADR