Il catasto della Romania è fermo da due settimane: credenziali valide e backup nel posto sbagliato

Il 14 luglio 2026 l’Agenzia nazionale rumena per il catasto e la pubblicità immobiliare, l’ANCPI, si è accorta di un accesso non autorizzato ai propri sistemi. Due settimane dopo, mentre scriviamo, la piattaforma e-Terra è ancora ferma: in Romania non si possono registrare compravendite, non si ottengono visure, non si iscrivono ipoteche. Un intero mercato immobiliare nazionale è in pausa forzata perché qualcuno è entrato con delle credenziali valide.

La notizia è arrivata in Italia con i toni del film catastrofico, «l’hacker cancella il catasto», ma la parte davvero istruttiva non è il gesto clamoroso. È tutto quello che è successo prima, ed è materiale che chiunque gestisca sistemi critici dovrebbe leggere con attenzione.

I fatti, in ordine

Il 14 luglio l’ANCPI rileva l’intrusione. L’analisi tecnica classifica l’evento come attacco ransomware: gli attaccanti hanno cifrato e cancellato una parte dell’infrastruttura di virtualizzazione che ospitava le applicazioni dell’agenzia, come comunicato dal governo. Non un singolo server: lo strato su cui giravano i servizi. Vanno giù e-Terra, la piattaforma del catasto e dei libri fondiari, il sistema di pagamento ePay e la posta istituzionale.

Il 15 luglio, su un forum criminale, compare in vendita un lotto di dati attribuito all’ANCPI. Rivendica l’attacco un profilo noto come ByteToBreach, che sostiene di aver sottratto documenti amministrativi, credenziali di dipendenti pubblici, dati di cittadini e il codice sorgente dei sistemi governativi, e di aver poi distrutto tutto quando il riscatto non è arrivato. La società israeliana di intelligence KELA associa quel profilo a una persona residente a Orano, in Algeria; le autorità rumene non hanno confermato l’identificazione.

Nei giorni seguenti parte la ricostruzione: l’infrastruttura viene reinstallata da capo e le applicazioni migrate nel cloud governativo, operazione coordinata dal Serviciul de Telecomunicații Speciale. Il 27 luglio il governo comunica che non esiste ancora una data ferma di riavvio.

Una contraddizione che vale la pena sciogliere

Su un punto le versioni divergono, e la stampa internazionale ha amplificato la più drammatica. L’attaccante afferma di aver cancellato l’intero catasto, comprese le copie di sicurezza. Il governo rumeno e l’ANCPI sostengono invece che le banche dati tecniche e giuridiche non sono state compromesse.

Le due affermazioni sono meno incompatibili di quanto sembri. Ciò che è stato distrutto è lo strato applicativo, cioè le macchine virtuali e i sistemi che rendono i dati consultabili, mentre i dati in sé sarebbero sopravvissuti in copie non raggiungibili dall’attaccante. È la differenza fra perdere l’archivio e perdere le chiavi dell’archivio: nel secondo caso i documenti esistono ancora, ma per due settimane è come se non esistessero. Per il notaio che deve rogitare, la distinzione è teorica.

Vale la pena tenerla presente quando si legge «hanno cancellato il catasto di un Paese». La ricostruzione più accreditata è che una copia conservata in un ambiente separato, fuori dalla portata delle credenziali rubate, abbia impedito la perdita definitiva. Non la fortuna: una scelta architetturale fatta prima.

Come è entrato: nessun capolavoro tecnico

Qui arriva la parte scomoda. Dan Cîmpean, direttore della Direzione nazionale rumena per la cybersicurezza, ha dichiarato che «non è stato un attacco molto complesso» e che sono state sfruttate vulnerabilità note e credenziali già circolanti, problemi che l’autorità aveva segnalato all’agenzia poco tempo prima.

Le analisi tecniche indipendenti concordano: l’accesso iniziale è avvenuto con credenziali valide, non forzando un perimetro. Chi entra con un’utenza legittima non fa scattare quasi nulla, perché non c’è exploit da rilevare né anomalia di protocollo. C’è un utente che fa cose che quell’utente può fare. Poi ricognizione interna, mappatura dei sistemi, individuazione delle infrastrutture critiche, e solo alla fine il gesto distruttivo.

ByteToBreach viene descritto come un initial access broker: non un attore statale con obiettivi geopolitici, ma un criminale che cerca sistemi mal protetti per farci soldi. Gli vengono attribuite operazioni analoghe contro obiettivi in Svezia, Slovacchia, Ucraina, Polonia e Lituania. Non ha scelto la Romania per ragioni politiche, l’ha scelta perché era comoda.

Il punto vero: i backup erano dentro il perimetro dell’attaccante

Se c’è una lezione da portarsi a casa è questa. Le copie di sicurezza esistevano. Non sono servite a evitare il blocco perché rispondevano allo stesso sistema di identità e permessi dell’ambiente di produzione. L’attaccante, con le credenziali amministrative che aveva già, è arrivato ai server di backup esattamente come era arrivato ai server applicativi.

È il punto che quasi tutti sbagliano, e va detto senza giri di parole: l’immutabilità di un backup non serve a niente se il sistema che la impone obbedisce a chi ha già le chiavi. Un archivio a prova di modifica, ma amministrabile con le stesse credenziali della produzione, si disattiva o si cancella con due comandi. La protezione non sta nella tecnologia del supporto, sta nella separazione: una copia deve vivere in un dominio di fiducia diverso, con credenziali diverse, che l’attaccante non ottiene compromettendo la produzione. In Romania a salvare tutto è stata una sola copia isolata, in un account separato da quello di produzione.

C’è un corollario meno intuitivo. Chi entra resta in silenzio per giorni prima di colpire, quindi anche la copia più recente può essere già avvelenata. Un piano che prevede «riparto dall’ultimo backup» senza sapere quando è cominciata l’intrusione rischia di reinstallare il problema insieme ai dati.

Trecentocinquemila euro su centotrentacinque milioni

Il dato che più di ogni altro spiega l’accaduto è di natura contabile. Negli ultimi vent’anni l’ANCPI ha investito circa 135 milioni di euro in digitalizzazione e circa 305.000 euro in sicurezza informatica: lo 0,2%.

Non è un errore di battitura ed è una proporzione che si incontra spesso, anche fuori dalla pubblica amministrazione e anche in Italia. Si digitalizza un processo perché produce efficienza misurabile; si mette in sicurezza perché non succeda qualcosa che non si sa quantificare. Il primo capitolo di spesa ha uno sponsor interno, il secondo no. Finché non succede: e allora il conto arriva tutto insieme, e non lo paga il bilancio IT.

Il conto lo pagano i cittadini

Il danno è finito addosso a chi non c’entrava nulla. In Romania si registrano circa 170.000 compravendite immobiliari l’anno: due settimane di fermo significano migliaia di famiglie con il rogito sospeso, mutui bloccati in istruttoria, imprese edili con l’incasso congelato.

A rendere il tempismo crudele c’era una scadenza fiscale: dal 1° agosto 2026 l’IVA sulle case nuove passa dal 9% al 21%. Chi aveva firmato un preliminare contando sull’aliquota ridotta doveva chiudere entro il 31 luglio, e non poteva, perché il sistema che serve a chiudere era spento. Per un appartamento la differenza stimata va dai 10.000 ai 14.000 euro. Il premier Ilie Bolojan si è espresso per una proroga che copra la durata del mancato funzionamento della piattaforma, e il Parlamento ha avviato l’estensione dell’aliquota ridotta.

Vale la pena fermarsi su questo passaggio, perché è il cuore della vicenda: un incidente informatico ha costretto un parlamento a modificare una norma fiscale. È la dimostrazione più netta che la disponibilità di un sistema non è una questione tecnica, è una questione di diritti esercitabili.

Che cosa c’entra con chi legge da qui

Molto più di quanto sembri. Un’agenzia catastale è, in linguaggio NIS2, un soggetto della pubblica amministrazione che eroga servizi essenziali, ma i meccanismi che l’hanno fatta cadere non hanno nulla di specificamente pubblico né di specificamente rumeno. Credenziali valide riutilizzate, avvisi ricevuti e non chiusi, backup amministrati con le stesse utenze della produzione: sono tre situazioni che si trovano identiche in aziende private di ogni dimensione.

Sul piano normativo la vicenda tocca almeno tre corde. La NIS2 chiede misure di gestione del rischio proporzionate e impone che gli organi di gestione le approvino e ne rispondano: un avviso dell’autorità rimasto senza seguito è esattamente il tipo di omissione su cui si misura quella responsabilità. Il GDPR entra in gioco perché la disponibilità dei dati è un obiettivo di sicurezza dell’articolo 32 al pari della riservatezza, quindi un sistema irraggiungibile per due settimane è un problema di protezione dei dati anche quando nessuno ha rubato niente. E la continuità operativa, ISO 22301 o semplicemente un piano scritto e provato, è ciò che distingue un fermo di tre giorni da un fermo di tre settimane.

Sul fronte GDPR, per completezza: l’autorità rumena per la cybersicurezza ha dichiarato di non aver trovato prove che siano stati sottratti dati personali o certificati catastali, pur confermando l’esfiltrazione di credenziali utente e codice sorgente applicativo. L’attaccante sostiene il contrario. Finché l’analisi forense non è chiusa le due versioni convivono, ed è una ragione in più per non archiviare la vicenda come «nessun dato personale coinvolto».

Cinque domande da porsi lunedì mattina

1. Se un amministratore di sistema venisse compromesso oggi, quali copie di sicurezza sopravvivrebbero? Se la risposta è «nessuna, sono tutte nello stesso dominio», il backup c’è ma non protegge.
2. Quando è stata l’ultima volta che un ripristino è stato provato davvero? Non verificato: eseguito, con un cronometro, misurando quante ore servono per tornare operativi.
3. Le segnalazioni di sicurezza ricevute negli ultimi dodici mesi sono state chiuse? Quelle dell’autorità, del fornitore, del penetration test. Con una data e un responsabile accanto.
4. L’autenticazione a più fattori copre tutti gli accessi amministrativi, compresi quelli dei fornitori e quelli «di servizio» che nessuno usa mai?
5. Quanto può stare fermo il processo che genera il fatturato? Se non c’è un numero condiviso con la direzione non esiste un piano di continuità, esiste una speranza.

La Romania se l’è cavata perché una copia stava in un posto che l’attaccante non poteva raggiungere. È l’unica cosa che ha funzionato in tutta la vicenda, ed è costata infinitamente meno dei 135 milioni spesi per digitalizzare il resto.

Fonti

Oltre ai collegamenti nel testo: Balkan Insight, bne IntelliNews, extrasul.ro.