Haker, który atakował Polskę sparaliżował rynek nieruchomości w Rumunii

Jedno włamanie wystarczyło, aby zatrzymać tysiące transakcji sprzedaży mieszkań i domów. Rumunia mierzy się z jednym z najpoważniejszych cyberataków wymierzonych w państwową infrastrukturę cyfrową w Europie. Cyberprzestępca po nieudanej próbie wymuszenia usunął całą bazę danych krajowego rejestru gruntów, odcinając notariuszy, urzędy i obywateli od kluczowych informacji o nieruchomościach.

Choć rumuńskie władze zapewniają, że posiadały kopie zapasowe przechowywane offline, skutki ataku okazały się natychmiastowe. Rynek nieruchomości praktycznie zamarł, a eksperci alarmują, że wielu problemów można było uniknąć.

Atak zatrzymał sprzedaż mieszkań i domów

Celem cyberataku była rumuńska Krajowa Agencja ds. Katastru i Reklamy Nieruchomości (ANCPI), odpowiedzialna za prowadzenie rejestru gruntów i ksiąg wieczystych.

Początkowo instytucja informowała jedynie o "problemach technicznych". Dopiero później potwierdzono, że system padł ofiarą ataku hakerskiego. W efekcie przestał działać dostęp do centralnej bazy danych, z której każdego dnia korzystają notariusze, urzędy oraz osoby kupujące nieruchomości.

Brak dostępu do rejestru uniemożliwił potwierdzanie prawa własności, rejestrowanie hipotek oraz finalizowanie sprzedaży mieszkań i domów. Dla rynku nieruchomości oznaczało to całkowity przestój.

Haker opublikował wiadomość i przeszedł do działania

Napastnik działający pod pseudonimem ByteToBreach nie ukrywał swoich działań. Na jednym z forów cyberprzestępczych opublikował wpis, w którym twierdził, że zdobył dostęp nie tylko do danych obywateli, ale również do kodu źródłowego systemów wykorzystywanych przez rumuńską administrację.

Według jego deklaracji przejął kopie serwerów GitLab zawierających oprogramowanie obsługujące państwowe systemy, a także własne narzędzie ransomware. Po nieudanej próbie wymuszenia haker miał usunąć przejęte dane. Zniknęły bazy rejestru gruntów, wewnętrzne dokumenty oraz dane uwierzytelniające pracowników.

Cyberprzestępca twierdził również, że rozpoczął kasowanie kopii zapasowych znajdujących się w przejętej infrastrukturze, aby utrudnić odzyskanie informacji.

„[RO] Rumunio, dostaniesz lanie w tyłek! [ANCPI]” - napisał haker na forum. „Oprócz danych obywateli Rumunii, pochodzących z różnych baz danych zebranych za pośrednictwem sieci ANCPI, istnieje również kopia serwerów GitLab zawierająca kod źródłowy wszystkich ich systemów, takich jak Eterra, RENNS, a także wersja mojego małego programu ransomware” 

Notariusze zostali bez dostępu do rejestru

Skutki ataku bardzo szybko odczuli obywatele. W Rumunii każdego roku dochodzi do około 150–170 tysięcy transakcji sprzedaży nieruchomości. Bez działającego rejestru większość z nich nie mogła zostać sfinalizowana. Notariusze informują, że od kilku dni nie jest w stanie wystawiać odpisów z ksiąg wieczystych, potwierdzać sprzedaży ani rejestrować hipotek.

Dla osób kupujących mieszkania oznaczało to konieczność odłożenia podpisania aktów notarialnych na nieokreślony termin.

Offline'owe kopie zapasowe uratowały sytuację

Pomimo skali incydentu rumuńska agencja przekazała, że dysponowała kopiami zapasowymi przechowywanymi poza główną infrastrukturą. ANCPI rozpoczęło odbudowę całego środowiska informatycznego od podstaw. Przywrócono również działanie oficjalnej strony internetowej instytucji.

Przedstawiciele urzędu podkreślili, że dane nie zostały bezpowrotnie utracone, ponieważ funkcjonował system przechowywania kopii offline przygotowany właśnie na wypadek podobnych incydentów.

Eksperci nie mają wątpliwości. Atakowi można było zapobiec

Cyberatak wywołał w Rumunii falę krytyki wobec sposobu zabezpieczenia infrastruktury państwowej. Lokalne media zwracają uwagę, że przez ostatnie dwie dekady ANCPI przeznaczyło około 135 mln euro na cyfryzację swoich systemów. Na cyberbezpieczeństwo trafiło zaledwie około 305 tys. euro, czyli około 0,2 proc. całego budżetu.

Narodowa Dyrekcja Cyberbezpieczeństwa (DNSC) poinformowała, że wcześniej ostrzegała agencję o wykrytych słabościach systemów.

Dyrektor DNSC ocenił, że wykorzystane podatności były znane i możliwe do usunięcia. Podobne stanowisko przedstawił pełniący obowiązki ministra gospodarki Irineu Darău. Według niego żadna instytucja nie wyeliminuje całkowicie ryzyka cyberataku, jednak odpowiednie inwestycje znacząco ograniczają prawdopodobieństwo podobnych incydentów.

Atak nastąpił w wyjątkowo trudnym momencie

Moment przeprowadzenia cyberataku okazał się wyjątkowo dotkliwy dla rynku nieruchomości. Do końca lipca w Rumunii obowiązuje jeszcze preferencyjna stawka VAT wynosząca 9 proc. na nowe mieszkania. Od 1 sierpnia podatek ma wzrosnąć do 21 proc.

Wstrzymanie transakcji tuż przed zmianą przepisów oznacza, że część kupujących może nie zdążyć sfinalizować zakupu na dotychczasowych warunkach.

Śledczy wskazali podejrzanego

Dodatkowego rozgłosu sprawie nadały ustalenia firmy zajmującej się analizą cyberzagrożeń KELA.

Według jej raportu za działalnością ByteToBreach ma stać Zakaria Mahdjoub z Algierii. Badacze opisują go jako doświadczonego cyberprzestępcę specjalizującego się w sprzedaży skradzionych danych pochodzących z instytucji państwowych, banków oraz linii lotniczych.

Eksperci przypisują tej samej osobie udział w wcześniejszych atakach wymierzonych w systemy administracji publicznej w kilku krajach Europy Wschodniej, między innymi na Słowacji, Ukrainie, Litwie oraz w Polsce. Ostateczne potwierdzenie tożsamości sprawcy pozostaje jednak po stronie organów ścigania.