Ransomware · incident în România
Pe 19 octombrie 2026, la ora 6:30, Societatea Națională de Radiocomunicații (Radiocom) a detectat un incident cu caracteristicile unui atac ransomware, l-a raportat la DNSC prin platforma PNRISC și și-a suspendat preventiv serviciul de e-mail. Lecția utilă pentru orice companie din România este că cinci lucruri trebuie să existe dinainte: un canal de comunicare care nu depinde de rețeaua compromisă, o decizie de izolare aprobată din timp, procedura de raportare (avertizare timpurie în 24 de ore și notificare în 72 de ore către DNSC pentru entitățile NIS2, plus 72 de ore către ANSPDCP dacă sunt afectate date personale), un mesaj gata pentru parteneri și backup-uri offline, testate.
Conform comunicatului companiei, preluat de StartupCafe, Radiocom investighează un incident cu caracteristicile unui atac ransomware, a raportat incidentul prin Platforma Națională de Raportare a Incidentelor de Securitate Cibernetică (PNRISC), iar o echipă DNSC s-a deplasat la sediu. Verificările preliminare indicau un impact concentrat în rețeaua internă, iar serviciile pentru clienți funcționau. Compania a anunțat că evaluează împreună cu autoritățile ce date au fost afectate, că va notifica persoanele și instituțiile vizate conform legii și că sesizează DIICOT. Până la repunerea e-mailului, a publicat un număr de telefon și o adresă de e-mail alternativă și i-a avertizat pe clienți și parteneri să trateze cu prudență mesajele trimise în numele ei (Economedia, Mediafax).
Nu e un caz izolat în 2026. Wall-Street.ro amintește atacul asupra aplicației pentru investitori a Depozitarului Central (8 octombrie, făcut public pe 16 octombrie), atacul ransomware de la Administrația Națională a Penitenciarelor (29 iulie) și atacul care a scos din funcțiune sistemele ANCPI în iulie. Nu speculăm despre cauză; ne uităm la ce a făcut compania vizibil în primele ore.
Radiocom și-a suspendat preventiv e-mailul. E o decizie corectă când nu știi ce controlează atacatorul, dar te lasă fără principalul canal intern și extern. Ghidul #StopRansomware al CISA recomandă coordonarea izolării prin metode precum apelurile telefonice, ca să nu-i dai de știre atacatorului, și un plan de răspuns la incidente disponibil și pe hârtie, și offline.
Concret: o listă tipărită cu telefoanele echipei de răspuns, ale conducerii, ale asigurătorului, ale juristului și ale furnizorului de răspuns la incidente, plus linia DNSC 1911, disponibilă 24/7 (Playtech). Stabilește din timp un grup de chat pe telefoane personale sau o adresă de rezervă pe alt domeniu, pe care o poți anunța public în aceeași dimineață, așa cum a făcut Radiocom.
CISA spune direct: identifici sistemele afectate și le izolezi imediat; dacă sunt afectate mai multe sisteme sau subrețele, scoți rețeaua offline la nivel de switch; oprești echipamentele doar dacă nu le poți deconecta altfel. Înainte de modificări majore, faci o imagine de disc și o captură de memorie pentru un eșantion de sisteme afectate.
Partea grea nu e tehnică: la 6:30 dimineața, administratorul de serviciu trebuie să știe că are mandat scris să taie un segment de rețea, chiar dacă asta oprește facturarea. Scrie acel mandat acum, semnat de conducere, cu lista sistemelor pe care le poate izola singur și a celor pentru care sună întâi pe cineva.
Dacă firma ta este entitate esențială sau importantă conform OUG 155/2024, raportezi la DNSC prin PNRISC, la pnrisc.dnsc.ro. Termenele urmează articolul 23 din Directiva NIS2, transpus prin articolul 15 din OUG 155/2024:
Al doilea ceas este GDPR. Dacă ransomware-ul a atins date personale, articolul 33 îți cere să notifici ANSPDCP fără întârzieri nejustificate și, acolo unde este fezabil, în cel mult 72 de ore, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. Dacă depășești termenul, explici motivele întârzierii. Două autorități, două ceasuri: ține-le pe aceeași foaie. Ceasul de incident pune termenele NIS2 și GDPR pe o singură cronologie, pornind de la momentul în care ai aflat, iar ghidul NIS2 pentru România explică încadrarea.
Radiocom le-a cerut clienților și partenerilor să nu deschidă linkuri sau atașamente neașteptate venite în numele ei. După un incident, conturile de e-mail compromise și conversațiile furate pot fi folosite pentru phishing credibil către furnizori și clienți.
Pregătește acum un mesaj scurt, aprobat juridic, care spune ce canal de contact e valid, că nu schimbi conturile bancare prin e-mail și cum se verifică o cerere suspectă. Dacă folosești Microsoft 365, verifică din timp că poți revoca sesiunile și reseta parolele pentru toate conturile privilegiate în câteva minute. Auditul de securitate Microsoft 365 acoperă exact punctele astea.
CISA recomandă backup-uri offline și criptate pentru datele critice, cu teste regulate de disponibilitate și integritate, pentru că multe variante de ransomware caută backup-urile accesibile ca să le șteargă sau să le cripteze. Un NAS montat ca share de rețea și administrat cu același cont de domeniu nu e un backup offline. E încă o țintă.
Testul real nu e „job-ul a rulat cu succes”. E o restaurare completă a unui server critic, cronometrată, pe infrastructură separată, făcută de cineva care nu a configurat sistemul de backup.
Strânge într-o sală IT-ul, un om din conducere și persoana care se ocupă de GDPR. Pornește de la scenariul public: luni, 6:30, ransomware în rețeaua internă, e-mailul trebuie oprit. Răspundeți, cu ceasul pornit, la cinci întrebări:
Fiecare întrebare la care răspunsul e „nu știu” sau „depinde” devine o acțiune cu responsabil și termen. Dacă lucrezi la conformitatea NIS2, evaluarea NIS2 gratuită îți arată unde stai pe gestionarea incidentelor și pe continuitate, iar verificarea stack-ului îți arată ce vulnerabilități exploatate activ ating produsele pe care le folosești.
Pentru entitățile esențiale și importante: avertizare timpurie în cel mult 24 de ore de la luarea la cunoștință a unui incident semnificativ, notificarea incidentului în cel mult 72 de ore și raportul final în cel mult o lună de la notificare, prin platforma PNRISC.
Da, dacă sunt afectate date personale, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru persoane. Articolul 33 din GDPR cere notificarea fără întârzieri nejustificate și, acolo unde este fezabil, în cel mult 72 de ore.
Platforma PNRISC, la pnrisc.dnsc.ro, primește raportări și de la persoane fizice, nu doar de la entitățile NIS2. Pentru o situație urgentă există și linia DNSC 1911, disponibilă 24/7.
Facem împreună exercițiul de mai sus pe rețeaua ta și îți lăsăm o procedură de răspuns și raportare 24/72 pe care o poți folosi a doua zi.
Scrie-ne →