Atac ransomware: ce faci în primele 72 de ore ca să limitezi pierderile și să păstrezi probele

Ilustrație: servere blocate de un atac ransomware, cronometru de 72 de ore și fișiere criptate

După un atac ransomware, primul lucru de făcut este izolarea sistemelor afectate de rețea, fără a le opri, reinstala sau „curăța”. Apoi se păstrează probele, se anunță conducerea și se evaluează obligațiile de notificare (DNSC, ANSPDCP), iar decizia privind plângerea penală se ia pe baza unei analize tehnice, nu sub presiunea atacatorului.

Pe scurt

  • Ransomware-ul a crescut în România cu 153% în 2025 față de 2024, potrivit raportului anual DNSC, cu 256 de victime: instituții publice, firme și persoane fizice.
  • Primele ore se folosesc pentru izolare și conservarea probelor, nu pentru reinstalare. Un sistem formatat nu mai poate spune ce s-a întâmplat.
  • DNSC recomandă ferm ca victimele să nu contacteze și să nu negocieze cu atacatorii.
  • Accesul ilegal, alterarea datelor și perturbarea sistemelor sunt infracțiuni (art. 360-366 Cod penal) de competența DIICOT, indiferent dacă autorii formează sau nu un grup organizat.
  • Entitățile NIS2 au termene stricte: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună.

De ce contează atât de mult primele 72 de ore?

Un atac ransomware nu începe în momentul în care apare mesajul de răscumpărare. De obicei, atacatorii au intrat în rețea cu zile sau săptămâni înainte, au obținut conturi cu drepturi ridicate, au copiat date și abia la final au criptat fișierele. Mesajul de pe ecran este ultima etapă, nu prima.

În primele 72 de ore se decid trei lucruri: cât de mult se extinde paguba, dacă mai există urme care arată cum a intrat atacatorul și dacă firma își poate îndeplini obligațiile legale la timp. Orice decizie luată în grabă, cum ar fi reinstalarea serverelor „ca să mergem mai departe”, poate șterge exact informațiile de care este nevoie pentru a închide breșa și pentru a susține o plângere penală.

Cazul Apele Române arată amploarea pe care o poate avea un astfel de incident. DNSC a fost notificat la 20 decembrie 2025, iar circa 1.000 de sisteme IT&C au fost compromise la administrația națională și la 10 din cele 11 administrații bazinale: servere GIS, baze de date, stații de lucru, servere de e-mail, web și DNS. Atacatorii nu au folosit un program exotic, ci BitLocker, o funcție legitimă de criptare din Windows. Tehnologia operațională nu a fost afectată, iar instituția a depus plângere penală, cu dosar înregistrat la DIICOT.

Primele ore: ce faci și ce nu faci

Ce faci imediat

  1. Izolezi sistemele afectate de rețea. Scoți cablul de rețea sau dezactivezi conexiunea, dar lași calculatorul pornit dacă se poate. Memoria RAM conține informații (procese, conexiuni, uneori chei de criptare) care se pierd la oprire.
  2. Oprești extinderea. Blochezi conturile suspecte, schimbi parolele conturilor de administrator de pe un dispozitiv curat și întrerupi accesul la distanță (VPN, RDP) până la clarificare.
  3. Păstrezi tot ce a lăsat atacatorul. Mesajul de răscumpărare, fișierele cu instrucțiuni, adresele de contact, e-mailurile suspecte, jurnalele de sistem, de firewall și de VPN.
  4. Anunți conducerea și desemnezi un coordonator. O singură persoană ține legătura cu echipa tehnică, cu juriștii și cu autoritățile.
  5. Notezi cronologia. Ora la care s-a observat incidentul, cine ce a făcut, ce sisteme au fost deconectate. Această cronologie va fi folosită în notificări și în dosar.

Ce nu faci

  • Nu reinstalezi, nu formatezi și nu rulezi programe de „curățare” pe sistemele afectate înainte de conservarea probelor.
  • Nu ștergi mesajele atacatorului și nu răspunzi la ele.
  • Nu restaurezi din copiile de rezervă până nu știi dacă și acestea sunt compromise. Atacatorii caută intenționat backup-urile.
  • Nu comunici public detalii tehnice înainte de a înțelege incidentul.

Plătim răscumpărarea?

Poziția DNSC este fermă: victimele nu contactează și nu negociază cu atacatorii. Motivele sunt practice. Plata nu garantează primirea unei chei de decriptare funcționale, nu garantează că datele copiate nu vor fi publicate sau vândute și finanțează următorul atac. Raportul IBM Cost of a Data Breach 2025 arată că 63% dintre organizații au refuzat să plătească, iar incidentele de extorcare dezvăluite de atacatori au costat în medie 5,08 milioane USD.

Răspunsul corect la întrebarea „plătim?” vine din alte întrebări: există copii de rezervă curate? Cât durează restaurarea? Ce date au fost copiate? Analiza tehnică răspunde la acestea, iar fără ea orice decizie este luată pe ghicite.

Conservarea probelor: diferența dintre „am fost atacați” și un dosar penal

O plângere penală care spune doar „am fost atacați” are șanse mici să avanseze. O plângere însoțită de probe tehnice documentate, cu cronologie, vector de intrare, conturi folosite și indicatori de compromitere, oferă procurorului un punct de plecare concret.

Conservarea înseamnă:

  • copii integrale ale discurilor și ale memoriei sistemelor relevante, făcute înainte de orice intervenție;
  • amprente criptografice (hash) calculate la colectare, care demonstrează ulterior că datele nu au fost modificate;
  • jurnalele sistemelor, ale echipamentelor de rețea și ale serviciilor cloud, exportate înainte să fie suprascrise (multe servicii păstrează jurnalele doar câteva zile);
  • un registru al operațiunilor: cine a colectat ce, când și cu ce instrument.

Codul de procedură penală prevede măsuri precum conservarea datelor informatice (art. 154) și percheziția informatică (art. 168), dispuse de autorități. Cu cât firma a păstrat mai bine urmele de la început, cu atât aceste măsuri au pe ce se sprijini.

Ce obligații de notificare ai?

Obligație Cine Termen Temei
Avertizare timpurie a incidentului semnificativ Entități esențiale și importante (NIS2) 24 de ore OUG 155/2024
Notificarea incidentului Entități esențiale și importante 72 de ore OUG 155/2024
Raport final Entități esențiale și importante o lună OUG 155/2024
Notificarea încălcării securității datelor personale Orice operator, când e cazul 72 de ore de la constatare GDPR art. 33
Plângere penală Victima (decizia aparține conducerii) fără termen fix, dar cât mai repede Cod penal, Cod de procedură penală

Dacă firma nu intră sub NIS2, poate totuși raporta incidentul către DNSC și cere sprijin. Detaliile termenelor NIS2 sunt explicate în articolul despre notificarea incidentelor în 24 și 72 de ore.

Plângerea penală: unde și cu ce?

Faptele tipice unui atac ransomware se încadrează în capitolul Codului penal privind siguranța sistemelor informatice: accesul ilegal la un sistem informatic (art. 360, până la 7 ani pentru sisteme cu acces restricționat), alterarea integrității datelor (art. 362, 1-5 ani), perturbarea funcționării sistemelor (art. 363, 2-7 ani). Potrivit Legii 508/2004, aceste infracțiuni sunt de competența DIICOT, indiferent dacă au fost comise de un grup infracțional organizat.

Plângerea este mai utilă dacă include:

  • cronologia incidentului;
  • descrierea sistemelor afectate și a impactului;
  • mesajul de răscumpărare și orice comunicare a atacatorului;
  • raportul tehnic preliminar și indicatorii de compromitere;
  • confirmarea că probele au fost conservate și pot fi puse la dispoziție.

Decizia de a sesiza autoritățile aparține firmei. Rolul unei analize tehnice independente este să ofere o bază solidă pentru această decizie.

Zilele 2 și 3: de la izolare la refacere controlată

După conservarea probelor, analiza tehnică urmărește trei întrebări: pe unde au intrat atacatorii, ce au făcut în rețea și ce date au atins. Răspunsurile determină cum se reface infrastructura:

  1. Închiderea vectorului de intrare. Un VPN fără autentificare multifactor, un server expus pe internet, un cont compromis prin phishing. Dacă vectorul rămâne deschis, restaurarea doar pregătește următorul atac.
  2. Verificarea copiilor de rezervă înainte de restaurare, pe un mediu izolat.
  3. Restaurarea pe priorități: întâi serviciile critice pentru activitate și pentru clienți.
  4. Monitorizarea pe baza indicatorilor de compromitere, pentru a detecta revenirea atacatorului.
  5. Comunicarea controlată către clienți, parteneri și angajați, coordonată cu juriștii.

Cum vă ajută ProDefence

ProDefence intervine tehnic în incidentele de ransomware, cu un principiu simplu: rolul nostru este tehnic, să stabilim ce s-a întâmplat și să documentăm dovada. Lucrăm în cinci etape: preluare, conservare, analiză, documentare, remediere.

Primiți:

  • raport tehnic cu reconstituirea incidentului: vectorul de intruziune, acțiunile atacatorului, sistemele și datele afectate;
  • probe documentate într-o formă utilizabilă în procedura penală;
  • indicatori de compromitere pentru verificarea restului infrastructurii;
  • plan de remediere prioritizat;
  • suport tehnic pe parcursul procedurii, la cererea dumneavoastră sau a autorităților.

Detalii pe pagina Investigarea infracțiunilor informatice. Dacă incidentul a început cu un fișier sau un e-mail suspect, vedeți și analiza fraudelor electronice și a fișierelor malware.

Pentru avocații care preiau dosarul ulterior, serviciul ProCIS organizează materialul tehnic și documentar într-o cronologie verificabilă. Pentru entitățile NIS2 care au nevoie de cineva care să gestioneze notificările și măsurile în mod permanent, există serviciul de responsabil NIS2 externalizat.

Întrebări frecvente

Ce fac imediat după ce descopăr un atac ransomware?

Izolați sistemele afectate de rețea fără a le opri, dacă este posibil. Nu reinstalați, nu formatați și nu rulați programe de curățare. Păstrați mesajul de răscumpărare, jurnalele și e-mailurile suspecte, anunțați conducerea și notați cronologia. Apoi verificați obligațiile de notificare către DNSC și ANSPDCP și cereți o analiză tehnică.

Este legal să plătesc răscumpărarea?

Întrebarea juridică trebuie discutată cu un avocat. Din punct de vedere practic, DNSC recomandă ferm ca victimele să nu contacteze și să nu negocieze cu atacatorii. Plata nu garantează decriptarea, nu împiedică publicarea datelor copiate și finanțează alte atacuri. Decizia se ia doar după evaluarea copiilor de rezervă și a datelor afectate.

Puteți recupera datele criptate?

Depinde de varianta de ransomware, de existența unor copii de rezervă neafectate și de modul în care s-a făcut criptarea. Uneori există soluții, de cele mai multe ori nu. Nicio firmă serioasă nu garantează recuperarea înainte de analiză. Analiza stabilește ce se poate restaura și din ce surse.

Unde depun plângerea penală pentru un atac ransomware?

Faptele tipice (acces ilegal, alterarea datelor, perturbarea sistemelor, art. 360-366 Cod penal) sunt, potrivit Legii 508/2004, de competența DIICOT, indiferent dacă autorii formează un grup organizat. Plângerea este mai solidă dacă este însoțită de cronologie, raport tehnic și confirmarea că probele au fost conservate.

Trebuie să anunț ANSPDCP?

Dacă atacul a afectat date cu caracter personal și există un risc pentru persoanele vizate, operatorul notifică ANSPDCP în 72 de ore de la constatare, conform art. 33 GDPR. Ransomware-ul modern copiază adesea datele înainte de criptare, deci evaluarea trebuie făcută în fiecare caz.

Firma mea nu intră sub NIS2. Pot cere ajutor DNSC?

Da. Orice organizație poate raporta un incident către DNSC și poate cere sprijin. Termenele de 24 de ore, 72 de ore și o lună sunt obligatorii doar pentru entitățile esențiale și importante, dar o raportare rapidă ajută și celelalte organizații.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, lucrează în investigarea incidentelor informatice, analiza malware și conformarea NIS2.

Notificarea de incident sub OUG nr. 155/2024: 24 de ore, 72 de ore, o lunăIlustrație: termenele de notificare a unui incident NIS2, cronometru și raport trimis către autoritate
Sari la conținut