Zwykle mówimy o wyciekach danych — ktoś kopiuje informacje i wystawia je na sprzedaż. Tym razem stało się coś groźniejszego: napastnik po prostu skasował całą bazę. 20 lipca 2026 roku wyszło na jaw, że haker usunął kompletny rejestr gruntów Rumunii, prowadzony przez Narodową Agencję Katastru i Ewidencji Nieruchomości (ANCPI). Efekt był natychmiastowy i dotkliwy — cały rumuński rynek nieruchomości stanął w miejscu. Notariusze przestali móc poświadczać sprzedaż, obywatele nie mogli uzyskać wypisu potwierdzającego własność, nie dawało się ustanowić hipoteki. W kraju, w którym rocznie zmienia właściciela od 150 do 170 tysięcy mieszkań, oznaczało to paraliż na skalę całego państwa.
Zemsta po nieudanym szantażu
Najbardziej niepokojący jest motyw. Napastnik — działający pod pseudonimem ByteToBreach — najpierw włamał się do sieci ANCPI, wykradł dane i próbował wymusić okup. Gdy agencja nie zapłaciła, po prostu skasował wszystko, do czego się dobrał: wewnętrzne dokumenty, dane logowania pracowników, kopie serwerów GitLab z kodem źródłowym systemów (Eterra, RENNS) oraz samą bazę katastralną. Na forum przestępczym chwalił się dodatkowo, że zaczął niszczyć również własne kopie skradzionych danych, żeby utrudnić ich odtworzenie. To nie był atak dla pieniędzy z okupu — to była kara za odmowę zapłaty.
Co istotne, haker nie potrzebował żadnej wymyślnej luki zero-day. Wszystko wskazuje na to, że wszedł do systemu, używając ważnych danych logowania — prawdopodobnie skradzionych, wyłudzonych albo pochodzących z wcześniejszego wycieku. To najczęstsza dziś droga do wnętrza organizacji: nie łamanie zabezpieczeń, tylko wejście frontowymi drzwiami z cudzym kluczem.
Kopie zapasowe uratowały państwo
Ta historia mogłaby skończyć się katastrofą trwającą miesiącami. Nie skończyła się, bo ANCPI miała coś, czego zabrakło niejednej firmie i instytucji: działające kopie zapasowe przechowywane w kilku lokalizacjach, w tym offline. Agencja oficjalnie potwierdziła, że dysponuje odłączoną od sieci kopią usuniętych danych i odbudowuje całą infrastrukturę od zera. Systemy były niedostępne przez około tydzień, ale dane dało się odzyskać. Gdyby kopie leżały wyłącznie na tych samych serwerach co produkcja — jak wciąż bywa — napastnik skasowałby je razem z resztą.
Warto dodać rumuński wątek do szerszego obrazu. Badacze z firmy KELA powiązali ByteToBreach z osobą działającą z Algierii i wskazują, że ten sam sprawca mógł stać za włamaniami do rejestrów państwowych w Europie Wschodniej — wymieniani są Słowacja, Ukraina, Litwa, a także Polska. Rejestry publiczne stały się łakomym celem, bo gromadzą dane całych społeczeństw i bywają utrzymywane na przestarzałej infrastrukturze.
Czego uczy nas ten incydent
Dla każdego, kto odpowiada za dane — czy to urzędu, czy małej firmy — płyną z tego dwie konkretne lekcje.
Po pierwsze, kopie zapasowe muszą być trzymane poza zasięgiem napastnika. Backup podłączony do tej samej sieci, na tym samym koncie i z tymi samymi uprawnieniami zostanie skasowany albo zaszyfrowany razem z oryginałem. Sprawdzoną zasadą jest reguła 3-2-1: trzy kopie, na dwóch różnych nośnikach, z których jedna jest offline lub w innej lokalizacji. Do tego regularne testy odtwarzania, bo kopia, której nikt nie próbował przywrócić, jest tylko założeniem, a nie zabezpieczeniem.
Po drugie, skoro najczęstszym wejściem są skradzione dane logowania, trzeba je utrudnić. Uwierzytelnianie dwuskładnikowe (MFA) na wszystkich kontach, zwłaszcza administracyjnych, zamyka drogę nawet wtedy, gdy hasło wycieknie. Do tego zasada minimalnych uprawnień, żeby przejęcie jednego konta nie dawało dostępu do całości, oraz monitorowanie nietypowych logowań.
Podsumowanie
Rumuński kataster pokazuje, że najgroźniejszy nie jest wyrafinowany exploit, lecz połączenie skradzionego hasła z brakiem planu na najgorszy scenariusz. Napastnik nie zhakował skomplikowanego zabezpieczenia — wszedł z cudzym loginem i skasował wszystko, gdy nie dostał okupu. To, że państwo nie straciło rejestru gruntów, zawdzięcza wyłącznie kopiom zapasowym trzymanym offline. Jeśli dziś nie potrafisz z ręką na sercu powiedzieć, że masz sprawdzoną, odłączoną od sieci kopię swoich najważniejszych danych — to jest dokładnie ten moment, żeby to nadrobić.
źródło: https://cybernews.com/security/hacker-deletes-romanian-land-registry-database/