Napad na romunsko zemljiško knjigo razkriva tveganja za kritične sisteme
Kibernetski napad na romunsko agencijo ANCPI je povzročil največjo tehnično prekinitev v zgodovini ustanove ter zaustavil ključne zemljiškoknjižne storitve. Varnostni mediji poročajo tudi o brisanju produkcijskih podatkov po neuspelem izsiljevanju, vendar ANCPI teh navedb ni uradno potrdila.
Romunska Nacionalna agencija za kataster in zemljiško knjigo ANCPI je julija 2026 doživela obsežen kibernetski napad, zaradi katerega so postale nedosegljive ključne aplikacije za vodenje katastra in zemljiške knjige. Motnje so vplivale na državljane, notarje, banke, geodetska podjetja in druge uporabnike, ki za izvedbo nepremičninskih poslov potrebujejo uradne podatke. Incident je pokazal, kako lahko napad na osrednji državni informacijski sistem povzroči širše pravne, gospodarske in družbene posledice. Hkrati je ponovno izpostavil pomen zaščite ključnih javnih storitev in zagotavljanja njihove kibernetske odpornosti.
Kaj je ANCPI uradno potrdila?
ANCPI je 15. julija 2026 uradno sporočila, da je bila tarča kibernetskega napada, ki je povzročil največjo tehnično prekinitev v zgodovini ustanove. Zaradi incidenta so bile začasno prekinjene informacijske aplikacije, ki jih uporabljajo nacionalna agencija in njeni regionalni uradi. Agencija je začela tehnično preiskavo, obnovo infrastrukture in postopno ponovno vzpostavljanje storitev. Obenem je zatrdila, da so podatki, ki jih upravlja prek svojih informacijskih sistemov, varni in zaradi napada niso bili kompromitirani. 
Uradno potrjene posledice so vključevale:
- nedostopnost informacijskih aplikacij ANCPI,
- začasno prekinitev elektronskih zemljiškoknjižnih storitev,
- zamude pri obravnavi zahtevkov,
- oteženo delo notarjev in drugih uporabnikov,
- preverjanje in obnovo informacijskega okolja.
Regionalni urad OCPI București je uporabnike obvestil, da je bilo delovanje informacijskih aplikacij zaradi večjega tehničnega incidenta začasno prekinjeno. Brez dostopa do osrednjih evidenc notarji niso mogli normalno pridobivati dokumentov, potrebnih za prodajo nepremičnin, vpise lastništva, urejanje hipotek in druge pravne postopke. Incident zato ni ostal omejen na informacijski oddelek, temveč je vplival na izvajanje pomembnih javnih in gospodarskih storitev. Gre za jasen primer, zakaj je razpoložljivost poleg zaupnosti in celovitosti eden od temeljev informacijske varnosti.
Ali je napadalec izbrisal romunsko zemljiško knjigo?
Cybernews in Risky Business poročata, da naj bi napadalec po neuspelem poskusu izsiljevanja izbrisal glavno produkcijsko podatkovno zbirko zemljiške knjige ter dele strežniškega in varnostnega okolja. Po navedbah virov, na katere se sklicujeta medija, naj bi napadalec v omrežje vstopil z veljavnimi uporabniškimi poverilnicami, pregledal notranjo infrastrukturo in nato začel brisati sisteme. Omenjene tehnične podrobnosti temeljijo na sekundarnih oziroma neuradnih virih. ANCPI jih v svojem uradnem sporočilu ni potrdila.
Uradna navedba ANCPI, da podatki niso bili kompromitirani, ni nujno popolnoma nezdružljiva s poročili o brisanju produkcijskih sistemov. Napadalec lahko izbriše ali onesposobi delujoče strežnike in aktivne podatkovne zbirke, medtem ko izvorne evidence ostanejo ohranjene v ločenih, nespremenljivih ali offline kopijah. Prav tako izraz »podatki niso bili kompromitirani« lahko pomeni, da ni bilo potrjeno njihovo spreminjanje ali razkritje, ne pa nujno, da med napadom ni bil izbrisan noben strežnik. Brez javno objavljenega forenzičnega poročila zato ni mogoče zanesljivo določiti, kateri sistemi so bili dejansko prizadeti in koliko podatkov je bilo treba obnoviti.
Kako je napad vplival na nepremičninske posle?
Nepremičninski postopki so močno odvisni od dostopa do uradnih zemljiškoknjižnih in katastrskih podatkov. Notar mora pred sklenitvijo posla preveriti lastništvo, hipoteke, omejitve in druge pravice, vpisane pri posamezni nepremičnini. Če uradnih podatkov ni mogoče pridobiti ali preveriti, prodaje, prenosa lastništva in drugih pravnih poslov ni mogoče varno zaključiti. Nedostopnost sistemov ANCPI je zato povzročila zamude in začasne prekinitve postopkov na romunskem nepremičninskem trgu.
Prizadeti so bili predvsem:
- prodaja in nakup nepremičnin,
- vpisi novih lastnikov,
- registracija hipotek,
- izdaja zemljiškoknjižnih izpiskov,
- evidentiranje sprememb v katastru,
- delo notarjev, bank in geodetskih podjetij.
Primer kaže, da lahko nedostopnost podatkov povzroči skoraj enako resne posledice kot njihova trajna izguba. Tudi če evidence ostanejo ohranjene, jih med izpadom ni mogoče uporabljati, preverjati ali posredovati upravičenim uporabnikom. Organizacije, ki upravljajo ključne registre, zato potrebujejo določene prednostne naloge obnove, nadomestne postopke in jasno opredeljene čase ponovne vzpostavitve. To je pomemben del širšega sistema kibernetske varnosti, ki mora poleg preprečevanja napadov vključevati tudi odzivanje in obnovo.
Kaj je znano o varnostnih kopijah?
Risky Business poroča, da naj bi imela ANCPI na voljo ločeno kopijo podatkov, ki napadalcu ni bila dostopna. Ta kopija naj bi omogočila obnovo tudi po domnevnem brisanju produkcijskih sistemov in neposredno povezanih varnostnih kopij. ANCPI obstoja ali vrste takšne kopije v javno dostopnem sporočilu ni podrobneje pojasnila. Uradno je navedla predvsem, da so podatki varni in da poteka obnova informacijskega okolja.
Incident kljub nepopolnim informacijam ponazarja, zakaj običajna varnostna kopija v istem omrežju ni dovolj. Napadalec, ki pridobi skrbniške pravice, lahko poskuša izbrisati ali šifrirati tudi kopije, povezane s produkcijskim okoljem. Organizacije zato potrebujejo ločene, nespremenljive oziroma offline kopije ter redno preverjanje njihove uporabnosti. Podrobnejše zahteve pojasnjuje prispevek o varnostnem kopiranju.
Učinkovit sistem varnostnega kopiranja mora vključevati:
- več kopij podatkov na različnih nosilcih,
- najmanj eno fizično ali logično ločeno kopijo,
- zaščito kopij pred spreminjanjem in brisanjem,
- ločene skrbniške račune za varnostno okolje,
- redno preverjanje celovitosti kopij,
- praktično testiranje celotne obnove,
- dokumentirane postopke za krizne razmere.
Varnostna kopija ima dejansko vrednost šele takrat, ko je iz nje mogoče v sprejemljivem času obnoviti podatke, aplikacije, konfiguracije in povezane storitve. Pri velikih državnih sistemih ni dovolj obnoviti samo podatkovne zbirke, temveč tudi uporabniške identitete, pravice dostopa, certifikate, strežnike in komunikacijske povezave. Organizacije morajo zato izvajati praktične vaje obnove in preverjati, ali lahko dosežejo dogovorjene ciljne čase. Brez rednega testiranja se lahko napake v kopijah ali postopkih pokažejo šele med resničnim incidentom.
Kakšno vlogo naj bi imele ukradene poverilnice?
Po navedbah Risky Business naj bi napadalec začetni dostop pridobil z veljavnimi uporabniškimi poverilnicami. Ni znano, ali so bile pridobljene s phishingom, zlonamerno programsko opremo, ponovno uporabo gesel, krajo sejnega žetona ali z drugim postopkom. Prav tako ni uradno potrjeno, kakšne pravice je imel kompromitirani račun in ali je bila uporabljena večfaktorska avtentikacija. Dokler ANCPI ne objavi podrobnejše tehnične analize, začetnega vzroka incidenta ni mogoče dokončno določiti.
Veljavni računi so za napadalce učinkoviti, ker se njihova dejavnost sprva lahko zdi podobna običajnemu delu zaposlenih ali skrbnikov. Organizacije morajo zato uporabljati večfaktorsko avtentikacijo, omejevati pravice uporabnikov in spremljati nenavadne prijave. Posebno pozornost zahtevajo privilegirani računi, saj omogočajo spreminjanje sistemov, brisanje podatkov in izključevanje varnostnih mehanizmov. Pomembno je tudi centralizirano upravljanje digitalnih identitet ter hitro ukinjanje računov, ki niso več potrebni.
Kaj se lahko organizacije naučijo iz incidenta?
Napad na ANCPI kaže, da zaščita osrednje podatkovne zbirke sama po sebi ne zadošča. Napadalec lahko cilja tudi aplikacijske strežnike, uporabniške imenike, elektronsko pošto, virtualizacijsko okolje, skrbniške konzole in varnostne kopije. Če so vsi sistemi povezani in upravljani z istimi skrbniškimi računi, lahko ena kompromitacija omogoči širjenje po celotnem omrežju. Zaščita mora zato temeljiti na predpostavki, da lahko napadalec kljub preventivnim ukrepom pridobi začetni dostop.
Ključni ukrepi vključujejo:
- MFA za oddaljene in skrbniške dostope,
- ločene račune za redno in administrativno delo,
- omejevanje pravic po načelu najmanjših privilegijev,
- segmentacijo produkcije in varnostnih kopij,
- nespremenljive ter offline kopije podatkov,
- spremljanje množičnega brisanja in sprememb nastavitev,
- načrt odzivanja na incidente,
- redne tehnične vaje obnove ključnih storitev.
Pri odzivu ni dovolj zgolj ponovno zagnati prizadetih strežnikov. Če je napadalec dalj časa deloval v omrežju, je treba preveriti vse račune, ključe, certifikate in sisteme, do katerih je lahko dostopal. V nasprotnem primeru lahko tudi v obnovljenem okolju ostane skriti dostop, ki omogoči ponoven napad. Za javni sektor in druge kritične subjekte je zato ključna kombinacija preprečevanja, zgodnjega zaznavanja, odzivanja in varne obnove.
Zakaj je incident pomemben za javni sektor?
Digitalizacija javnih storitev prinaša hitrejše postopke in lažji dostop do podatkov, vendar povečuje odvisnost od osrednjih informacijskih sistemov. Če niso pripravljeni nadomestni postopki, lahko en incident zaustavi storitve na ravni velikega dela države. Zemljiške knjige, davčni sistemi, registri prebivalstva in zdravstvene evidence zato zahtevajo višjo raven zaščite in odpornosti kot manj pomembne poslovne aplikacije. Neprekinjeno izvajanje bistvenih storitev je tudi eno ključnih področij evropskega okvira za odpornost kritičnih subjektov.
Romunski primer jasno prikazuje povezavo med kibernetskim napadom in posledicami v resničnem svetu. Nedostopnost aplikacij je prizadela državljane, podjetja, notarje, banke in nepremičninski trg. Čeprav natančen obseg domnevnega brisanja podatkov še ni uradno potrjen, je vpliv na delovanje storitev nesporen. Incident je zato pomembno opozorilo, da kibernetska varnost ni samo tehnično vprašanje, temveč temelj zanesljivega delovanja sodobne države.
Povezane vsebine
- Varnostno kopiranje in obnova podatkov
- Privilegirani računi in zaščita dostopov
- Digitalna identiteta in zaščita računov
- Informacijska varnost v podjetjih in organizacijah
Kibernetska varnost – sveže novice
