Două vulnerabilități ale limbajului de programare PHP, evaluate la 9,2 din 10 pe scala de severitate, au permis atacatorilor să preia de la distanță controlul unor servere, fără cont și fără parolă.
Breșele au fost folosite în atacuri reale la doar câteva zile după ce au fost semnalate, iar cazul readuce în atenție riscurile la care sunt expuse instituțiile și companiile care folosesc infrastructuri digitale complexe.
Pornind de la acest incident, Corina Vasile, director executiv al Asociației Patronale a Industriei de Software și Servicii (ANIS), cere măsuri pentru consolidarea securității cibernetice în România și vine cu o listă de propuneri.
Propunerile ANIS
Printre propuneri se numără introducerea unei liste standardizate a componentelor software pentru programele cumpărate de instituțiile publice, crearea unei platforme unice pentru raportarea incidentelor și dezvoltarea capacității naționale de testare și certificare a produselor digitale.
Potrivit datelor invocate de reprezentanta ANIS, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) a identificat peste 48.000 de vulnerabilități software în 2025, cu 22% mai multe decât în anul precedent.
În cazurile în care a putut fi identificată calea de acces a atacatorilor, peste 60% dintre incidente au implicat exploatarea unei vulnerabilități.
Aproape trei sferturi dintre organizațiile atacate furnizau servicii esențiale sau importante, iar instituțiile publice au reprezentat aproape o treime dintre cazuri.
Efectele se răsfrâng asupra oamenilor
România a resimțit efectele unor astfel de atacuri.
În februarie 2024, un atac ransomware asupra sistemului informatic Hipocrate, folosit de zeci de spitale, le-a afectat activitatea.
În iulie 2026, un atac asupra Agenției Naționale de Cadastru și Publicitate Imobiliară a blocat platforma e-Terra și a perturbat tranzacțiile imobiliare timp de aproape o lună, arată Corina Vasile.
ANIS propune inventarierea componentelor software
Una dintre soluțiile susținute de ANIS este introducerea obligatorie a unei liste a componentelor software, cunoscută sub numele de SBOM (Software Bill of Materials), pentru programele achiziționate de instituțiile publice.
Documentul ar permite identificarea rapidă a componentelor vulnerabile și a sistemelor care au nevoie de actualizări.
Corina Vasile compară această listă cu eticheta unui produs alimentar: organizațiile ar putea afla mai ușor ce conține software-ul pe care îl folosesc și ce măsuri trebuie să ia atunci când apare o vulnerabilitate.
Asociația susține și utilizarea standardelor deschise, astfel încât instituțiile publice să poată schimba un furnizor sau o componentă fără să blocheze întregul sistem.
În opinia Corinei Vasile, evitarea dependenței de un singur furnizor ar putea crește atât siguranța serviciilor publice, cât și concurența în achizițiile de tehnologie.
O singură raportare pentru fiecare incident
O altă problemă semnalată de ANIS ține de obligațiile de raportare introduse prin reglementările europene, precum NIS2, DORA și Cyber Resilience Act.
În timpul unui atac, companiile pot fi nevoite să transmită aceleași informații către mai multe instituții, între care Directoratul Național de Securitate Cibernetică, ASF, BNR și ENISA.
„Timpul petrecut cu formularele este timp pierdut pentru oprirea atacului”, afirmă Corina Vasile. ANIS propune, în consecință, o platformă națională unică, interconectată cu sistemul european, prin care un incident să fie raportat o singură dată, iar informațiile să ajungă automat la toate autoritățile competente.
Comisia Europeană a propus un astfel de punct unic de raportare și estimează că acesta ar putea reduce la jumătate costurile administrative.
ANIS cere ca România să pregătească din timp un sistem compatibil, prin contribuția sa la Strategia Națională de Securitate Cibernetică 2027–2032.
Asociația atrage atenția și asupra lipsei unor organisme de evaluare și testare a produselor digitale în România. În absența acestora, companiile locale ar putea fi nevoite să apeleze la servicii din alte state europene, cu costuri și întârzieri suplimentare.
ANIS susține un model în care statul asigură supravegherea, iar firmele private acreditate realizează evaluările și testele.
AI și calculatoarele cuantice aduc riscuri noi
Corina Vasile avertizează că inteligența artificială accelerează atât detectarea atacurilor, cât și activitatea infractorilor cibernetici, care pot crea mesaje înșelătoare mai convingătoare și pot automatiza operațiuni.
În paralel, calculatoarele cuantice ar putea pune în pericol, în viitor, metodele de criptare folosite pentru protejarea datelor bancare, medicale și ale instituțiilor statului.
ANIS propune ca organizațiile din sectoare esențiale, precum finanțele, telecomunicațiile, energia și sănătatea, să inventarieze până în 2028 sistemele de criptare pe care le folosesc, în perspectiva trecerii la standarde rezistente la amenințările cuantice.
Asociația cere ca viitoarea Strategie Națională de Securitate Cibernetică 2027 – 2032 să includă finanțare multianuală, obiective măsurabile și publice și o colaborare constantă între stat și industria IT.
„Nu putem ști când va apărea următoarea vulnerabilitate. Putem însă decide cât de pregătiți suntem”, spune Corina Vasile.