Capturile atribuite atacatorului formează un traseu coerent: serviciul de autentificare, directorul de utilizatori, serverele de aplicații, GitLab, monitorizarea, infrastructura virtuală, copiile de siguranță și Active Directory. Asta susține puternic accesul extins. Nu dovedește încă furtul întregii baze cadastrale.
Analiza separă trei lucruri: ce a confirmat instituția, ce arată capturile dacă sunt autentice și ce pretinde atacatorul fără probă suficientă. Datele personale, parolele, IP-urile și numele conturilor au fost eliminate din imaginile reproduse aici.
Nu toate afirmațiile au aceeași greutate. Mai jos, „probabil” înseamnă că mai multe capturi distincte se susțin reciproc și se potrivesc cu întreruperea confirmată public.
Capturile arată acces la și o structură amplă de proiecte pentru plăți, securitate, , validare, și componente . Detaliile tehnice susțin autenticitatea capturii mai bine decât o simplă listă de fișiere.
, , un , , și dezvăluie servere, sedii județene, relații de încredere și conturi privilegiate. Unele capturi arată parole stocate reversibil sau direct în clar.
pare interogat direct și returnează nume, adrese de e-mail și câmpuri de parolă criptate. Atacatorul scrie „aproximativ 2 milioane”; captura susține existența și accesul la director, nu verifică singură numărul total.
Capturile indică acces administrativ la și , navigarea datastore-urilor și operațiuni de ștergere a backup-urilor. Acest nivel de control face exfiltrarea unor servere întregi plauzibilă, dar nu vedem dovada transferului complet.
Dacă atacatorul a copiat baze de date, discuri virtuale ori backup-uri, acestea pot conține proprietari, identificatori de imobile, înscrieri de carte funciară, sarcini, planuri, documente depuse și istoricul cererilor. Capturile publice demonstrează capacitatea de a ajunge la aceste sisteme; nu arată încă un export complet al celor aproape 29 de milioane de imobile.
Fiecare etapă explică accesul la următoarea. Acest lucru nu autentifică automat imaginile, dar este mai greu de fabricat convingător decât o singură captură spectaculoasă.
Un serviciu de identitate vechi apare compromis, oferind execuție pe server.
/
Directorul returnează conturi și câmpuri de parolă; o cheie pare să permită decriptarea unor secrete.
/
Serverele interne de aplicații oferă alte puncte de execuție și acces către rețeaua internă.
/ /
Codul explică aplicațiile; monitorizarea explică topologia și unde se află țintele valoroase.
/
Virtualizarea și backup-ul sunt punctele din care pot fi copiate, oprite, criptate sau șterse sisteme întregi.
Captura arată enumerarea administratorilor și a relațiilor de privilegiu, dar atacatorul însuși spune că nu a finalizat preluarea completă.
Imaginile sunt reproduse doar în versiuni puternic redactate. Explicația păstrează valoarea publică a probei fără a republica parole, conturi sau date personale.
Captura arată un shell pe un server OpenAM și o succesiune temporală din 10 iulie. Un shell nu înseamnă automat acces la toate datele, dar oferă un punct intern din care poate începe mișcarea laterală.
Sunt vizibile înregistrări LDAP cu nume, e-mail și câmpuri de parolă. Într-un panou separat, atacatorul pare să testeze cheia folosită pentru decriptarea unor secrete. Afirmația „două milioane” rămâne o estimare a lui.
Arborele de proiecte include componente e‑Terra, plăți, rapoarte, securitate, autentificare unică, API-uri, validare și GIS. Numele de pachete Java folosesc domeniul ANCPI. Împreună, aceste detalii fac revendicarea GitLab foarte credibilă.
Accesul la backup și virtualizare nu oferă doar fișiere. Poate oferi discurile întregi ale serverelor, snapshot-uri, baze de date oprite într-o stare consistentă și capacitatea de a șterge mecanismele de recuperare. Capturile arată și operațiuni de ștergere a unor copii.
BloodHound pare să fi colectat administratorii domeniului și mii de relații de control. Atacatorul afirmă însă că nu a avut timp să obțină administrarea completă și descrie doar ce ar mai fi putut face cu snapshot-ul unui controler de domeniu.
Una dintre capturile atribuite atacatorului pare să arate mai multe echipamente asociate unor OCPI-uri județene folosind același cont și aceeași parolă banală. Dacă imaginea este autentică, compromiterea acelui cont poate deschide multe sedii deodată.
O altă captură atribuită atacatorului pare să arate datele de autentificare ale unui cont administrativ vSphere. Acesta este „panoul electric” al centrului de date: o parolă slabă aici poate transforma o breșă locală într-o oprire națională.
Acestea sunt inferențe din capturi, nu concluzii ale unei anchete oficiale. Dar configurația descrisă este exact cea în care o vulnerabilitate devine un dezastru instituțional.
Un serviciu critic de identitate pare accesibil printr-o rută cunoscută de execuție la distanță.
Aceleași date de autentificare par reutilizate între echipamente și sedii, iar un cont privilegiat folosește o parolă ușor de ghicit.
Instrumente de administrare par să păstreze parole în clar sau într-o formă care poate fi decriptată din mediul compromis.
De la autentificare se ajunge aparent la aplicații, dezvoltare, monitorizare, backup și virtualizare.
Un atacator din rețeaua internă pare să poată administra și șterge chiar copiile folosite pentru recuperare.
Capturile nu arată bariere puternice de tip MFA, seif de parole sau stații administrative izolate în jurul sistemelor-cheie.
ANCPI, comunicat din 15 iulie 2026„Datele administrate prin sistemele informatice gestionate de ANCPI sunt în siguranță și nu au fost compromise.”
Declarația poate însemna că integritatea datelor a fost păstrată — nu neapărat că nu a existat acces sau copiere. Instituția nu a publicat încă definiția folosită pentru „compromise”, indicatorii de exfiltrare analizați ori un raport criminalistic.
Citește comunicatul ↗Care a fost data primei intruziuni și cât timp a rămas atacatorul în rețea?
Ce sisteme au fost accesate: OpenDJ, GitLab, Zabbix, vCenter, Veeam, Active Directory, bazele e‑Terra?
Există dovezi de transfer extern de date? Ce volum și către ce destinații?
Au fost descărcate snapshot-uri, discuri virtuale ori backup-uri complete?
Ce categorii de persoane și date sunt afectate și câte înregistrări sunt implicate?
Au fost schimbate toate parolele și celelalte date de autentificare, certificatele, cheile API și secretele din istoricul Git?
Ce backup-uri offline sau imuabile au supraviețuit și de la ce dată se poate reconstrui sigur?
Va fi publicat un raport independent, inclusiv cauza-rădăcină și măsurile corective?
Captura OpenAM indică obținerea unui shell inițial.
Apar pivotări spre servere de aplicații, GitLab, Zabbix și alte sisteme interne.
Capturile atribuite atacatorului arată vSphere, Veeam, date de autentificare și colectarea datelor Active Directory.
ANCPI oprește sau pierde accesul la toate sistemele gestionate, inclusiv e-mail și e‑Terra.
Instituția confirmă atacul și îl numește cea mai amplă întrerupere tehnică din istoria sa.
Presa relatează că materialul atribuit ANCPI este oferit spre vânzare. HotNews scrie, citând o sursă la curent cu incidentul, că autoritățile verifică o posibilă cerere de răscumpărare. Nici amploarea datelor, nici cererea nu sunt confirmate oficial.
Nume de produse, structuri de proiect, topologii, hostname-uri și relații de privilegii care se potrivesc între capturi.
Activitatea afișată între 10 și 13 iulie precedă căderea generală anunțată la 14 iulie.
Accesul la identități explică accesul la aplicații; monitorizarea indică țintele; virtualizarea și backup-ul explică amploarea opririi.
ANCPI confirmă atacul și oprirea tuturor sistemelor. KELA descria deja ByteToBreach drept un actor cu abilități reale, dar orientat spre autopromovare.
Numărul de utilizatori, cantitatea exfiltrată și caracterul „complet” al bazelor nu sunt acceptate fără mostre verificabile ori confirmare criminalistică.
Nu au fost deschise arhivele cu date. Nu sunt republicate linkuri de download, parole, adrese personale, conturi ori detalii care ar facilita accesul.
Confirmă atacul, oprirea tuturor sistemelor, inclusiv e-mail și e‑Terra, și afirmă că datele nu au fost compromise.
ancpi.ro ↗Pagina principală raporta 28.977.942 de imobile gestionate la 13 iulie 2026.
ancpi.ro ↗Descrie un operator cu activitate tehnică reală și revendicări adesea credibile, dar și cu o componentă agresivă de marketing și autopromovare.
kelacyber.com ↗Relatează oferta de vânzare și revendicările privind datele și codul sursă. HotNews adaugă, pe baza unei surse anonime la curent cu incidentul, că autoritățile verifică o posibilă cerere de răscumpărare. Informația nu este o confirmare oficială.
12 imagini privind OpenAM, OpenDJ, WebLogic, WebSphere, GitLab, cod sursă, Zabbix, monitorizare, vSphere, Veeam și Active Directory. Linkurile către arhivele pretins furate nu sunt reproduse.
Noi informații publicate de ANCPI, DNSC, autoritatea pentru protecția datelor sau anchetatori pot schimba această evaluare, mai ales un raport criminalistic ori o notificare oficială privind compromiterea datelor.
Cea mai prudentă formulare este aceasta: accesul extins la infrastructură, cod, conturi și date de autentificare este puternic susținut; copierea unor date operaționale și a unor servere este plauzibilă; furtul complet al registrului cadastral național nu este încă demonstrat public.