De aproape două săptămâni, România nu își poate folosi normal sistemul național de cadastru și carte funciară. Tranzacții imobiliare, credite, ipoteci, succesiuni și lucrări cadastrale sunt blocate după ce un atacator sau un grup restrâns a găsit în infrastructura ANCPI exact ceea ce nu ar trebui să existe într-un sistem critic al statului: aplicații neactualizate, echipamente ieșite din suport, parole reutilizate și o rețea aproape nesegmentată. Acum, autoritățile încearcă să mute în grabă aplicațiile în Cloudul Guvernamental. Întrebarea este de ce această mutare nu s-a făcut înaintea atacului.
Luni, 27 iulie, aplicațiile Agenției Naționale de Cadastru și Publicitate Imobiliară încă nu funcționează. Migrarea în Cloudul Guvernamental, coordonată de Serviciul de Telecomunicații Speciale, ar fi trebuit finalizată pe 22 iulie. Termenul a fost depășit, iar Guvernul recunoaște că au apărut „impedimente tehnice”.
Mai mult, purtătorul de cuvânt al Guvernului a declarat că nimeni nu mai riscă să ofere o nouă estimare, după ce termenele anunțate anterior nu au fost respectate. Informația a fost confirmată luni de Guvern.
Cu alte cuvinte, statul român nu știe nici măcar când va putea reporni sistemul care certifică juridic proprietatea asupra imobilelor din România.
Atacul nu a fost sofisticat. Apărarea a fost slabă
Raportul tehnic intermediar al Directoratului Național de Securitate Cibernetică este devastator pentru ANCPI.
Atacatorul ar fi pătruns în infrastructură pe 10 iulie, prin exploatarea unor vulnerabilități cunoscute ale unui server de autentificare expus în internet. Incidentul a fost detectat de organizație abia după aproximativ trei zile și 14 ore.
În acest interval, hackerul a avut timp să se deplaseze prin rețeaua internă, să obțină credențiale administrative, să ajungă la platforma centrală de virtualizare și să inventarieze 1.083 de mașini virtuale.
Aproximativ 100 dintre acestea au fost șterse. Au fost criptate fișiere, au fost accesate depozitele cu codul-sursă pentru aplicații precum e-Terra și RENNS, iar discul virtual al unui server Active Directory a fost transferat către un server controlat de atacator.
DNSC descrie un tablou greu de imaginat pentru o instituție care administrează evidența juridică și tehnică a proprietăților din întreaga țară:
- firewall-uri și echipamente de protecție ieșite din perioada de suport;
- o versiune VMware vCenter care nu mai beneficia de suport oficial;
- vulnerabilități critice cunoscute de ani de zile;
- antivirus instalat doar pe calculatoarele angajaților, nu și pe serverele analizate;
- parole administrative reutilizate pe sisteme și echipamente diferite;
- segmentarea aproape inexistentă a rețelei;
- o soluție de protecție web care păstra jurnalele de activitate doar șapte minute;
- lipsa unui sistem centralizat eficient pentru colectarea și păstrarea logurilor.
Concluzia DNSC este limpede: toate aceste deficiențe au permis ca o singură breșă să se transforme într-o „compromitere completă a organizației”. Raportul tehnic DNSC poate fi consultat aici.
Mai grav, directorul DNSC, Dan Cîmpean, a declarat că atacul nu a fost unul complex și că hackerii au folosit vulnerabilități despre care instituția fusese notificată anterior.
Nu vorbim, așadar, despre o armă cibernetică nemaivăzută. Vorbim despre uși cunoscute ca fiind defecte, dar rămase nereparate.
Au fost sau nu furate date?
ANCPI a repetat că bazele de date tehnice și juridice nu au fost afectate. Raportul DNSC confirmă că nu au fost găsite dovezi privind accesarea bazei centrale Oracle Exadata, care conține cele mai importante date cadastrale. Experții consideră chiar foarte puțin probabil ca atacatorul să fi obținut informațiile din această bază.
Dar aceasta nu înseamnă că nu au fost furate date.
DNSC confirmă extragerea unor înregistrări din directorul utilizatorilor externi. Acestea conțineau nume, adrese de e-mail, identificatori și parole stocate sub formă de hash. Estimarea de aproximativ două milioane de înregistrări aparține atacatorului și nu a fost verificată integral de autorități.
Au mai fost expuse coduri-sursă, configurații, credențiale administrative și informații despre arhitectura infrastructurii ANCPI.
Prin urmare, formula publică potrivit căreia „datele nu au fost afectate” este cel puțin incompletă. Baza centrală a proprietăților nu pare să fi fost compromisă, dar alte date și informații sensibile au fost accesate sau extrase.
Care este, de fapt, rolul STS?
Aici trebuie făcută o distincție importantă.
Raportul DNSC arată că infrastructura atacată era infrastructura proprie a ANCPI, amplasată în centrul de date al agenției din Piața Presei, București. Documentul nu stabilește că STS administra înaintea atacului serverele vulnerabile, actualizările aplicațiilor sau parolele ANCPI.
În lipsa unui contract sau a unui document care să dovedească o asemenea delegare, nu poate fi afirmat ca fapt că STS era direct responsabil pentru securizarea serverelor vechi ale ANCPI.
Confuzia apare deoarece STS are un rol major în Cloudul Privat Guvernamental.
Potrivit legislației, STS administrează componenta de cloud intern, asigură infrastructura de bază, serviciile IaaS și PaaS, conectivitatea și protecția acestora. SRI, prin Centrul Național Cyberint, are atribuții privind securitatea serviciilor SaaS și contracararea amenințărilor complexe, iar Autoritatea pentru Digitalizarea României coordonează migrarea și integrarea instituțiilor.
Cloudul Guvernamental nu este, așadar, administrat și securizat de o singură instituție. Responsabilitățile sunt împărțite între ADR, STS, SRI și instituția care deține aplicația. OUG nr. 89/2022 stabilește atribuțiile fiecărei structuri.
În cazul ANCPI, STS a intrat vizibil în operațiune după atac, coordonând mutarea aplicațiilor către noua infrastructură. Premierul Ilie Bolojan a anunțat că STS va evalua securitatea aplicației, iar Centrul Național Cyberint va audita noua infrastructură înainte de repornire.
Responsabilitatea pentru breșa inițială indică în primul rând spre conducerea și structura IT a ANCPI. Responsabilitatea pentru întârzierea actuală trebuie însă explicată de toate instituțiile implicate în migrare: ANCPI, ADR, STS, SRI și Guvern.
De ce nu fusese mutată ANCPI în cloud înaintea atacului?
Aceasta este una dintre întrebările centrale ale cazului.
Dacă Cloudul Privat Guvernamental trebuia să ofere un mediu mai sigur, redundant și mai ușor de supravegheat, de ce aplicațiile ANCPI au fost mutate abia după ce atacatorul a compromis infrastructura veche?
Cadrul legal există din 2022. Prin OUG nr. 89/2022, autoritățile administrației publice centrale au primit obligația de a migra serviciile publice electronice în Cloudul Privat Guvernamental.
Legea nu a stabilit însă că toate instituțiile trebuie mutate simultan și nici nu a fixat un termen individual pentru fiecare sistem. Migrarea urma să fie realizată după un plan de prioritizare, în limita infrastructurii disponibile și pe baza unor acorduri încheiate între ADR și fiecare instituție.
Aplicațiile vechi trebuiau mai întâi analizate, actualizate și transformate în sisteme compatibile cu mediul cloud. Instituția beneficiară trebuia să ofere documentația tehnică, pachetele de instalare, licențele și accesul la infrastructura existentă. ADR trebuia să elaboreze și să coordoneze planul de migrare.
Obligația generală exista. Calendarul concret a fost însă lăsat în seama unui proces administrativ și tehnic împărțit între mai multe instituții.
Exact tipul de mecanism în care responsabilitatea riscă să se piardă între semnături, acorduri, licitații și comitete.
Statul și-a propus doar 30 de aplicații până în iunie 2026
Proiectul PNRR „Migrarea aplicațiilor și sistemelor informatice în cloud”, gestionat de ADR, a început oficial la 6 iulie 2023 și avea ca dată de finalizare 30 iunie 2026.
Bugetul total depășește un miliard de lei cu TVA. Obiectivul asumat nu era însă mutarea tuturor sistemelor administrației centrale, ci migrarea a minimum 30 de aplicații și sisteme informatice până în iunie 2026. ADR prezintă aici obiectivele și calendarul proiectului.
Licitația permitea, teoretic, migrarea a până la 136 de aplicații pe durata acordului-cadru. Obligația imediată finanțată prin PNRR privea însă doar primele 30.
Aici se găsește primul răspuns la întrebarea de ce doar unele instituții sunt în cloud: statul român nu și-a propus să le mute pe toate în prima etapă. A construit infrastructura treptat și a ales un lot limitat de aplicații, care urmau să fie selectate după criterii tehnice și de importanță.
Problema este că lista completă și stadiul fiecărei aplicații nu sunt prezentate public într-o formă care să permită verificarea.
Nu știm dacă e-Terra a fost evaluată, dacă ANCPI a fost notificată pentru migrare, dacă a existat un acord semnat cu ADR sau dacă sistemul a fost lăsat pentru o etapă ulterioară.
Din informațiile publice consultate nu rezultă că ANCPI ar fi avut, înaintea atacului, un proiect efectiv de migrare în derulare.
Peste doi ani s-au consumat înainte de contractarea migrării
Cronologia ridică alte semne de întrebare.
Proiectul a început în iulie 2023. În iunie 2024, ADR era încă în etapa consultării pieței pentru achiziția serviciilor de migrare. În februarie 2025, instituția organiza o sesiune pentru prezentarea documentației de licitație.
Contractele-cadru cu firmele care urmau să realizeze migrarea au fost atribuite abia în toamna anului 2025.
Așadar, din cele 36 de luni prevăzute pentru proiect, peste doi ani s-au consumat cu pregătirea cadrului, consultări și achiziții. Migrarea propriu-zisă a rămas pentru ultimele luni.
Documentația contractului prevedea servicii pentru minimum 30 și maximum 136 de aplicații, iar acordul-cadru avea o durată de 48 de luni. Aceasta arată că nici autoritățile nu se așteptau ca toate sistemele importante ale statului să ajungă în cloud până în iunie 2026. Anunțul european de atribuire poate fi consultat aici.
În mai 2026, Guvernul recunoștea că migrarea era blocată
Cea mai clară dovadă a întârzierilor apare într-o ordonanță de urgență adoptată de Guvern la 4 mai 2026.
În preambulul OUG nr. 34/2026, Guvernul recunoaște că acordurile necesare pentru licențele software nu fuseseră încheiate. Din această cauză, STS nu putea achiziționa licențele pentru sistemele de operare și bazele de date necesare funcționării aplicațiilor migrate.
Executivul scria explicit că situația putea conduce la „blocarea procesului de migrare a aplicațiilor și serviciilor publice digitale” și la pierderea a șase milioane de euro din PNRR.
Pentru deblocare, Guvernul i-a permis STS să pornească achizițiile înainte de finalizarea acordurilor guvernamentale cu producătorii de software. Textul OUG nr. 34/2026 descrie direct întârzierile și riscurile.
Cu mai puțin de două luni înaintea termenului stabilit pentru migrarea primelor 30 de aplicații, statul încă modifica legislația în regim de urgență pentru a putea cumpăra licențele fără de care sistemele nu puteau funcționa în cloud.
Termenul din iunie a trecut. Cel final expiră la 31 august
Trebuie separate două termene.
Primul este 30 iunie 2026, data de finalizare prezentată de ADR pentru proiectul de migrare și termenul până la care minimum 30 de aplicații trebuiau transferate. Acest termen a trecut.
Până în prezent, nu a fost publicat un raport suficient de clar care să arate nominal cele 30 de aplicații, instituțiile beneficiare și data la care fiecare migrare a fost finalizată. Fără această listă, îndeplinirea obiectivului nu poate fi verificată independent.
Al doilea termen este 31 august 2026, prezentat de Guvern ca termen-limită pentru finalizarea investițiilor PNRR din această componentă. Acesta nu a fost încă depășit, dar ordonanța din luna mai avertiza deja asupra riscului de neîndeplinire a jaloanelor.
Nu putem spune că ANCPI a încălcat un termen individual public, pentru că nu a fost identificat un calendar oficial care să stabilească data exactă la care e-Terra trebuia migrată.
Putem spune însă altceva: statul avea din 2022 obligația legală de a muta serviciile publice electronice în cloud, avea un proiect de peste un miliard de lei început în 2023 și avea un obiectiv de minimum 30 de aplicații până în iunie 2026.
Cu toate acestea, la jumătatea lunii iulie, unul dintre cele mai importante sisteme publice ale României funcționa încă pe infrastructura veche, vulnerabilă și administrată local.
De ce nu a fost ANCPI o prioritate?
Selectarea primelor aplicații trebuia făcută în urma unei analize tehnice și de business. Tocmai aici trebuie cerute explicațiile.
ANCPI administra înaintea atacului evidența a aproape 29 de milioane de imobile. Sistemul e-Terra era folosit zilnic de oficiile de cadastru, notari, geodezi, bănci, primării, dezvoltatori și proprietari. Oprirea lui putea bloca o parte importantă a economiei.
Dacă un asemenea sistem nu s-a aflat între prioritățile migrării, cine a stabilit prioritățile și pe baza căror criterii?
Dacă s-a aflat pe listă, de ce migrarea nu a fost realizată înainte de atac?
Dacă ANCPI nu era pregătită tehnic pentru cloud, de ce aplicațiile și echipamentele vechi au continuat să fie expuse în internet fără actualizări, segmentare adecvată și copii de siguranță imuabile?
Iar dacă problema a fost lipsa licențelor, a contractelor sau întârzierea Cloudului Guvernamental, atunci responsabilitatea nu mai aparține doar ANCPI. Ea urcă spre ADR, Ministerul Digitalizării, STS și Guvern.
Cloudul nu repară automat o aplicație vulnerabilă
Mutarea în cloud nu reprezintă, singură, o garanție absolută de securitate. Dacă o instituție transferă o aplicație veche, neactualizată și prost configurată, vulnerabilitatea poate fi mutată odată cu ea.
Diferența este că infrastructura guvernamentală ar trebui să ofere segmentare, monitorizare centralizată, redundanță, copii de siguranță, control mai strict al accesului și intervenție coordonată. Exact mecanismele care au lipsit în infrastructura ANCPI.
Mai important, migrarea făcută înaintea incidentului putea fi planificată, testată și realizată fără presiune.
Acum statul încearcă să mute aplicațiile după compromiterea infrastructurii, cu parole și coduri-sursă expuse, mașini virtuale șterse și sisteme care trebuie verificate înainte de a fi repornite.
Este diferența dintre o mutare organizată și evacuarea unei clădiri după incendiu.
10.000 de profesioniști blocați și o piață ținută pe loc
Fără extrasul de carte funciară pentru autentificare, notarul nu poate încheia în condiții normale o vânzare, o donație, o ipotecă sau alte acte prin care se transmite ori se constituie un drept real asupra unui imobil.
Sunt afectate și succesiunile, intabulările, dezmembrările, alipirile, înscrierea construcțiilor, radierile de ipoteci și proiectele de investiții.
Colegiul Geodezilor din România estimează că peste 10.000 de profesioniști din cadastru, topografie și geodezie sunt afectați. Firmele nu își pot finaliza lucrările, nu pot emite sau încasa facturile și riscă să piardă contracte și finanțări.
La acestea se adaugă notarii, băncile, dezvoltatorii, cumpărătorii și proprietarii.
Problema nu se va încheia în ziua în care e-Terra va fi repornită. Atunci va începe al doilea blocaj: miile de cereri restante, peste care se vor suprapune documentațiile acumulate în zilele de nefuncționare.
Cine răspunde?
Atacatorul trebuie identificat și cercetat penal. Dar explicația comodă potrivit căreia „un hacker a atacat România” nu poate ascunde responsabilitatea administrativă.
Hackerul a apăsat pe clanță. Ușa fusese lăsată descuiată de ani de zile.
Conducerea ANCPI trebuie să explice cine răspundea de actualizarea aplicațiilor și echipamentelor, cine a primit avertismentele DNSC, ce măsuri au fost dispuse și de ce nu au fost aplicate.
Trebuie clarificat cine a acceptat folosirea acelorași parole pe sisteme diferite, lipsa segmentării rețelei și păstrarea logurilor doar șapte minute.
ADR și Ministerul Digitalizării trebuie să comunice dacă ANCPI și e-Terra se aflau pe lista aplicațiilor programate pentru migrare, când a fost notificată instituția, dacă a fost semnat un acord și care era termenul stabilit.
STS trebuie să explice de ce migrarea pe care o coordonează după atac a depășit termenul anunțat și care sunt impedimentele tehnice. Guvernul trebuie să spună câte dintre cele minimum 30 de aplicații au fost migrate până la 30 iunie și ce instituții au fost alese înaintea ANCPI.
Pentru că migrarea după atac nu poate fi prezentată drept un succes al statului digital. Este o operațiune de salvare făcută în grabă, după ce prevenția, prioritizarea și calendarul administrativ au eșuat.
Problema nu este doar că un hacker a reușit să pună România imobiliară în stand-by. Problema este că statul i-a oferit infrastructura necesară pentru a o face și, după aproape două săptămâni, încă nu știe când o va putea reporni.
