Rumunský katastr I: Velký technický kyberbezpečnostní incident

První ze čtyř dílů. Rozbor útoku na rumunskou katastrální agenturu ANCPI a toho, co z něj plyne pro veřejnou správu i pro soukromý sektor.

Zavolejte na svůj katastrální úřad a zeptejte se, jestli je váš dům pořád váš. Zní to jako absurdní otázka. V Rumunsku na ni měsíc nikdo neuměl odpovědět.

Čtrnáctého července 2026 přestaly fungovat všechny informační systémy agentury ANCPI, tedy rumunského protějšku našeho ČÚZK. Aplikace e-Terra, přes kterou se zapisují převody a hypotéky. Geoportál. Registr vlastníků. Institucionální e-maily. Během jednoho dopoledne se z fungujícího státního registru stala černá díra.

Instituce to ten den nazvala velkým technickým incidentem. Slovník havárie

Ta formulace stojí za zastavení, protože je to nejpřesnější možná lež. Technicky vzato šlo skutečně o incident a skutečně byl technický. Zároveň neobsahuje jedinou informaci, kterou by v tu chvíli kdokoli potřeboval.

Následující den, 15. července, ANCPI potvrdila, že šlo o kybernetický útok. Ve stejný den se údajně odcizená data objevila k prodeji na specializovaném fóru. To pořadí je samo o sobě nález: útočník měl monetizaci naplánovanou dřív, než instituce dokončila první komunikační cyklus.

Sedmnáctého července se případ dostal do celostátního tisku. Útočník poskytl rozhovor přes šifrovanou aplikaci novinářům Euronews România. Generální ředitel ANCPI ten samý den poprvé podrobně promluvil pro G4Media. A investigativní redakce Public Record zveřejnila, kdo vlastně bezpečnost té instituce zajišťoval.

Všechno tři dny po výpadku. Všechno v jeden den. Čtyři hlasy, žádné ověření

Tady se z komunikační nešikovnosti stává něco vážnějšího. O témže incidentu se ve stejném týdnu vyjádřily čtyři strany a jejich verze se navzájem vylučují.

ANCPI oficiálně: spravovaná data jsou v bezpečí a nebyla kompromitována, zálohy existují a databáze se z nich obnovuje.

Generální ředitel Laurențiu-Alexandru Blaga pro G4Media: nemá žádný náznak, že by útočníci získali osobní údaje občanů nebo data z kupních smluv. Na přímou otázku, zda útok umožnila slabá hesla, odpověděl, že administrátoři systému měli silná hesla.

Rumunské DNSC, tedy tamní národní úřad pro kybernetickou bezpečnost: byly exfiltrovány určité kategorie dat, „ale nikoli velmi velké množství". Osobní data ani listy vlastnictví zatím nezjištěny. V technické analýze č. T66 z 22. července ovšem stojí, že útočník zkopíroval celý řadič domény Active Directory na svůj server.

Útočník vystupující jako ByteToBreach: tvrdí, že má databáze s údaji rumunských občanů a kopii serverů GitLab se zdrojovým kódem systémů e-Terra a RENNS.

Kdo má pravdu, nikdo nezávisle neověřil. A přesně to je ten skutečný nález, ke kterému se ještě vrátím ve druhém díle. Instituce, která po týdnech nedokáže autoritativně říct, co z ní odteklo, neměla čím to zjistit. Když se v technické analýze dočtete, že WAF před platební aplikací uchovával logy sedm minut, přestane vás rozpor mezi verzemi překvapovat. Když útočník komunikuje lépe než úřad

Rozhovor, který ByteToBreach poskytl Euronews România, je nepříjemné čtení. Omluvil se rumunským občanům a výslovně i IT týmu ANCPI. Řekl, že motivace je čistě finanční. Odmítl kritizovat lidi, kteří se zrovna snažili systém obnovit, s tím, že si jich váží.

Byla to samozřejmě součást jeho práce. Ransomwarová ekonomika stojí na mediálním tlaku a on ten tlak vytvářel profesionálně.

Zůstává ale fakt, který by měl každou krizovou komunikaci vyděsit: v prvním týdnu byl útočník srozumitelnější, konkrétnější a lidsky přístupnější než instituce, kterou napadl. Sdělil veřejnosti víc informací. A z hlediska obyčejného čtenáře působil důvěryhodněji.

To se nestalo proto, že by byl dobrý řečník. Stalo se to proto, že instituce v prvních dvou dnech nesdělila prakticky nic a když už promluvila, popřela věci, které nemohla vědět. Dvě krize, ne jedna

Mădălin Dumitru, CEO rumunské bezpečnostní firmy Scut, to v podcastu ZONA shrnul do věty, kterou používám od té doby na každém jednání. Každý bezpečnostní incident je vždycky dvě krize současně. Krize technické infrastruktury a krize komunikační. Obě musí být ošetřeny se stejnou vážností a obě běží paralelně.

Organizace investují do první a na druhou si vzpomenou, až když jim volá novinář.

Přitom seznam toho, co je v prvních hodinách nutné zvládnout, je dlouhý a nikdo si ho v tu chvíli nevymyslí: komunikace se zaměstnanci, s dodavateli, s klienty, s regulátorem, s dozorovým orgánem. Kdo mluví, co smí říct, komu se hlásí co a v jaké lhůtě. Buď to máte napsané a nacvičené, nebo improvizujete před kamerou.

Jak dopadá improvizace, ukázala v Rumunsku i popkultura. Během několika dní se z incidentu stal celostátní vtip, včetně komediálního bloku na Rock FM, kde se rozebíralo, jestli byla ta databáze postavená ve WordPressu, nebo v Malování. Technicky je to nesmysl. Jako měřítko reputační škody je to přesné a stálo by v účetnictví za víc, než se do něj kdy dostane. Proč to není rumunská specialita

Za třicet let jsem seděl u dost krizových jednání, abych věděl, že tenhle vzorec nemá národnost. Vypadá vždycky stejně.

V první hodině nikdo neví nic jistě. Vedení chce koupit čas a sáhne po nejmenší pravdivé formulaci, kterou najde. Technický incident. Výpadek služby. Plánovaná odstávka. Zní to nevinně a vlastně to není nepravda.

Ve druhé hodině se ale někdo zeptá konkrétně a odpověď musí být buď rozporná, nebo přiznávající. A protože přiznání znamená titulky, zvolí se rozpor. Ten rozpor pak žije vlastním životem měsíce.

Rozdíl mezi organizacemi, které krizi ustojí, a těmi, které ji neustojí, se nedělá v momentě útoku. Dělá se ve chvíli, kdy se první člověk zeptá, co přesně smíme říct, a v ruce buď má, nebo nemá napsaný postup. Pokud takový postup existuje, mluví se během dvou hodin. Pokud neexistuje, mluví se za tři dny a mluví se špatně.

Pro české a evropské subjekty přitom už tohle není otázka slušného vychování. NIS2 a nový zákon o kybernetické bezpečnosti stanoví lhůty: včasné varování do 24 hodin, podrobné oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce. ANCPI ve svém prvním čtyřiadvacetihodinovém okně řeklo veřejnosti slovo „technický".

Zeptejte se ve své organizaci na jednu věc: kdo je jmenovitě oprávněn potvrdit bezpečnostní incident směrem ven a do kolika hodin. Pokud neuslyšíte jméno a číslo, máte stejný problém jako ANCPI, jen jste ho ještě nepotkali.

V Aplis Solutions tohle s klienty řešíme jako první bod, protože je nejlevnější a nejčastěji chybí. Modul CyberComply pak drží postup, role a zákonné lhůty na jednom místě, aby se v krizi nehledaly v e-mailech.

Ve druhém dílu se podíváme na to, co se podle technické analýzy DNSC a podle bulharského bezpečnostního experta Krasimira Koceva stalo doopravdy. Řetěz od jednoho přihlašovacího formuláře až ke smazaným serverům je totiž kratší, než by kdokoli čekal.

V krizi se neplatí za pravdu. Platí se za zpoždění, se kterým dorazí.

#kybernetickábezpečnost, #NIS2, #veřejnáspráva, #katastr, #ransomware, #riskmanagement, #ITgovernance, #digitalizace Autor: Petar P. Stanchev, Ph.D., LL.D.