Dopo un tentativo di estorsione fallito, un hacker ha cancellato l’intero database del catasto rumeno, bloccando le transazioni immobiliari in tutto il Paese. L’attacco ha reso impossibile rilasciare visure catastali, autenticare compravendite e applicare imposte ipotecarie.
Sul dark web, il responsabile si è vantato di aver cancellato i dati e sovrascritto anche alcune copie di backup, nel tentativo di impedire il ripristino del database.
Lo riporta il sito Cybernews, precisando che i funzionari rumeni sono riusciti a rendere nuovamente accessibile il sito web dell’Agenzia Nazionale di Catasto e Pubblicità Immobiliare (ANCPI). L’ente ha annunciato la ricostruzione completa della propria rete informatica, partendo da una copia offline dei dati eliminati.
Attacco al catasto rumeno: mercato immobiliare del Paese in tilt
L’ANCPI aveva inizialmente attribuito l’interruzione a problemi tecnici, ma in seguito ha ammesso di essere stata colpita da un attacco informatico e ha comunicato di essere al lavoro per ripristinare i servizi. Le procedure di recupero dovrebbero concludersi mercoledì; successivamente, le autorità verificheranno l’integrità dei sistemi prima di riattivare gradualmente le diverse funzioni.
«L’obiettivo primario è proteggere l’integrità dei dati ed eliminare tutte le vulnerabilità individuate», ha dichiarato l’ANCPI, aggiungendo che i sistemi coinvolti resteranno isolati fino alla completa risoluzione delle falle di sicurezza rilevate.
L’agenzia ha confermato martedì scorso di aver subito quello che ha definito «il più grave incidente tecnico della storia dell’istituzione». L’attacco ha provocato la disattivazione dell’infrastruttura informatica centrale, compresi la piattaforma catastale e il registro fondiario nazionale e-Terra.
Il disservizio è avvenuto a poche settimane dall’aumento dell’imposta sul valore aggiunto sulle nuove abitazioni in Romania, destinata a passare dal 9% al 21%. Il blocco ha quindi rallentato numerose operazioni che acquirenti e costruttori speravano di concludere prima dell’entrata in vigore dell’aliquota più elevata.
L’interruzione ha reso indisponibili i servizi online del catasto, i sistemi di posta elettronica ufficiali e le applicazioni utilizzate da notai, avvocati, tecnici catastali e dipendenti dell’ANCPI. Le autorità non hanno quindi potuto registrare nuove transazioni immobiliari né elaborare le richieste già presentate.
Le indagini sulla pista algerina e i sospetti sull’hacker ByteToBreach
Dan Cîmpean, del Direttorato Nazionale per la Sicurezza Informatica della Romania (DNSC), ha spiegato alla testata rumena G4Media che l’attacco ransomware sarebbe stato condotto sfruttando vulnerabilità software già note. Le autorità avevano recentemente invitato diverse organizzazioni ad applicare le appropriate patch di sicurezza. Gli aggressori avrebbero inoltre utilizzato credenziali già circolate in seguito a precedenti fughe di dati.
«Non si è trattato di un attacco molto complesso», ha affermato Cîmpean. Gli investigatori, almeno per il momento, non hanno trovato prove del furto di dati personali o certificati catastali. Gli aggressori avrebbero comunque sottratto una quantità limitata di informazioni, tra cui credenziali utente e parti del codice sorgente delle applicazioni.
Un cybercriminale conosciuto con il nome ByteToBreach ha rivendicato l’attacco la scorsa settimana, mettendo in vendita su un forum del dark web quelli che ha presentato come dati sottratti all’ANCPI, compresi database interni e il codice sorgente del sistema e-Terra.
Secondo Cîmpean, le autorità rumene ritengono che ByteToBreach sia un initial access broker, vale a dire un intermediario specializzato nel compromettere sistemi scarsamente protetti per poi venderne l’accesso ad altri criminali informatici. Gli investigatori escludono, almeno sulla base degli elementi disponibili, il coinvolgimento di un gruppo sostenuto da uno Stato e sospettano che l’autore operi dall’Algeria.
La società israeliana di sicurezza informatica Kela associa l’identità di ByteToBreach a Zakaria Mahdjoub, presunto criminale informatico algerino descritto come un «prolifico venditore di dati rubati a governi, istituti bancari e compagnie aeree».
La conferma potrebbe venire da una intervista concessa a Euronews Romania tramite l’app di messaggistica Signal, ad un fantomatico hacker che sostiene di essere l’autore dell’attacco: si è pure scusato con i cittadini e con i professionisti informatici rumeni. Alla domanda sui rischi legati ai dati sottratti, ha risposto: «Non vendo questi dati al primo che capita».
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di Macitynet.
