Studiu de politici publice · noiembrie 2026 · autor: Denis Sava, IGPA
Studiu de caz: incidentul de la Agenția de Guvernare Electronică din octombrie 2026. Date actualizate la 3 noiembrie 2026.
Între 19 și 23 octombrie 2026, atacatorii au extras automat din serviciile publice digitale ale Republicii Moldova date personale asociate cu circa 750.000 de IDNP, după ce au interogat sistemele folosind aproximativ un milion de identificatori. Datele includ identitatea, fotografia, familia, informații despre asigurarea medicală, pensii, prestații și dizabilitate, bunuri, companii și unele date financiare. Potrivit autorităților, registrele de stat nu au fost modificate, iar datele cardurilor bancare nu au fost afectate.
Studiul IGPA evaluează, pe baza surselor publice, capacitatea statului de a asigura securitatea cibernetică și protecția datelor personale: ce a cedat, cine răspunde, ce riscuri rămân pentru cetățeni și pentru stat, ce au făcut alte țări în situații similare și ce trebuie făcut acum.
Constatări-cheie
- Incidentul a exploatat deficiențe de bază, nu o vulnerabilitate sofisticată. Potrivit AGE, unele servicii erau accesibile fără autentificare, iar datele obținute au fost folosite pentru extrageri ulterioare. Volumul de circa 11 milioane de cereri nu a fost oprit de mecanisme de limitare și nu a fost semnalat de monitorizare.
- Detectarea a venit de la cetățeni. Alarma a fost dată de persoanele care au observat în aplicația EVO accesări suspecte ale datelor lor. Activitatea atacatorilor a durat circa patru zile. Odată detectat, incidentul a fost izolat rapid și cuprinzător.
- Cadrul legal este avansat, aplicarea abia începe. Legea nr. 195/2024 privind protecția datelor (în vigoare din august 2026) și Legea nr. 48/2023 privind securitatea cibernetică oferă instrumentele necesare, inclusiv sancțiuni pentru autoritățile publice, dar mecanismele de verificare a conformității nu fuseseră încă testate.
- Responsabilitățile sunt neclare și concentrate. Administratorul serviciilor, operatorul tehnic și deținătorul registrului populației au același fondator, Cancelaria de Stat. Rolurile juridice pentru fiecare serviciu nu sunt delimitate public.
- Persoanele afectate nu au fost încă notificate individual. La 3 noiembrie, notificarea individuală era în pregătire, fără termen anunțat.
- Riscurile cele mai grave sunt fraudele personalizate și profilarea prin agregare. Datele permit fraude credibile, în special împotriva persoanelor vulnerabile, și, combinate cu alte seturi, profilarea unei mari părți a populației. Atribuirea atacului unui actor statal a fost afirmată politic, dar nu este susținută public de probe tehnice.
- Clasamentele internaționale măsoară pregătirea formală. Locul 6 în National Cyber Security Index reflectă un efort normativ și instituțional real; incidentul arată decalajul față de eficacitatea operațională.
Recomandări prioritare
- Notificarea individuală și sprijinul victimelor (0–30 de zile): notificarea fiecărei persoane afectate, un instrument online de verificare, o linie gratuită de asistență și o campanie anti-fraudă pentru vârstnici.
- Poarta de securitate pentru repunerea serviciilor (imediat): niciun serviciu care atinge date personale nu revine online fără autentificare, autorizare la nivel de obiect, minimizarea datelor, limitarea ratei de cereri și un test de securitate independent.
- Monitorizare comportamentală și centru de operațiuni de securitate 24/7: reguli care detectează interogarea unui număr anormal de persoane distincte, integrate într-un centru guvernamental de monitorizare permanentă.
- Anchetă independentă cu raport public (90 de zile): o comisie de experți naționali și internaționali, după modelul Singapore, în paralel cu finalizarea investigației CNPDCP în cel mult șase luni.
- Coaliția anti-fraudă și blocarea creditării pe IDNP (30–90 de zile): măsuri comune ale BNM, CNPF, băncilor, creditorilor nebancari, operatorilor de telefonie și Poliției, plus dreptul cetățenilor de a bloca gratuit contractarea de credite pe numele lor.
Ce cuprinde studiul
- reconstituirea incidentului, cu cronologie detaliată și evaluarea detectării, a răspunsului, a comunicării și a notificării persoanelor afectate;
- analiza cadrului legal național (Legea nr. 195/2024, Legea nr. 48/2023, Legea nr. 142/2018, Legea nr. 124/2022, Codul penal) și comparația cu GDPR, NIS2, eIDAS 2, Convenția 108+ și Convenția de la Budapesta;
- harta responsabilităților dintre AGE, STISC, ASC, CNPDCP, Cancelaria de Stat și deținătorii registrelor;
- analiza a 19 riscuri pentru persoane, pentru stat și sistemice, cu matrice probabilitate × impact (metodologia NIST SP 800-30);
- șapte cazuri internaționale comparate: Estonia (2021), Optus – Australia (2022), Bulgaria (2019), SingHealth – Singapore (2018), Albania (2022), France Travail (2024) și OPM – SUA (2015);
- poziționarea în clasamentele internaționale (ITU, NCSI) și maturitatea față de NIS2;
- 32 de recomandări pe trei orizonturi de timp, cu responsabil, termen, cost estimat, indicator și prioritate.
Notă metodologică
Studiul se bazează exclusiv pe surse publice consultate până la 3 noiembrie 2026. Faptele sunt prezentate distingând între informațiile confirmate oficial, cele relatate de presă și afirmațiile neconfirmate. Studiul nu descrie detalii tehnice care ar permite repetarea atacului și nu atribuie atacul unui actor anume dincolo de declarațiile oficiale ale autorităților.