Probe digitale în dosarul penal: de la incident la instanță

O probă digitală este utilă într-un dosar penal doar dacă se poate arăta de unde provine, că nu a fost modificată și cine a manipulat-o de la colectare până la depunere. Asta presupune conservare rapidă, copii integrale cu amprente criptografice, un registru al fiecărei operațiuni și o analiză tehnică pe care o poate verifica oricine.

Pe scurt

Datele informatice se pierd repede: jurnalele se suprascriu, conturile se închid, mesajele se șterg. Primele zile contează mai mult decât primele luni.
Integritatea unei probe digitale se demonstrează prin amprente criptografice (hash) calculate la colectare și prin lanțul de custodie.
Codul de procedură penală prevede conservarea datelor informatice (art. 154), percheziția informatică efectuată de un specialist (art. 168) și predarea datelor informatice (art. 170).
Infracțiunile de la art. 360-366 și art. 325 Cod penal sunt de competența DIICOT indiferent dacă există un grup organizat; frauda informatică (art. 249) ajunge la DIICOT doar în contextul unui grup infracțional organizat.
Persoana vătămată poate formula plângere și poate propune probe. O documentare tehnică solidă face propunerea mai ușor de evaluat.

Ce este o probă digitală și de ce este fragilă?

În infracțiunile informatice, aproape tot ce contează există sub formă de date: jurnalele unui server, antetul unui e-mail, istoricul autentificărilor într-un cont cloud, un fișier executabil, o conversație dintr-o aplicație de mesagerie, metadatele unui document. Spre deosebire de un obiect fizic, aceste date pot fi modificate fără urme vizibile, pot dispărea automat după o perioadă de păstrare sau pot fi alterate involuntar chiar de cei care încearcă să le salveze.

Exemplul tipic: după un incident, administratorul de sistem deschide calculatorul afectat, navighează prin fișiere, rulează un antivirus și apoi îl reinstalează. Fiecare pas a modificat datele de acces ale fișierelor, a șters urme din memorie și, la final, a eliminat orice posibilitate de reconstituire. Intenția a fost bună, rezultatul este o probă pierdută.

Raportul anual DNSC pentru 2025 arată de ce subiectul nu mai este de nișă: ransomware-ul a crescut cu 153%, compromiterea conturilor a ajuns la 1.125 de incidente (de peste patru ori mai multe decât în 2024), iar fraudele și tentativele de fraudă la 3.937. Multe dintre aceste cazuri ajung, mai devreme sau mai târziu, în fața unui procuror.

Lanțul de custodie: întrebarea „cine a atins proba?”

Lanțul de custodie este documentația care urmărește proba de la momentul colectării până la depunerea în dosar. Pentru fiecare transfer sau operațiune se consemnează:

ce anume s-a colectat (dispozitiv, cont, fișier, export de jurnale);
de unde, când și de către cine;
cu ce instrument și prin ce metodă;
amprenta criptografică calculată la colectare;
unde a fost păstrată și cine a avut acces;
fiecare operațiune ulterioară, cu ora și persoana responsabilă.

De ce contează amprenta criptografică?

O funcție hash (de exemplu SHA-256) produce, pentru orice fișier sau imagine de disc, o valoare unică. Dacă se modifică un singur bit, valoarea se schimbă complet. Calculată la colectare și recalculată la analiză sau în instanță, amprenta arată că datele examinate sunt identice cu cele colectate. Fără ea, orice obiecție privind integritatea probei devine greu de combătut.

Ce prevede Codul de procedură penală?

Fără a intra în interpretări juridice, care aparțin avocatului și procurorului, câteva instrumente procedurale sunt esențiale pentru probele digitale:

Instrument	Articol CPP	Pe scurt
Conservarea datelor informatice	art. 154	Măsură prin care datele (inclusiv de trafic) sunt păstrate de deținător când există o suspiciune rezonabilă; poate fi prelungită de procuror o singură dată
Percheziția informatică	art. 168	Cercetarea unui sistem sau suport de stocare, efectuată de un specialist
Predarea obiectelor, înscrisurilor sau datelor informatice	art. 170	Obligarea deținătorului să predea datele cerute

Pentru victimă, concluzia practică este simplă: autoritățile pot dispune aceste măsuri, dar ele au efect doar dacă datele încă există. O firmă care a exportat la timp jurnalele, a păstrat copii integrale și a documentat incidentul îi oferă procurorului un material pe care măsurile procedurale se pot sprijini.

Unde ajunge dosarul: competența DIICOT

Legea 508/2004 stabilește, la art. 12, competența DIICOT. Două situații merită reținute:

Infracțiunile contra siguranței sistemelor și datelor informatice (art. 360-366 Cod penal: acces ilegal, interceptare ilegală, alterarea integrității datelor, perturbarea funcționării sistemelor, transfer neautorizat de date, operațiuni ilegale cu dispozitive sau programe) și falsul informatic (art. 325) sunt de competența DIICOT indiferent dacă au fost săvârșite de un grup infracțional organizat.
Frauda informatică (art. 249, 2-7 ani) și celelalte fapte de la art. 249-252 ajung la DIICOT dacă au fost săvârșite în scopul unui grup infracțional organizat. Altfel, rămân la parchetele obișnuite.

Un exemplu public: după atacul ransomware de la Apele Române din decembrie 2025, dosarul penal a fost înregistrat la DIICOT, Structura Centrală, pe 22 decembrie 2025, în urma plângerii instituției.

Pașii practici pentru o companie victimă

Opriți intervențiile neplanificate. Nimeni nu reinstalează, nu formatează și nu „curăță” sistemele afectate până la conservare.
Izolați, nu opriți. Sistemele se deconectează de la rețea, dar rămân pornite dacă e posibil.
Exportați jurnalele volatile. Serviciile cloud, firewall-ul, VPN-ul și serverele de e-mail păstrează uneori jurnale doar câteva zile.
Faceți copii integrale și calculați amprente. Imagini de disc și de memorie, nu doar copii ale câtorva fișiere.
Deschideți registrul de custodie din prima oră.
Păstrați comunicările atacatorului în format original (cu antete, nu doar capturi de ecran).
Cereți o analiză tehnică care reconstituie incidentul și separă faptele de ipoteze.
Implicați avocatul înainte de depunerea plângerii, ca să decidă ce se depune și cum.

Când dosarul devine prea mare: rolul analizei documentare

În cazurile complexe, problema nu mai este lipsa probelor, ci volumul lor. Un dosar de fraudă sau de atac informatic poate cuprinde mii de pagini, sute de e-mailuri, exporturi de conturi bancare, jurnale de sistem și înregistrări audio-video. Avocatul trebuie să găsească rapid contradicțiile, lipsurile și legăturile dintre documente.

Aici, analiza tehnică independentă are două roluri: verifică faptele tehnice (ce arată efectiv un jurnal, dacă un e-mail provine de unde pretinde, ce dovedesc metadatele) și organizează materialul într-o cronologie verificabilă, cu trimitere la sursa fiecărei afirmații. Diferența dintre o afirmație și o constatare susținută de date este, adesea, diferența dintre un argument respins și unul ascultat.

Detalii despre această etapă găsiți în articolul despre analiza unui dosar voluminos, cronologie și probe digitale.

Cum vă ajută ProDefence

Pentru companii și persoane victime ale unui incident, serviciul de investigare a infracțiunilor informatice urmează etapele preluare, conservare, analiză, documentare, remediere. Rolul nostru este tehnic: să stabilim ce s-a întâmplat și să documentăm dovada. Livrăm raport tehnic, probe documentate într-o formă utilizabilă în procedura penală, indicatori de compromitere și suport tehnic pe parcursul procedurii, la cererea clientului sau a autorităților. Decizia de a sesiza autoritățile vă aparține.

Pentru avocați, departamente juridice și echipe de conformitate, ProCIS (procis.ro) transformă dosarele voluminoase în informație verificabilă, pe trei niveluri:

Fundamentul dosarului: inventar, identificarea fiecărui document, reconciliere cu opisul, rezumat factual;
Analiză aprofundată: cronologie factuală, index de persoane și entități, legături între documente, comparare de versiuni, discrepanțe și lipsuri;
Investigație și analiză tehnică: mesaje electronice, fișiere, metadate, jurnale de sistem, inclusiv în cazuri de ransomware și alte infracțiuni informatice.

Fiecare fișier primește amprentă criptografică la primire, fiecare operațiune este jurnalizată, iar instrumentele AI lucrează doar pe material pseudonimizat, cu verificarea analistului. ProCIS nu oferă consultanță juridică și nu apreciază admisibilitatea probelor: avocatul decide ce se depune. Solicitările se trimit prin procis.ro.

Întrebări frecvente

Pot fi folosite într-un dosar penal probele colectate de firmă?

Pot fi propuse, iar valoarea lor depinde de modul în care au fost colectate și documentate. Copiile integrale, amprentele criptografice și un lanț de custodie complet permit verificarea integrității. Aprecierea finală aparține organelor de urmărire penală și instanței, iar strategia de depunere aparține avocatului.

Ce este lanțul de custodie al unei probe digitale?

Este documentația care arată, pentru fiecare probă, ce s-a colectat, de unde, când, de către cine, cu ce instrument și cu ce amprentă criptografică, plus fiecare operațiune ulterioară. Lanțul de custodie răspunde la întrebarea esențială: a putut cineva modifica proba între colectare și instanță?

Sunt suficiente capturile de ecran?

Rareori. O captură de ecran arată ce se vedea, dar nu conține antetele unui e-mail, metadatele unui fișier sau jurnalele de autentificare. Capturile sunt utile ca element complementar, alături de exporturile în format original și de amprentele criptografice ale acestora.

Cine este competent să cerceteze un atac informatic?

Potrivit Legii 508/2004, infracțiunile de la art. 360-366 și art. 325 Cod penal sunt de competența DIICOT indiferent dacă există un grup organizat. Frauda informatică (art. 249) ajunge la DIICOT doar dacă a fost comisă în scopul unui grup infracțional organizat; altfel, la parchetul competent.

Ce face ProCIS diferit de un avocat?

ProCIS face analiză documentară și tehnică: organizează dosarul, construiește cronologia, identifică discrepanțe și analizează datele electronice. Nu oferă consultanță juridică, nu califică juridic faptele și nu stabilește strategia. Avocatul folosește rezultatele și decide ce se depune și cum.

Cât de repede trebuie să acționez după un incident?

Cât mai repede. Multe servicii păstrează jurnalele doar câteva zile, iar orice intervenție neplanificată pe sistemele afectate poate șterge urme. Conservarea datelor în primele ore are, de regulă, mai multă valoare decât orice analiză făcută luni mai târziu.

Surse

Legea nr. 508/2004 privind DIICOT, art. 12, legislatie.just.ro
Codul penal, art. 249, 325, 360-366
Codul de procedură penală, art. 154, 168, 170
DNSC, Raportul anual de activitate 2025 (august 2026)
Comunicate publice privind atacul asupra Administrației Naționale „Apele Române” (decembrie 2025)

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, coordonează investigațiile tehnice ale incidentelor informatice și analiza documentară prin ProCIS.