Anatomia unui atac ransomware în România: de la VPN la răscumpărare

În februarie 2024, un atac ransomware asupra sistemului informatic spitalicesc Hipocrate, dezvoltat de RSC, a afectat în jur de 100 de spitale din România; atacul a fost atribuit ransomware-ului Backmydata. În decembrie 2024, Grupul Electrica a anunțat un atac cibernetic, revendicat ulterior de gruparea Lynx. Ambele cazuri au fost comunicate public, inclusiv de DNSC.

Lecția nu ține de numele grupărilor, ci de tipar: atacurile moderne sunt operațiuni în mai multe etape, nu un virus care se răspândește singur. Mai jos reconstruim un atac tipic, compus din tiparele descrise public de CISA, ENISA și echipele de răspuns la incidente. Nu descrie o organizație anume, dar fiecare etapă se regăsește în incidente reale.

Cele mai frecvente uși de intrare sunt cunoscute și plictisitor de repetitive:

• Dispozitive de margine vulnerabile — VPN-uri SSL, firewall-uri și gateway-uri cu vulnerabilități publice nepatch-uite. Sunt expuse pe internet prin definiție și scanate permanent.
• Credențiale furate de infostealere — un laptop personal infectat scurge parolele salvate în browser, inclusiv contul de VPN al angajatului.
• Phishing — un atașament sau un link care instalează un instrument de acces la distanță. Vezi phishing-ul în 2026.
• RDP expus direct pe internet, cu parole slabe sau fără limitare a încercărilor.

În scenariul nostru, atacatorul se autentifică în VPN cu o parolă validă furată de un infostealer. Contul nu are MFA. Din punctul de vedere al jurnalelor, este o conectare normală — doar ora și țara de proveniență sunt neobișnuite. Fără o regulă care să compare conectarea cu istoricul obișnuit al utilizatorului, nimeni nu observă. Aceeași lipsă de context face ca, la dispozitivele de margine, intervalul dintre publicarea unui patch și exploatarea în masă să fie adesea mai scurt decât ciclul lunar de actualizări al multor organizații.

Odată intrat, atacatorul nu criptează nimic. Urmează câteva zile de muncă silențioasă:

1. Recunoaștere: enumerează domeniul Active Directory, partajările de fișiere, serverele de backup și soluțiile de securitate instalate.
2. Escaladarea privilegiilor: extrage credențiale din memorie, exploatează o vulnerabilitate locală sau găsește un cont de serviciu cu parolă veche și drepturi de administrator.
3. Mișcare laterală: folosește instrumente legitime de administrare (RDP, PowerShell, instrumente de acces la distanță) — traficul arată ca munca unui administrator.
4. Persistență: creează conturi noi, sarcini programate sau servicii, ca să revină dacă e descoperit parțial.

Înainte de lovitura finală, atacatorul pregătește terenul: dezactivează sau dezinstalează EDR-ul acolo unde poate, șterge copiile de umbră și atacă serverele de backup — consolele de backup legate de domeniu sunt o țintă preferată. Apoi exfiltrează date către un serviciu de stocare extern. Acesta e modelul de dublă extorcare: chiar dacă restaurezi din backup, rămâne amenințarea publicării datelor.

Criptarea propriu-zisă e lansată de obicei în afara programului — noaptea sau în weekend — simultan pe cât mai multe servere, inclusiv pe hipervizoare. Dimineața, utilizatorii găsesc fișiere redenumite și o notă de răscumpărare cu un link către un portal de negociere.

De aici rezultă regula practică pentru backup: cel puțin o copie trebuie să fie în afara razei de acțiune a unui administrator de domeniu compromis — offline, pe un suport deconectat, sau imutabilă pe o perioadă stabilită. Consola de backup nu ar trebui să folosească aceleași conturi ca restul infrastructurii, iar alertele privind ștergerea joburilor sau scurtarea retenției trebuie să ajungă la un om, nu doar într-un jurnal pe care nu-l citește nimeni. Un indicator bun de maturitate: cât timp îți ia să restaurezi complet un server critic, măsurat, nu estimat.

1. Izolează, nu opri: deconectează segmentele afectate de rețea și blochează accesul VPN, dar evită oprirea bruscă a serverelor — memoria poate conține dovezi și, uneori, chei.
2. Păstrează dovezile: jurnale de firewall, VPN, Active Directory, nota de răscumpărare, eșantioane de fișiere criptate. Notează cronologic fiecare acțiune.
3. Activează planul de răspuns și echipa: IT, conducere, juridic, comunicare, eventual o firmă specializată în răspuns la incidente.
4. Notifică: pentru entitățile NIS2 — avertizare timpurie în 24 de ore, notificare a incidentului în 72 de ore, raport final în o lună; dacă sunt afectate date personale, notificarea către autoritatea de protecție a datelor în 72 de ore conform GDPR.
5. Restaurează din copii curate — offline sau imutabile — după ce ai înțeles cum a intrat atacatorul, altfel riști să restaurezi și accesul lui.

Pașii concreți de notificare către DNSC sunt detaliați în notificarea DNSC pas cu pas. Ghidul #StopRansomware al CISA conține o listă de verificare completă pentru răspuns.

Niciunul nu e nou sau scump. Le ai pe toate pe hârtie? Atunci întrebarea corectă este: când au fost verificate ultima dată? Un backup nerestaurat niciodată e o ipoteză, nu un control.

Autoritățile recomandă constant să nu plătești. Plata nu garantează o cheie funcțională, nu garantează ștergerea datelor exfiltrate și finanțează următorul atac. Înainte de orice discuție, verifică pe No More Ransom dacă există un decriptor public pentru varianta ta, consultă juridicul (pot exista restricții legate de sancțiuni internaționale) și informează autoritățile. Mai ales, nu lua decizia în primele ore, sub presiune: de multe ori opțiunile de restaurare se dovedesc mai bune decât păreau la început.

Responsabilitatea pentru aceste decizii aparține conducerii — vezi răspunderea conducerii în NIS2.