Două inventare, două lumi: cadastrul care rulează în afara propriei securități

Din 319 server-e prezente în datacenter-ul ANCPI care au un nume, doar două apar în evidența Active Directory a instituției. Restul rulează într-o lume paralelă, în afara oricărui control de domeniu. Iar printre ele e chiar motorul cadastrului național, e-Terra. Sunt în afara domeniului probabil pentru că rulează pe Linux, nu pe Windows. Scanul de rețea le-a găsit oricum.

În Episodul 01 am măsurat un parc de calculatoare al ANCPI și am găsit un registru prost întreținut: aproape 4.900 de mașini fără suport de securitate, zero cu parole de administrator local forțate de Active Directory să fie unice. Dar acela era un singur parc, cel de birou. Din aceleași date publicate de atacator reiese un al doilea, iar el schimbă povestea.

Nu noi am scanat ANCPI. Ca și în Episodul 01, am citit ce era deja public, pus acolo de cel care a spart instituția. Pe lângă harta Active Directory, setul scurs conține și o scanare a rețelei interne de datacenter. Am corelat cele două inventare. Ce iese la suprafață nu se vede în niciunul dintre ele luat singur.

Metodă, și limitele ei

Lucrăm cu două surse. Prima e dump-ul Active Directory din Episodul 01, sistemul care ține evidența calculatoarelor și utilizatorilor din rețeaua de domeniu. A doua e o scanare a rețelei interne, o listă de server-e active și de servicii deschise pe patru subrețele de datacenter, la 12 și 13 iulie 2026.

O precizare fără de care restul nu se citește corect: o scanare de rețea arată ce e expus, nu ce e spart. Ne spune ce servicii ascultă pe rețea, nu dacă au fost accesate fără drept. Nu e un test de securitate autentificat. Când spunem „expunere”, spunem exact atât: o ușă care se vede din interiorul rețelei, nu o ușă prin care a intrat cineva. Separăm, ca și în Episodul 01, ce e constatat de ce e raționament de risc.

Două parcuri, o singură punte

Când pui cele două inventare unul lângă altul, se întâmplă ceva ciudat. Aproape nu se suprapun.

Rețeaua de domeniu, cea din Episodul 01, numără 6.235 de obiecte-calculator: circa 5.950 de stații teritoriale prin oficiile județene, 281 de server-e de filială și 7 controler-e de domeniu. E lumea gestionată, cea pe care o vede raportul de igienă: politici de grup, parole, audit.

Datacenter-ul e altă lume. Din cele 319 server-e cu nume rezolvat în scanul de rețea, doar două se regăsesc în Active Directory. Iar datacenter-ul e mai mare decât atât: scanul a găsit 401 server-e active pe patru subrețele, aproape 365 pe Linux sau de tip appliance și 36 pe Windows. Aproape toate trăiesc în afara domeniului. În afara politicilor de grup. În afara auditului centralizat. În afara igienei pe care o măsura Episodul 01.

Nu e neapărat o greșeală ca server-ele de producție să stea în afara domeniului Windows. Multe rulează Linux, iar Active Directory e o lume Windows. Problema nu e că sunt separate. Problema e ce înseamnă separarea pentru cine se uită: raportul de securitate care măsoară postura instituției se uită la parcul din domeniu. Iar partea care contează cel mai mult nu e în el.

Unde e partea care contează

Ce e în datacenter-ul din afara domeniului? Exact ce am bănui că este, respectiv inima instituției. Sistemul e-Terra, aplicația prin care se ține cadastrul național. Server-ele GIS, cele care lucrează cu datele geospațiale. Sistemul de identitate. Platforma WebSphere. Geoportal-ul.

Cu alte cuvinte: motorul cadastrului rulează în parcul pe care nicio politică de domeniu nu îl atinge. Când în Episodul 01 spuneam că 79 la sută dintre calculatoarele din domeniu nu primesc corecții de securitate, vorbeam despre stațiile de birou și server-ele de filială. Cadastrul propriu-zis nici măcar nu intra în acel calcul. E în celălalt parc.

Asta nu înseamnă că datacenter-ul e mai sigur pentru că nu apare în raportul de igienă. Înseamnă că e mai puțin văzut. Iar din ce se vede, în scanarea de rețea, apar câteva lucruri care merită spuse calm. Putem presupune că datacenter-ul a moștenit aceeași lipsă de igienă la actualizări ca parcul de birou: sisteme de operare vechi și pachete lăsate în urmă.

Rădăcina de încredere, pe un sistem mort

Începem cu cel mai simplu de înțeles. Toate cele 7 controler-e de domeniu ale ANCPI rulează pe Windows Server 2012 sau 2012 R2, sisteme scoase din suport în octombrie 2023. Controler-ul de domeniu e rădăcina de încredere a întregii rețele Windows: mașina care spune cine e cine și cine are voie la ce. Când rădăcina rulează pe un sistem care nu mai primește corecții, tot ce se sprijină pe ea moștenește riscul.

Iar două dintre aceste controler-e, cele care se văd și în scanarea de rețea, au deschis și telnet, un protocol de administrare care transmite totul, inclusiv parolele, în text clar. Telnet pe un controler de domeniu e ca și cum ai striga combinația seifului pe hol. Repetăm regula: expunere, nu breșă. Vedem ușa deschisă, nu spunem că a intrat cineva pe ea.

Ce se vede în datacenter

Din scanarea de rețea, calibrată pe severitate, reies câteva expuneri. Le dăm ca cifre, fără dramatizare:

• Telnet în clar pe 12 sisteme, dintre care 6 dispozitive de gateway. Administrare fără criptare, în inima datacenter-ului.
• Semnătura de mesaje SMB neimpusă pe circa 11 server-e. SMB e protocolul prin care se partajează fișiere și spațiu pe disc în rețea; fără semnătură impusă, se deschide teoretic o clasă de atacuri de retransmitere pe rețeaua internă.
• Un serviciu de cache (memcached) accesibil pe rețea, fără autentificare, pe 4 server-e din cluster-ul geoportal-ului.
• 60 de server-e cu certificate TLS efectiv expirate, verificate pe dată.
• 25 de server-e cu versiuni vechi de SSH (OpenSSH sub 7.0), semn că rulează pe sisteme de operare ieșite din suport.
• Portul de administrare de tip WebSphere (9080) deschis pe 34 de server-e. Consola de administrare a aplicației, expusă în rețea, probabil pe o versiune veche, neactualizată.
• Acces la distanță (RDP) expus pe rețea, pe 33 de server-e. Sesiuni grafice de administrare, direct pe rețeaua internă.
• 17 server-e cu un port de bază de date deschis pe rețea (PostgreSQL, Oracle, MySQL și altele).

Fiecare dintre astea e o expunere pe rețeaua internă, nu pe internet. Niciuna nu e, singură, o catastrofă. Împreună, ele descriu un datacenter în care segmentarea și igiena de rețea au rămas în urmă.

Identitatea, surpriza bună

Am analizat și stratul de identitate: cei 3.752 de utilizatori din Active Directory, cu drepturile lor. Aici, față de restul, imaginea e mai bună.

Ce e sănătos, și o spunem pentru că echilibrează povestea: nu există istoric de identificatori clonați, nu există delegare nerestrânsă pe conturi de utilizator, nu există o cale evidentă de escaladare către administratorii de domeniu dincolo de drepturile implicite standard. Suprafața pentru clasa de atacuri numită Kerberoasting e practic zero. Printre conturile cu adevărat privilegiate, patru cazuri ar merita o privire, dar niciunul nu duce la controlul total al domeniului.

Rămân însă probleme reale de igienă, din cele care se rezolvă prin politică, nu prin anchetă: 12 administratori de domeniu și 6 administratori de întreprindere, mai mulți decât recomandă orice bună practică. Niciun cont privilegiat marcat ca „sensibil, nu poate fi delegat”. 52 de conturi la care o parolă goală e posibilă tehnic. Zeci de conturi active care nu s-au mai folosit de peste un an.

Concluzia calibrată, care e miezul acestui episod: identitatea ANCPI e administrată rezonabil, dar rulează pe sisteme de operare moarte și lângă un datacenter negestionat. Nu e o catastrofă de identitate. E o casă îngrijită, construită pe o fundație crăpată, lângă o anexă pe care n-o mai controlează nimeni.

De ce contează pentru PNI

Ne întoarcem, ca în Episodul 01, la interoperabilitate. O platformă națională care conectează registrele statului presupune că fiecare instituție își apără propriul capăt. Dar ce capăt?

Când conectezi ANCPI la o magistrală națională, ce se conectează? Parcul de birou, cel vizibil, prost întreținut? Sau datacenter-ul din afara domeniului, cel unde rulează chiar cadastrul, cel pe care raportul de igienă nici nu îl vede? Interoperabilitatea nu întreabă din care parc vin datele. Le rutează pe amândouă.

Ce se poate remedia

Ca și în Episodul 01, nimic din toate astea nu cere o anchetă ca să fie început:

• Aducerea datacenter-ului sub audit. Chiar dacă server-ele de producție rămân în afara domeniului Windows, ele au nevoie de inventar, de monitorizare și de segmentare, exact ce le lipsește acum.
• Eliminarea telnetului, peste tot, dar în primul rând de pe controler-ele de domeniu. Există alternative criptate de zeci de ani.
• Un calendar de migrare a controler-elor de domeniu de pe sistemul de operare mort. E rădăcina de încredere; nu poate rămâne pe un sistem fără corecții.
• Reducerea numărului de conturi privilegiate și marcarea lor ca nedelegabile, o schimbare de politică, nu de buget.
• Reînnoirea certificatelor expirate și impunerea semnăturii SMB.

Ce nu am scris

Ca să fie clar:

• Nu am publicat nume de server-e, adrese de rețea sau porturi concrete ale sistemelor vulnerabile. Am agregat deliberat.
• Nu am publicat nume de conturi de utilizator. Sunt persoane reale. Vorbim în cifre.
• Nu am descris pașii vreunui atac. Vorbim despre expunere, nu despre cum se exploatează.
• Nu am afirmat că datacenter-ul a fost spart. Am analizat ce e expus, nu ce a fost accesat.
• Nu am transformat semnalele brute în titluri. Cifra calibrată e singura pe care o publicăm.

Drept la replică

ANCPI are drept la replică integrală. Orice comunicare oficială a instituției, inclusiv o descriere a măsurilor deja luate sau planificate, ori a inexactităților pe care le-ar identifica, se publică integral, fără editare de fond. Termen de răspuns: nelimitat. Același drept îl au ADR și Directoratul Național de Securitate Cibernetică, în măsura în care aspectele privesc conectarea la PNI.

Surse și metodă

Metodă și proveniență. Analiza pornește de la două seturi de date publicate chiar de atacator, ca dovadă a accesului, după breșa din iulie 2026: dump-ul Active Directory al domeniului ANCPI.RO (folosit și în Episodul 01) și scanul rețelei interne de datacenter. Ambele au fost urcate public pe platforme de partajare de fișiere, în pachetul de recunoaștere pe care cel care a spart instituția l-a făcut liber accesibil. Redacția nu a accesat niciun sistem al ANCPI și nu a rulat nicio scanare proprie: am analizat, ca și în Episodul 01, partea deja devenită publică.

Cifrele privind cele două inventare, controler-ele de domeniu, expunerile de rețea și stratul de identitate sunt agregări directe din aceste seturi. Nu publicăm date de tip inventar, nume de server-e, adrese sau porturi concrete, care ar putea folosi la un nou atac.

Episoade din Dosarul Registrelor

• Episodul 01 · Veriga slabă