În această săptămână, Republica Moldova s-a confruntat cu un atac cibernetic de amploare asupra serviciilor de stat. Atacatorii ar fi putut obține date personale asociate cu aproximativ 750 de mii de IDNP-uri, iar autoritățile au avertizat că informațiile pot fi folosite de escroci. NewsMaker a adunat principalele informații despre ce s-a întâmplat și a aflat cum pot cetățenii verifica dacă datele lor au fost extrase, dacă autoritățile sunt obligate să informeze persoanele afectate și în ce condiții acestea pot obține despăgubiri.
Cum a avut loc atacul cibernetic
Cazul a devenit public după ce mai mulți locuitori ai Republicii Moldova au observat în aplicația guvernamentală EVO înregistrări suspecte despre accesarea datelor lor personale în noaptea de 22 octombrie. Potrivit istoricului accesărilor, Agenția de Guvernare Electronică solicitase informații pentru eliberarea unor documente de stare civilă, deși utilizatorii nu ceruseră astfel de servicii. Abia ulterior, agenția a explicat că unul dintre serviciile vizate de atac înregistra greșit motivul prelucrării datelor personale, ceea ce a dus la apariția acestor înregistrări în EVO.
Pe 24 octombrie, autoritățile au anunțat public atacul cibernetic, precizând că au fost înregistrate aproximativ 11 milioane de solicitări către serviciile de stat. Ulterior, s-a aflat că atacatorii încercaseră să extragă informații în perioada 19–23 octombrie, exploatând vulnerabilitățile unor servicii accesibile fără autentificare. Extragerea datelor a fost oprită pe 23 octombrie, la ora 11:30, după care autoritățile au deconectat preventiv 82 de servicii de stat, precum și peste 30 de sisteme informaționale și panouri de administrare.
Tentativele de acces neautorizat au continuat însă pe 25 și 27 octombrie. Potrivit autorităților, ambele au fost blocate. Pe 27 octombrie, agenția a prezentat și primele estimări privind amploarea incidentului: atacatorii au încercat să obțină date folosind aproximativ un milion de IDNP-uri și au reușit să extragă informații asociate cu circa 750 de mii dintre acestea.
Printre informațiile care ar fi putut fi compromise se numără numele, prenumele, fotografiile și datele despre rude, asigurarea medicală, pensii, prestații sociale și dizabilitate. Sunt vizate și informații despre permisele de conducere, automobile și situația financiară, inclusiv IBAN-uri, datorii fiscale și istoricul plăților prin MPay. Autoritățile au precizat că nu tuturor persoanelor afectate le-au fost expuse aceleași categorii de date, iar amploarea exactă a scurgerii este încă în curs de stabilire.
Premierul Vasile Tofan a declarat pe 28 octombrie că autoritățile investighează posibila implicare a unor structuri de stat străine în atacurile cibernetice asupra Moldovei. „Țara noastră este supusă unor atacuri cibernetice de amploare și coordonate. Nu este vorba despre un incident izolat. Avem, de altfel, indicii ale unei campanii mai ample, cu implicarea unor structuri de stat străine. Serviciile competente investighează inclusiv implicarea acestora în incidentul recent. Ținta atacurilor sunt nu doar datele personale ale cetățenilor, ci și infrastructura digitală a statului”, a spus premierul în ședința Guvernului.
Vasile Tofan a recunoscut, de asemenea, existența unor vulnerabilități în sistemele digitale de stat și a admis că atacatorii ar fi putut folosi inteligența artificială pentru a le identifica și exploata. El a declarat că este necesară consolidarea protecției infrastructurii și verificarea periodică a sistemelor de stat pentru depistarea vulnerabilităților. Pentru înlăturarea consecințelor atacului, autoritățile au implicat și specialiști din sectorul privat.
În aceeași ședință a Guvernului, premierul a anunțat că a convenit cu directoarea Agenției de Guvernare Electronică, Nicoleta Colomeeț, ca aceasta să plece din funcție. Interimatul va fi asigurat de Artiom Cociu. Tofan a explicat că prioritatea statului trebuie să fie acum securitatea serviciilor electronice, mai degrabă decât promovarea lor.
Serviciile publice digitale nu au fost încă restabilite în totalitate. Deși unele sunt din nou disponibile, pe 28 octombrie autoritățile au suspendat temporar autentificarea în doi pași prin MPass și conectarea cu EVOSign. Aplicația mobilă EVO poate fi accesată acum doar cu semnătura mobilă, iar portalul e-Cadastru este temporar indisponibil din motive de securitate.
Cum pot atacatorii să folosească datele
Agenția de Guvernare Electronică a precizat că datele cardurilor bancare nu au fost afectate, deoarece platformele de stat nu le stochează. Totodată, simpla cunoaștere a unui IBAN nu permite accesarea contului bancar. Până acum, investigația nu a identificat modificări neautorizate în registrele de stat. Instituția avertizează însă că datele personale extrase ar putea fi folosite pentru fraude și manipulări pe internet.
Directorul Centrului Național de Management al Crizelor, Serghei Diaconu, a explicat că informațiile furate, în sine, sunt practic insuficiente pentru comiterea directă a infracțiunilor. Totuși, escrocii se pot prezenta drept angajați ai băncilor sau ai instituțiilor de stat, pot enumera datele personale ale unei persoane pentru a-i câștiga încrederea, iar apoi pot încerca să obțină informații suplimentare.
Autoritățile îi îndeamnă pe cetățeni să nu comunice nimănui parolele și codurile de autentificare, să nu acceseze linkuri suspecte și să verifice solicitările neobișnuite contactând instituțiile prin canalele oficiale. Dacă cineva se prezintă drept o rudă, cere ajutor sau anunță că și-a schimbat numărul de telefon, oamenii sunt sfătuiți să contacteze persoana respectivă la numărul pe care îl cunosc deja.
Specialistul IT Alexei Volneanschi a recomandat, într-un comentariu pentru NM, ca cetățenii să urmărească anunțurile oficiale și să ia în calcul posibilele consecințe ale expunerii datelor personale. El a explicat că funcționarea EVO depinde și de disponibilitatea serverelor care răspund solicitărilor aplicației. Până la restabilirea serviciilor, oamenii sunt îndemnați să se gândească la felul în care alții ar putea folosi informațiile despre ei și să ia măsuri pentru a reduce riscurile.
Noua lege privind protecția datelor personale, intrată în vigoare în august 2026, obligă operatorii să informeze persoanele afectate despre scurgerea datelor, dacă aceasta prezintă un risc ridicat pentru drepturile și libertățile lor, a explicat avocatul Vadim Vieru pentru NM. Notificarea trebuie făcută fără întârzieri nejustificate, deși legea nu prevede un termen exact.
„Cu cât pericolul este mai mare și mai imediat, cu atât mai repede trebuie să urmeze notificarea. Când riscul despre care avertizează chiar autoritățile este frauda, iar datele se află deja la atacatori, ar trebui să vorbim despre zile, nu despre săptămâni”, consideră avocatul.
În opinia lui Vadim Vieru, în acest caz riscul este ridicat, deoarece informațiile expuse pot include fotografii, date despre sănătate, situația financiară și rude. Totodată, avocatul precizează că un comunicat de presă publicat de autorități nu este suficient. Legea permite notificarea publică în locul celei individuale, dacă informarea fiecărei persoane afectate ar necesita eforturi disproporționate, însă, în opinia lui Vieru, statul are posibilități de a contacta direct cetățenii.
„Statul are canale directe de comunicare cu cetățenii: MCabinet, EVO, adresele de e-mail și numerele de telefon asociate conturilor de stat, precum și adresele de domiciliu din Registrul de stat al populației. Când listele sunt gata, iar infrastructura de notificare funcționează deja, eforturile nu pot fi considerate disproporționate”, a explicat avocatul.
Fiecare persoană afectată trebuie să afle ce s-a întâmplat cu datele sale personale, ce consecințe ar putea exista și ce măsuri au luat autoritățile, a mai precizat Vadim Vieru. Potrivit avocatului, lipsa unei informări corespunzătoare poate constitui, în sine, o încălcare a legii.
Cum puteți afla dacă datele voastre au fost scurse și dacă puteți obține despăgubiri?
Cetățenii nu trebuie să aștepte neapărat o notificare din partea autorităților, explică avocatul. Ei se pot adresa direct operatorului de date personale pentru a afla dacă atacatorii au folosit și IDNP-ul lor pentru a solicita informații în perioada 19–23 octombrie. Răspunsul trebuie oferit gratuit, de regulă în termen de o lună, cu posibilitatea prelungirii dacă există motive întemeiate. Dacă instituția nu răspunde sau refuză să ofere informațiile, cetățenii pot depune o plângere la Centrul Național pentru Protecția Datelor cu Caracter Personal sau se pot adresa instanței de judecată.
Persoanele afectate pot cere despăgubiri pentru prejudiciul material sau moral, chiar dacă nu au pierdut bani și nu au căzut victime escrocilor, a mai explicat avocatul. Pentru aceasta, trebuie să dovedească prejudiciul suferit și legătura lui cu încălcarea legii. Potrivit lui Vieru, prejudiciul moral poate consta în pierderea controlului asupra propriilor date și teama întemeiată că acestea vor fi folosite de infractori. Avocatul menționează și timpul dedicat verificărilor, precum și cheltuielile pentru măsurile de protecție.
Vadim Vieru a dat exemplul atacului cibernetic din 2019 asupra administrației fiscale din Bulgaria, în urma căruia datele a milioane de cetățeni au ajuns pe internet. În decembrie 2023, Curtea de Justiție a Uniunii Europene a stabilit că teama întemeiată că datele furate ar putea fi folosite poate constitui, în sine, un prejudiciu moral pentru care se pot cere despăgubiri. Potrivit lui Vieru, instanțele din Republica Moldova nu sunt obligate să urmeze această jurisprudență. Totuși, întrucât legislația națională preia normele regulamentului european, avocatul consideră că judecătorii vor ține cont de ea, mai ales în contextul aderării țării la UE.
O instituție de stat nu poate scăpa automat de răspundere doar pentru că atacul a fost comis de hackeri, a mai precizat avocatul. Totuși, faptul că atacatorii au reușit să pătrundă în sistem nu dovedește, în sine, că măsurile de securitate au fost insuficiente.
„Întrebările pe care le va pune instanța sunt destul de previzibile: de ce solicitările în masă privind un milion de IDNP-uri au putut continua timp de patru zile, dacă existau mecanisme de monitorizare și alertare, dacă a fost efectuată o evaluare a impactului asupra protecției datelor personale și dacă eficiența măsurilor de securitate era verificată periodic. Tocmai răspunsurile la aceste întrebări vor determina rezultatul proceselor judiciare, nu simplul fapt că au existat atacatori”, consideră Vadim Vieru.
Avocatul le recomandă cetățenilor să păstreze cererile trimise instituțiilor de stat, răspunsurile primite și dovezile eventualelor tentative de fraudă. Totodată, îi îndeamnă să verifice istoricul accesării datelor personale în EVO, precizând că înregistrările suspecte din această perioadă nu dovedesc, în sine, că datele au fost extrase. Oamenii pot solicita și un raport de la un birou al istoriilor de credit, pentru a verifica dacă au fost luate credite în numele lor fără știrea lor.
NM a solicitat Agenției de Guvernare Electronică și Agenției Servicii Publice să precizeze când a fost detectat atacul, ce sisteme au fost afectate, dacă securitatea lor fusese verificată anterior și cum vor fi informate persoanele afectate. Până în momentul publicării materialului, instituțiile nu au răspuns.
Abonați-vă la canalul de Telegram NewsMaker în română. Relatăm despre cele mai importante știri din țară și de peste hotare.
Vreți să susțineți ceea ce facem?
Puteți contribui la realizarea jurnalismului calitativ. Pentru aceasta, puteți contribui printr-o donație unică prin sistemul E-commerce de la maib sau puteți întocmi un abonament lunar pe Patreon! În acest mod, puteți fi parte a schimbării în bine pentru Moldova. Datorită contribuției dvs, noi vom avea posibilitatea să transformăm în realitate și mai multe proiecte noi și importante și, ceea ce este la fel de important, să rămânem independenți. Indiferent de mărimea contribuției, veți primi un mic cadou. Accesați linkul pentru a fi complicele nostru. Nu este greu, ba chiar plăcut.
Susțineți NewsMaker!
