Bolojan anunță reluarea activității ANCPI. Tranzacțiile pot reîncepe, dar incidentul cibernetic nu este închis

Premierul interimar Ilie Bolojan a anunțat că accesul la baza de date a Agenției Naționale de Cadastru și Publicitate Imobiliară ar urma să fie reluat în cursul acestei săptămâni. Revenirea sistemului va permite deblocarea treptată a tranzacțiilor imobiliare, suspendate după atacul cibernetic din 14 iulie.

Anunțul răspunde urgenței economice. Nu oferă însă, deocamdată, bilanțul incidentului.

Nu se cunoaște public ce infrastructură a fost compromisă, prin ce vulnerabilitate a pătruns atacatorul, ce informații au fost extrase, dacă au fost îndeplinite toate obligațiile privind protecția datelor și cine răspunde pentru faptul că un serviciu public esențial a devenit indisponibil la nivel național.

News Connect a prezentat anterior consecințele blocării sistemului ANCPI și întrebările rămase fără răspuns. Anunțul reluării activității marchează o etapă nouă. Nu închiderea incidentului.

Ce a anunțat, în realitate, Ilie Bolojan

Declarația premierului a fost făcută joi, 23 iulie. El a precizat că transferul în Cloudul Guvernamental al aplicației care gestionează baza de date se afla în faza de finalizare și că urma o evaluare a securității.

Termenul comunicat nu a fost „de joi se pot face tranzacții”, ci reluarea activității în cursul săptămânii următoare. Bolojan a susținut că, potrivit informațiilor primite de la STS, SRI și DNSC, datele referitoare la proprietăți nu au fost afectate.

Accesarea bazei de date este condiția tehnică necesară pentru reluarea tranzacțiilor. Nu rezultă însă că toate serviciile ANCPI vor deveni operaționale simultan.

Agenția anunțase anterior că repunerea aplicațiilor va fi făcută etapizat, în funcție de prioritățile operaționale și de concluziile verificărilor tehnice.

Trebuie precizat dacă vor fi disponibile, din prima zi:

• extrasele de carte funciară pentru autentificare;
• înscrierile și intabulările;
• accesul notarilor și al celorlalți profesioniști;
• aplicația e-Terra;
• serviciile MyEterra și ePay;
• soluționarea cererilor depuse înaintea atacului;
• serviciile electronice ale tuturor oficiilor teritoriale.

Până la publicarea unui calendar oficial, reluarea activității rămâne o estimare, nu confirmarea restabilirii integrale a sistemului.

Migrarea în cloud nu explică de ce sistemul a fost compromis

ANCPI a informat că aplicațiile instituției au fost transferate în Cloudul Guvernamental, sub coordonarea Serviciului de Telecomunicații Speciale.

Operațiunea poate crește nivelul de protecție și poate permite reluarea serviciilor într-un mediu verificat. Nu oferă însă, singură, răspunsul la întrebarea fundamentală: cum a fost posibil ca infrastructura informatică a cadastrului și publicității imobiliare să fie compromisă?

Potrivit declarațiilor publice atribuite conducerii DNSC, atacatorul ar fi exploatat vulnerabilități semnalate anterior instituției. DNSC a precizat că nu identificase, la acel moment, dovezi privind furtul unor date personale, dar a confirmat că anumite informații au fost preluate.

Această informație impune clarificări:

• Ce vulnerabilități au fost semnalate ANCPI?
• Când au fost comunicate?
• Cine avea obligația remedierii lor?
• Au existat avertismente tehnice rămase fără răspuns?
• Au fost actualizate sistemele și aplicațiile la timp?
• Când a fost realizat ultimul audit complet de securitate?
• De ce migrarea în Cloudul Guvernamental s-a produs după atac și nu înainte?

O infrastructură repornită poate fi sigură în prezent. Aceasta nu elimină răspunderea pentru modul în care a fost protejată înaintea incidentului.

„Datele despre proprietăți nu au fost afectate” nu este un bilanț complet

ANCPI și premierul au afirmat că bazele de date tehnice și juridice referitoare la proprietăți nu au fost afectate.

Este o informație importantă, dar formularea trebuie explicată.

În spațiul public au apărut informații potrivit cărora autorul atacului ar fi prezentat mostre de date, credențiale și fragmente din codul-sursă al aplicației e-Terra. Public Record a relatat că presupuse date provenite din infrastructura ANCPI au fost oferite spre vânzare și că atacatorul a susținut că ar fi șters copii de siguranță. Aceste afirmații nu pot fi considerate confirmate numai pe baza mesajelor hackerului, dar nici ignorate fără o analiză tehnică oficială.

Trebuie făcută distincția între:

• integritatea bazelor de date privind proprietățile;
• accesarea infrastructurii informatice;
• extragerea unor fișiere sau credențiale;
• compromiterea conturilor angajaților;
• copierea unor date personale;
• accesarea codului-sursă;
• afectarea copiilor de siguranță.

Este posibil ca evidențele juridice ale proprietăților să fi rămas intacte, iar alte componente ale sistemului să fi fost totuși compromise. Cele două situații nu se exclud.

Întrebarea GDPR nu dispare odată cu reluarea tranzacțiilor

ANCPI gestionează informații care pot identifica direct sau indirect persoane fizice: nume, adrese, drepturi de proprietate, documente, date de contact, cereri, conturi profesionale și jurnale de acces.

Nu orice atac cibernetic înseamnă automat că au fost sustrase date personale. Instituția are însă obligația să stabilească dacă s-a produs o încălcare a securității datelor cu caracter personal și să documenteze evaluarea.

Dacă o asemenea încălcare este susceptibilă să creeze un risc pentru drepturile și libertățile persoanelor, operatorul trebuie să notifice autoritatea de supraveghere, de regulă, în cel mult 72 de ore de la momentul în care a luat cunoștință de incident. Dacă riscul este ridicat, pot apărea și obligații de informare a persoanelor afectate. Regulamentul general privind protecția datelor

Până acum, ANCPI nu a comunicat public:

• dacă incidentul a fost notificat Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal;
• data la care eventuala notificare a fost transmisă;
• categoriile de date evaluate;
• numărul estimat al persoanelor care ar fi putut fi afectate;
• concluzia analizei de risc;
• motivul pentru care cetățenii nu au fost informați individual, dacă s-a stabilit că informarea nu este necesară.

Afirmația că baza juridică a proprietăților nu a fost modificată nu răspunde tuturor acestor întrebări.

Cine răspunde pentru continuitatea serviciului public

Atacul a blocat un sistem fără de care nu pot fi realizate, în condiții normale, vânzări, donații, succesiuni, ipoteci și numeroase operațiuni de cadastru și carte funciară.

Notarii, evaluatorii, băncile, dezvoltatorii imobiliari și cetățenii au rămas fără acces la instrumentele necesare. Unele tranzacții au fost puse sub presiunea modificării regimului de TVA aplicabil locuințelor.

Premierul a arătat că restanțele ar putea fi recuperate prin prelungirea programului de lucru și prin activitate în zilele de sâmbătă. Măsura poate reduce efectele blocajului, dar nu răspunde problemei continuității.

Un serviciu public esențial trebuie să aibă:

• copii de siguranță verificate;
• infrastructură de rezervă;
• proceduri clare pentru funcționarea în regim de avarie;
• prioritizarea cererilor urgente;
• comunicare cu profesioniștii și cetățenii;
• termene pentru recuperarea operațiunilor restante;
• o delimitare clară a responsabilităților tehnice și administrative.

Raportul anunțat după verificările STS, SRI și DNSC ar trebui să arate nu numai dacă aplicațiile pot fi repornite, ci și de ce mecanismele de continuitate nu au redus durata blocajului.

Reclama a continuat, deși serviciile nu funcționau

Începând din 22 iulie, în timp ce sistemele ANCPI erau încă indisponibile, o reclamă privind cadastrarea gratuită a continuat să fie difuzată repetat inclusiv la televiziune.

În paralel, PressHub a documentat existența unor reclame plătite care îi îndemnau pe cetățeni să acceseze o pagină ANCPI. Linkul indicat conducea însă la o eroare 404.

Campania poate proveni dintr-un contract încheiat anterior și dintr-un calendar de difuzare stabilit înaintea atacului. Tocmai de aceea trebuie clarificat dacă ANCPI putea suspenda sau modifica mesajele după compromiterea sistemului.

Problema nu este existența campaniei de informare. Problema este nepotrivirea dintre mesaj și realitatea serviciului public.

În timp ce instituția le cerea cetățenilor să se informeze online, paginile indicate nu funcționau. În timp ce o parte a infrastructurii era izolată și verificată, comunicarea comercială continua ca și cum incidentul nu ar fi existat.

ANCPI trebuie să precizeze:

• valoarea contractului de promovare;
• perioada și canalele de difuzare;
• cine a aprobat continuarea campaniei după 14 iulie;
• dacă au fost plătite difuzări care trimiteau către pagini indisponibile;
• dacă exista posibilitatea suspendării sau înlocuirii reclamelor;
• de ce mesajul nu a fost adaptat situației de criză.

Dincolo de știre: un sistem repornit nu este un incident lămurit

Reluarea tranzacțiilor este urgentă și necesară. Mii de cetățeni și profesioniști așteaptă revenirea sistemului. Dar presiunea pentru repornire nu trebuie să înlocuiască obligația de clarificare.

După revenirea aplicațiilor, atenția publică se poate muta rapid către tranzacțiile restante și către problema TVA. Tocmai atunci există riscul ca întrebările privind securitatea să fie abandonate.

Atacul asupra ANCPI nu a afectat numai piața imobiliară. A pus sub semnul întrebării capacitatea statului de a proteja o infrastructură care susține evidența juridică a proprietății în România.

Cetățenii trebuie să afle:

• ce s-a întâmplat;
• ce a fost accesat;
• ce date au fost expuse;
• cine fusese avertizat;
• cine trebuia să remedieze vulnerabilitățile;
• ce obligații GDPR au fost îndeplinite;
• ce costuri a produs blocajul;
• ce garanții există că incidentul nu se va repeta.

Reluarea tranzacțiilor închide blocajul operațional. Nu închide răspunderea instituțională.

Un serviciu repornit nu este același lucru cu un sistem sigur. Iar un sistem mutat în cloud nu este același lucru cu un incident explicat.

Cristian Radu | News Connect

Articol realizat pe baza informațiilor publicate de ANCPI, a declarației premierului interimar Ilie Bolojan, a informațiilor comunicate de DNSC și a documentărilor jurnalistice privind incidentul și campania publicitară. Situația trebuie actualizată după reluarea efectivă a serviciilor și publicarea raportului tehnic anunțat de autorități.

Foto: IA