Raportul de activitate al DNSC pentru 2025, publicat în august 2026, are o cifră care ar trebui să ajungă pe masa oricărui administrator de firmă: numărul atacurilor ransomware din România a crescut cu peste 153% față de anul anterior. DNSC a gestionat 256 de incidente majore de acest tip și a acordat sprijin pentru 119 firme, 22 de instituții publice și 115 persoane fizice. Printre cazurile publice: un atac care a perturbat activitatea Administrației Naționale Apele Române și a structurilor sale teritoriale aproximativ o săptămână.
Și acestea sunt doar cazurile în care a intervenit DNSC. Firmele care au plătit sau au refăcut totul în tăcere nu apar în statistică.
Nu scriem articolul ăsta ca să sperie. Îl scriem pentru că protecția împotriva ransomware nu este o tehnologie pe care o cumperi, ci un set de decizii pe care le iei înainte. Aproape toate sunt ieftine. Toate sunt plictisitoare. Și fiecare din ele decide dacă, în ziua în care se întâmplă, firma își revine în două zile sau își pierde datele.
Cum începe, de fapt, un atac
Imaginea din filme, cu hackerul care sparge un firewall, este cea mai puțin frecventă. Raportul DNSC arată foarte concret cât de simplu poate începe un atac: un email aparent obișnuit, o parolă refolosită, un cont de email preluat sau un program neactualizat. Conturile compromise au crescut de peste patru ori în 2025 față de anul anterior, iar atacurile de phishing cu peste 70%.
Tendința e confirmată și la nivel global: furtul de conturi și credențiale a depășit exploatarea vulnerabilităților ca principală metodă de lansare a atacurilor ransomware. Atacatorul nu mai sparge ușa. Intră cu cheia.
Modelul de business din spate e industrializat: grupări specializate pun instrumentele de atac la dispoziția altora, contra cost, așa-numitul „ransomware-as-a-service”. Asta înseamnă că nu trebuie să fii o țintă interesantă ca să fii lovit. E suficient să fii o țintă ușoară. Iar DNSC semnalează inclusiv o grupare de origine română, activă mai ales în zona financiar-contabilă.
Un detaliu care schimbă calculul: atacurile actuale nu doar criptează. Înainte de criptare, datele sunt copiate. Chiar dacă ai backup și refuzi să plătești, atacatorul amenință cu publicarea contractelor, a datelor angajaților, a datelor clienților. Backup-ul te salvează operațional. Nu te salvează de discuția cu clienții și cu autoritatea de protecția datelor.
Cinci decizii care fac diferența
1. Identități administrate central, cu autentificare multifactor peste tot
Dacă atacul începe cu o parolă, prima linie de apărare este să nu fie suficientă o parolă. DNSC indică explicit reutilizarea parolelor și lipsa autentificării multifactor printre factorii care favorizează atacurile. Asta înseamnă: MFA activat obligatoriu pe email, pe sistemele de gestiune, pe acces la distanță, pe conturile de administrator. Nu „recomandat”, nu „pentru cine vrea”. Impus din consolă, cu excepții zero.
Un pas mai departe, pentru conturile care contează: autentificare rezistentă la phishing (chei hardware sau passkeys), pentru că MFA-ul clasic prin cod SMS poate fi păcălit de o pagină de login falsă.
Și conturile de administrator sunt separate de conturile de zi cu zi. Omul care citește email cu drepturi de administrator pe tot domeniul este cel mai scurt drum de la un click greșit la o firmă blocată.
2. Backup izolat, cu versiuni, și testat prin restaurare
Ransomware-ul modern caută backup-urile înainte de a cripta. Un backup pe un disc conectat permanent, pe un share de rețea accesibil cu aceleași credențiale sau în același tenant cloud fără protecție separată este criptat odată cu restul.
Ce funcționează: cel puțin o copie izolată de rețeaua de producție, cu versiuni păstrate în timp și imposibil de șters pentru o perioadă definită (imutabilitate), cu credențiale diferite de cele din producție. Și, esențial, cu o restaurare făcută efectiv, periodic, cronometrată. Un backup pe care nu l-ai restaurat niciodată este o ipoteză. Vom reveni pe subiectul ăsta într-un articol separat, pentru că merită.
3. Actualizări la timp, pe tot ce e expus
„Program neactualizat” e în lista DNSC de cauze. Fiecare sistem accesibil din internet (VPN, acces la distanță, server de email, aplicații web) trebuie actualizat în zile, nu în luni, când apare o vulnerabilitate. La fel stațiile de lucru. Asta se face administrat, din consolă, cu raport de conformitate, nu prin „rugăm colegii să dea restart”.
4. Protecție pe stații și pe servere care detectează comportament, nu doar semnături
Antivirusul clasic recunoaște fișiere cunoscute. Ransomware-ul de azi e generat în variante noi pentru fiecare campanie. Ce contează este o soluție care vede comportamentul (criptare masivă, ștergere de backup-uri, escaladare de drepturi) și izolează stația automat, în secunde, fără să aștepte ca cineva să citească o alertă a doua zi dimineață.
La asta se adaugă principiul drepturilor minime: utilizatorii nu sunt administratori locali, accesul la fișiere este pe roluri, iar un cont compromis din vânzări nu poate ajunge la contabilitate.
5. Un plan pe care cineva l-a citit
Ce faci în prima oră? Cine deconectează ce? Cine sună la furnizorul de IT, cine anunță conducerea, cine notifică DNSC și, dacă sunt date personale, autoritatea de protecția datelor? Ce clienți trebuie anunțați și de cine? Din ce backup refaci și cât durează?
Dacă răspunsurile la întrebările astea se dau pentru prima dată în ziua atacului, se dau prost. Planul nu trebuie să aibă 40 de pagini. Trebuie să aibă o pagină, nume de oameni, numere de telefon și să fi fost exersat o dată, măcar pe hârtie.
Restul, care contează la fel de mult
Instruirea oamenilor, dar concretă: nu un curs anual despre „siguranța pe internet”, ci exemple reale de email-uri și mesaje pe care le primesc colegii voștri, inclusiv pe WhatsApp, pe care DNSC îl menționează ca vector de campanii. Un canal simplu prin care oricine poate semnala „am dat click pe ceva ciudat” fără să fie certat; primele minute contează mai mult decât vinovăția.
Inventarul: nu poți proteja ce nu știi că ai. Ce servere, ce aplicații, ce conturi de administrator, ce furnizori au acces în sistemele tale.
Furnizorii: firma de contabilitate, firma de IT, furnizorul de software cu acces la distanță. Fiecare dintre ei este o ușă în firma ta. Întreabă-i ce fac ei pentru punctele 1–5.
Dacă se întâmplă totuși
Deconectezi sistemele afectate de la rețea, dar nu le închizi și nu le ștergi; conțin probele. Nu plătești din reflex; plata nu garantează recuperarea și te marchează ca țintă care plătește. Notifici DNSC, care are experiență cu grupările active în România și poate avea chei de decriptare pentru anumite familii. Dacă sunt afectate date personale, ai 72 de ore pentru notificarea autorității de protecția datelor. Și restaurezi din backup-ul pe care l-ai testat.
Ce facem noi
Cele cinci decizii de mai sus sunt exact lista de măsuri pe care o cere și NIS2, și exact ce înseamnă un setup IT făcut corect, subiect pe care îl tratăm în articolele următoare. Nu e o coincidență. Protecția împotriva ransomware nu e un produs separat de restul IT-ului. E IT-ul făcut ca lumea.
Pentru clienții noștri, asta înseamnă: identități administrate central cu MFA impus, stații și servere gestionate din consolă, cu actualizări și protecție comportamentală, backup izolat cu restaurare testată periodic, drepturi de acces pe roluri și un plan de răspuns scris pe o pagină, cu oamenii voștri în el.
Dacă nu ești sigur unde stă firma ta la cele cinci puncte, o verificare durează câteva ore și răspunsul e, de obicei, foarte clar.
Surse: Raportul de activitate DNSC 2025 (versiunea publică, aprobată prin Hotărârea CSAT nr. 117/2026), Buletinul trimestrial statistic DNSC 2026, comunicările DNSC (dnsc.ro).
