Datele a circa 750.000 de cetățeni moldoveni au fost fost extrase într-un atac cibernetic ce a vizat serviciile publice digitale din Republica Moldova.
Atacatorii au interogat aproximativ un milion de numere de identificare națională (IDNP, echivalent CNP) prin servicii care nu cereau autentificare, iar statul a deconectat 82 de servicii publice pentru a opri exfiltrarea de date.
Cererile neautorizate de date s-au desfășurat între 19 și 23 octombrie, iar extragerea informațiilor a fost oprită pe 23 octombrie, la ora 11:30, potrivit Agenției de Guvernare Electronică (AGE).
Conform investigației, atacatorul a extras date de identificare și despre membrii familiei, precum și IBAN-uri și datorii fiscale asociate cu aproximativ 750.000 de IDNP-uri:
- date de identificare (nume, prenume, data și locul nașterii) și fotografia
- date despre membrii familiei de gradul întâi
- statutul de asigurat, medicul de familie, prestațiile sociale, pensiile și dizabilitatea
- permisul de conducere, vehiculele și companiile deținute sau administrate
- IBAN-uri, datorii fiscale și istoricul plăților prin MPay.
Trebuie menționat că nu toate persoanele afectate au avut expuse toate aceste categorii de date, precizează agenția guvernamentală, care avertizează că riscul principal este folosirea informațiilor sustrase în tentative de fraudă și manipulare online.
Premierul Vasile Tofan a explicat într-o ședință a Guvernului din 28 octombrie că cifra de 750.000 nu înseamnă conturi sparte, ci IDNP-uri pentru care a fost extras cel puțin un element de date, cum ar fi numele, prenumele sau anul nașterii.
Directorul Centrului Național de Management al Crizelor, Serghei Diaconu, a spus la postul Moldova 1 că numărul cazurilor în care s-a extras mai mult decât IDNP-ul este mult mai mic, fără să ofere o cifră.
Datele cardurilor bancare nu au fost afectate, deoarece plățile cu cardul prin MPay și EVO sunt procesate prin sistemele băncilor, iar platforma guvernamentală nu stochează aceste informații, susține AGE.
Investigațiile nu au identificat modificări neautorizate ale datelor din registrele de stat.
Cum au fost extrase datele
Explicația tehnică oferită de AGE arată că atacatorul a exploatat vulnerabilități ale unor servicii accesibile fără autentificare, apoi a folosit datele obținute pentru extrageri suplimentare. Agenția nu a precizat ce servicii erau vulnerabile și nici tipul vulnerabilităților.
Primele atacuri au vizat un serviciu electronic care jurnaliza incorect motivul prelucrării datelor. Din acest motiv, în istoricul accesărilor din aplicația EVO, cetățenii au văzut prelucrări ale datelor lor pentru solicitarea documentelor de stare civilă sau legate de permisul de conducere (obținere, emitere, preschimbare sau reînnoire).
Aceste înregistrări au făcut incidentul vizibil înainte de comunicatul oficial. Pe 26 octombrie, mai mulți utilizatori, printre care un avocat și o judecătoare, au semnalat pe rețelele de socializare că datele lor fuseseră accesate fără nicio solicitare din partea lor, a relatat NewsMaker.
AGE a răspuns atunci că fuseseră identificate posibile accesări neautorizate, dar că nu putea confirma dacă datele unei anumite persoane fuseseră accesate sau folosite.
Tofan a mai declarat că vulnerabilitățile au putut fi exploatate cu ajutorul inteligenței artificiale, însă autoritățile nu au publicat detalii tehnice care să susțină această afirmație.
Servicii oprite și noi tentative
Pe 23 octombrie au fost deconectate preventiv 82 de servicii publice și peste 30 de sisteme informaționale și panouri de administrare, iar instituțiile responsabile au primit recomandări tehnice pentru remedierea vulnerabilităților.
Cronologia activităților:
- 23 octombrie, ora 11:30 – extragerea neautorizată a datelor a fost stopată
- 23 octombrie – 82 de servicii publice și peste 30 de sisteme informaționale și panouri de administrare au fost deconectate preventiv. Instituțiile responsabile au fost informate și au primit recomandări tehnice pentru remedierea vulnerabilităților
- 25 octombrie, în jurul orei 02:00 – specialiștii au identificat și blocat o nouă tentativă de accesare forțată a mai multor servicii publice guvernamentale
- 27 octombrie, în jurul orei 07:00 – au fost înregistrate noi tentative de extragere a datelor, fără succes
Pe 28 octombrie, AGE a dezactivat temporar autentificarea în MPass prin opțiunea în doi pași și prin aplicația EVOSign, ca măsură preventivă pentru verificarea serviciului de autentificare și control al accesului.
Autentificarea rămâne posibilă cu semnătura mobilă, semnătura electronică sau cartea de identitate, iar în aplicația EVO doar cu semnătura mobilă, a anunțat agenția, citată de Moldpres.
Investigație și demisie
Amploarea exactă a incidentului face obiectul unui audit și al investigațiilor desfășurate de Agenția pentru Securitate Cibernetică (ASC), Serviciul Tehnologia Informației și Securitate Cibernetică (STISC), Serviciul de Informații și Securitate (SIS) și AGE.
Au fost sesizate și Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) și Centrul pentru Combaterea Crimelor Cibernetice al Poliției.
Tofan spune că autoritățile au „indicii despre o campanie mai largă” cu implicarea unor actori statali străini, iar serviciile competente investighează inclusiv rolul acestora în incidentul recent. Nu a fost numit niciun actor și nu există informații publice despre o revendicare a atacului.
Directoarea AGE, Nicoleta Colomeeț, în funcție din noiembrie 2024, se retrage la cererea premierului, iar interimatul va fi asigurat de Artiom Cociu.
Guvernul a dispus contractarea rapidă a unor soluții precum Cloudflare și Web Application Firewall, iar Tofan a anunțat un centru național de operațiuni de securitate (SOC) în cadrul ASC, aflat în ultimele luni de finalizare.
Premierul a mai spus că a cerut partenerilor externi acces la modele de IA necenzurate, care nu sunt disponibile publicului larg.
AGE a notificat încălcarea securității datelor la CNPDCP, care constată că, până acum, informarea cetățenilor s-a făcut prin canale publice.
Legea nr. 195/2024 privind protecția datelor, care transpune GDPR și reglementează notificarea incidentelor de securitate, a intrat în vigoare pe 23 august 2026. AGE spune că va informa persoanele afectate și va comunica public rezultatele investigației.
