De o săptămână, Republica Moldova pune o întrebare greșită. „Ne golesc conturile?” a fost prima reacție la vestea că date asociate cu circa 750.000 de numere de identificare de stat ale persoanelor fizice (IDNP) au fost extrase din serviciile publice digitale. Tot la această întrebare s-au grăbit autoritățile să răspundă: nu, datele cardurilor nu au fost compromise, iar un număr internațional de cont bancar (IBAN) nu permite accesul la un cont. Răspunsul este corect. Întrebarea este însă cea care ne face vulnerabili, pentru că ne îndreaptă privirea spre bancă, în timp ce pericolul vine prin telefon.
Întrebarea corectă sună altfel: cine mai poate dovedi, de acum înainte, că este cine spune că este? Timp de ani de zile, în Republica Moldova, numele, codul personal și data nașterii au fost acceptate ca dovadă de identitate: în discuțiile telefonice cu banca, la companiile de microcreditare, la operatorul de telefonie sau la ghișee. Din 23 octombrie, aceste trei date, împreună cu numele copiilor, pensia, mașina, firma, datoria la Serviciul Fiscal de Stat și fotografia, sunt în mâinile cuiva care nu are nicio obligație față de noi. Nu ni s-au luat banii. Ni s-a luat certitudinea că vocea care ne sună și ne știe copilul pe nume vorbește din partea cuiva.
CE S-A ÎNTÂMPLAT, DE FAPT?
Nimeni nu a spart un seif. Între 19 și 23 octombrie, atacatorii au stat în fața unor ghișee electronice ale statului și au adresat automat întrebări, una după alta, folosind de fiecare dată un cod personal. Ghișeele au răspuns, pentru că fuseseră construite să răspundă fără autentificare. Cu informațiile obținute de la un ghișeu, atacatorii treceau la următorul. Aceasta este explicația tehnică din comunicatul publicat de Agenția de Guvernare Electronică (AGE) la 27 octombrie. Este important să o prezentăm exact, pentru că fiecare metaforă greșită produce o teamă greșită.
Cifrele, toate prezentate drept preliminare, sunt următoarele: aproximativ 11 milioane de solicitări, circa un milion de IDNP-uri interogate și seturi de date extrase pentru circa 750.000 dintre ele. Pe 23 octombrie, la ora 11:30, extragerea a fost oprită. Ulterior, 82 de servicii publice și peste 30 de sisteme au fost deconectate preventiv. Au urmat noi tentative, pe 25 și 27 octombrie, care au fost blocate. Pe 28 octombrie, AGE a dezactivat temporar aplicația EVOSign și autentificarea în doi pași din MPass, iar directoarea agenției s-a retras din funcție.
Potrivit clasificării Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au fost extrase următoarele categorii de informații: date de identificare (nume, IDNP, data și locul nașterii, fotografia); date despre familie (părinți și copii); date de sănătate și protecție socială (statutul de asigurat, medicul de familie, prestațiile, pensiile, dizabilitatea); date despre bunuri și activități economice (permisul, vehiculele, companiile deținute sau administrate); date financiare și fiscale (IBAN, datorii fiscale, istoricul plăților prin MPay). Ambele instituții au precizat însă că nu toate persoanele au avut expuse toate categoriile de date.
Potrivit informațiilor oficiale, nu au fost extrase datele cardurilor, pe care platformele guvernamentale nu le stochează; parolele și conturile MPass sau EVO, care nu figurează pe listă; copiile actelor; numerele de telefon și adresele. Autoritățile susțin că nici registrele nu au fost modificate: nimeni nu s-a trezit cu casa pe alt nume. Termenul exact pentru ceea ce s-a întâmplat este „extrase”, nu „furate și publicate”. La 29 octombrie, nu exista nicio confirmare publică privind circulația acestor date.
Un detaliu care a produs confuzie merită lămurit. Mulți cetățeni au observat în aplicația EVO, pentru perioada 19–23 octombrie, accesări la ore precum 23:04 sau 3:36 dimineața, cu mențiunea „Solicitare documente de stare civilă”. În realitate, nu a fost solicitat niciun document. Serviciul exploatat înregistra greșit temeiul prelucrării, astfel încât fiecare interogare a atacatorului apărea în istoricul persoanei afectate ca o solicitare făcută de aceasta. Este urma atacului, vizibilă din întâmplare, și singura dovadă individuală pe care o au, deocamdată, cei afectați.
PORTRETUL – IDENTITATEA DIGITALĂ
Luată separat, aproape fiecare informație din set era deja cunoscută de cineva. Banca știa IBAN-ul, școala știa copiii, Fiscul știa datoria, medicul știa că suntem pe lista lui. Niciuna dintre aceste informații, luată separat, nu este un secret de stat. Pericolul este portretul. Toate aceste informații despre aceeași persoană pot ajunge împreună la cineva care nu are nicio obligație față de ea.
Iar portretul se citește ușor. Din data nașterii poate fi aflată vârsta ta și a părinților: o mamă de 78 de ani înseamnă scenariul „nepotul în necaz” gata scris. Din medicul de familie, arondat teritorial, poate fi dedusă zona în care locuiești. Din pensie, prestații și dizabilitate, cât depinzi de stat și cât de greu îți este să spui „nu” cuiva care „sună de la Casa Națională de Asigurări Sociale”. Din mașină, nivelul de trai și un pretext la îndemână. Din firmă, faptul că ești antreprenor, deci o țintă perfectă pentru o factură cu IBAN schimbat. Din datoria fiscală, o urgență credibilă. Din istoricul plăților, ce ai plătit statului și când. Fotografia spune cum arăți.
Orice manipulare reușită are patru ingrediente: încredere, urgență, frică și autoritate. Datele le furnizează pe toate. Încrederea vine din detalii adevărate, iar urgența și frica, din ceea ce contează pentru victimă. Autoritatea vine din faptul că apelantul „știe” lucruri pe care doar o instituție le-ar ști. Până acum, escrocii ghiceau. Acum pot alege pe cine sună, cu ce poveste și în ce ordine, iar cu instrumente de automatizare pot personaliza mii de mesaje pe zi.
Un caz de fraudă a fost deja raportat. Pe 28 octombrie, un bărbat din Chișinău a rămas fără 15.000 de euro după ce „operatorii” i-au spus că datele sale au fost compromise și că s-ar putea trezi cu credite pe numele lui. Știrea despre atac a devenit o armă.
Dar frauda este doar partea vizibilă. Dacă în spatele atacului se află, așa cum sugerează Guvernul, un actor statal, miza nu este portofelul, ci comportamentul nostru. Profilurile de acest fel permit mesaje politice croite pe grupuri vulnerabile, presiune asupra celor cu datorii, intimidarea unui funcționar sau a unei jurnaliste prin copiii ei, recrutare și, în varianta cea mai ieftină, publicarea „întâmplătoare” a unor date jenante înaintea unui vot.
Serviciul de Informații și Securitate (SIS) avertiza încă din iunie că serviciile speciale ruse încearcă să obțină baze de date despre cetățenii Republicii Moldova. Manipularea de acest fel nu sună la 19:40. Vine pe îndelete, în luni, și arată ca o părere la care ai ajuns singur. De aceea, trebuie numită acum, cât atenția publică este trează, și nu peste un an, când va fi devenit peisaj.
CE NU ȘTIM ȘI CE MERITĂ VERIFICAT
Lista oficială arată ce categorii de date au fost extrase. Nu spune cine este afectat, în ce măsură și de către cine, iar fiecare dintre aceste goluri este o întrebare cu adresă.
Cea mai apăsătoare este cea privind notificarea. Legea nr. 195/2024 cere ca, atunci când o încălcare prezintă un risc ridicat, persoanele afectate să fie informate individual, fără întârzieri nejustificate. Informarea publică este admisă doar când cea individuală presupune un efort disproporționat. La o săptămână de la atac, nicio persoană nu a primit un mesaj care să spună: „Datele tale au fost expuse, iată ce categorii”. Statul are canalele necesare: EVO, SMS, poșta. Fără notificare, fiecare dintre noi trebuie să presupună că are expuse și datele despre familie, și cele despre pensie sau firmă. Întrebarea este pentru AGE, iar răspunsul la întrebarea „ce consideră suficient” este pentru CNPDCP.
A doua întrebare privește atribuirea atacului. Premierul a vorbit despre indicii privind o campanie mai largă, cu implicarea unor actori statali străini. Este o ipoteză de lucru, nu o concluzie confirmată. Atribuirea unui atac cibernetic poate dura luni, se bazează pe dovezi tehnice, iar concluziile se pot schimba. „Indicii” nu înseamnă „dovezi”, iar „actori statali” nu înseamnă încă un nume de țară. Acest lucru contează pentru public, nu doar pentru diplomație: un grup criminal monetizează repede și previzibil, în timp ce un serviciu străin folosește datele lent și invizibil.
A treia întrebare privește soarta datelor. Nicio autoritate nu a confirmat publicarea sau vânzarea setului, iar capturile de ecran „de pe dark web” care circulă nu au sursă verificabilă. Cetățenii nu au cum să verifice singuri. Monitorizarea piețelor ilegale este sarcina Agenției pentru Securitate Cibernetică (ASC), SIS și a Poliției, iar angajamentul de a anunța public dacă datele apar ar trebui cerut explicit.
Rămân și întrebările tehnice, ale căror răspunsuri vor arăta dacă incidentul se poate repeta. Cât de detaliat este „istoricul plăților MPay” și dacă datele despre copii includ IDNP-ul lor? De ce au fost dezactivate EVOSign și autentificarea în doi pași, dincolo de explicația privind „verificările suplimentare”? O ipoteză plauzibilă, care trebuie confirmată, este că datele, împreună cu fotografia, ar putea ajuta la trecerea unor verificări de identitate la distanță. Au fost datele doar citite sau și alterate, în condițiile în care auditul este încă în curs? Și cum au trecut neobservate 11 milioane de solicitări timp de patru zile?
Chiar și cifra de 750.000 este preliminară și poate conține suprapuneri. Pentru public, diferența poate părea nesemnificativă. Pentru stabilirea responsabilității, contează.
RISCURILE EXAGERATE ȘI CELE SUBESTIMATE
Discursul public a exagerat unele riscuri și le-a trecut cu vederea pe altele, mai puțin vizibile. Nu, un IBAN nu este suficient pentru a ne goli contul: este o adresă la care se trimit bani, nu o cheie cu care se iau. O debitare cere card, PIN, cod de confirmare sau semnătură, iar niciuna dintre aceste informații nu se află în setul extras.
Nu, simpla cunoaștere a datelor nu permite transferul casei, al mașinii sau al firmei: registrele nu au fost modificate, iar a ști că deții ceva nu înseamnă a avea un drept asupra acelui bun. Nu, expunerea acestor date nu echivalează automat cu un „furt de identitate”: pentru asta ar mai fi nevoie de copia actului, de telefonul nostru sau de parole. Și nu există, pe baza informațiilor prezentate, un motiv general pentru schimbarea buletinelor.
IDNP-ul nu a fost niciodată secret. Este pe contracte, pe facturi, pe lista de la grădiniță. Problema nu este că îl știe cineva, ci că unele companii încă îl tratează ca pe o dovadă că suntem noi.
La fel de înșelătoare pot fi și mesajele liniștitoare. „Nu am cont EVO, deci nu mă privește”: datele sunt în registrele statului, indiferent de aplicație, iar contul permite doar să vezi cine le-a accesat. „Nu am bani, deci nu mă caută nimeni”: pentru un escroc, pensionarul cu 3.000 de lei și fără obiceiul de a pune întrebări este o țintă mai bună decât antreprenorul precaut.
Trei riscuri sunt însă subestimate.
Primul este timpul: datele nu expiră. Data nașterii, numele copiilor și IBAN-ul rămân valabile ani de zile, iar fraudele construite pe ele pot apărea și peste doi ani, când subiectul va fi dispărut din presă.
Al doilea este combinarea datelor. Piesele care lipsesc din setul AGE – telefonul și adresa – există în scurgeri mai vechi. Republica Moldova a trecut prin 16 incidente cu expunere de date personale înainte de acesta: datele a 139.400 de clienți StarNet în 2015, registrul cadastral interogat în 2022 printr-un singur cont, de 680.263 de ori, pentru 362.533 de persoane, și baza de date a grupului Șor, cu 145.000 de oameni, în acest an. Nimeni nu pornește de la zero. Octombrie a adus liantul dintre identitate, familie și bani.
Al treilea risc este manipularea fără bani, cea descrisă mai sus, care nu produce victime care să se plângă la Poliție și, de aceea, nu produce nici știri.
PRESA, ÎN SĂPTĂMÂNA DE DUPĂ
Într-un incident de acest tip, presa nu doar relatează despre sistemul de apărare, ci face parte din el. Ce ajunge la public înaintea escrocului contează mai mult decât orice patch instalat pe serverele AGE. Tocmai de aceea, felul în care s-a scris în această săptămână merită privit critic.
Au predominat titlurile care foloseau termenul „furate”. Cuvântul nu este fals, dar este imprecis într-un fel care costă. Formularea „datele a 750.000 de moldoveni, furate” sugerează că un set de date circulă deja, numără persoane acolo unde comunicatul numără IDNP-uri și omite cuvântul „preliminar”. Escrocii citează aceste titluri. Ele devin prima propoziție a apelului de la 19:40.
Au circulat și capturi de ecran „de pe dark web”, fără sursă, ca și cum o imagine ar fi o dovadă. Republicarea unor IDNP-uri sau nume dintr-o presupusă scurgere poate constitui, la rândul ei, o prelucrare ilegală și validează datele pentru cine le vinde. A apărut, ici și colo, și reflexul de a transforma „indicii privind actori statali” în „Rusia a atacat”, cu nuanțele și rezervele pierdute pe drum.
Trei lucruri ar putea îmbunătăți considerabil calitatea reflectării mediatice. Primul: descrierea tiparelor de fraudă, nu a rețetelor. Publicul trebuie să știe cum arată „contul sigur”, „curierul” și „nepotul în necaz”. Nu are nevoie de numerele de telefon „ale escrocilor”, de linkuri sau de pagini false reproduse funcțional.
Al doilea: victimele nu sunt naive. Cineva „a fost ținta unei fraude pregătite cu date reale”, nu „s-a lăsat păcălit”. Rușinea este o armă a escrocului: descurajează raportarea și repetarea avertismentului în familie.
Al treilea: un paragraf de acțiune în fiecare material, oricât de analitic ar fi acesta. Cititorul trebuie să plece cu o singură propoziție: nimeni nu îți cere coduri la telefon; atacatorul are nevoie de tine. Repetată de cincizeci de redacții, propoziția aceasta valorează mai mult decât orice infografic.
Mai sunt două lucruri importante pe termen lung. Întrebările deschise – notificarea individuală, auditul, statistica tentativelor de fraudă – sunt subiecte care trebuie urmărite luni la rând, exact în perioada în care presa, de obicei, nu mai este prezentă. „Coada lungă” a incidentului este și locul unde instituțiile se relaxează primele.
În același timp, presa poate deveni ea însăși un pretext. Dacă știrea despre atac a fost folosită într-o escrocherie, siglele redacțiilor, paginile clonate și „sondajele” care cer date ar putea urma. Redacțiile ar trebui să spună explicit că nu solicită niciodată date personale și să verifice periodic dacă circulă pagini care le clonează identitatea.
CE NI SE DATOREAZĂ
Vigilența cetățenilor este necesară. Nu este însă o scuză pentru nimeni altcineva, iar demisia unei directoare nu încheie discuția despre responsabilitate. Legea există. Problema este aplicarea ei.
O analiză recentă a 64 de incidente cibernetice documentate în Republica Moldova între 2009 și 2026 (seria „Cybersecurity and Personal Data Protection Vulnerabilities, and Compliance with the Requirements of Chapters 23 and 10 in the EU–Republic of Moldova Accession Negotiations”) estimează alinierea legislativă a protecției datelor la 71%, iar implementarea la 34%. Cele mai slabe zone sunt exact cele în care au apărut acum vulnerabilitățile: securitatea prelucrării, capacitatea CNPDCP și registrele sectoriale.
Din cele 64 de incidente, 17 au expus date personale, 19 au o anchetă documentată public și doar două s-au încheiat cu o sancțiune. Niciunul dintre cele șapte contracte legate de serviciile afectate nu are cerințe de securitate publicate, iar platformele atacate au beneficiat de împrumuturi de 91,5 milioane de dolari de la Banca Mondială, față de circa un milion de euro dedicat protecției datelor.
Sunt estimări ale autorului analizei citate, nu măsurători oficiale, dar spun un lucru pe care îl vedem acum cu ochiul liber: am construit ghișee digitale fără să cumpărăm și uși.
De la AGE și Guvern ni se datorează notificarea individuală, cu indicarea categoriilor de date expuse pentru fiecare persoană, și un audit public, cu un termen clar, care să răspundă la trei întrebări simple: de ce serviciile statului răspundeau oricui, cum au trecut neobservate 11 milioane de solicitări timp de patru zile și ce cerințe de securitate aveau contractele.
De la bănci, companiile de microcreditare și operatorii de telefonie, prin Banca Națională a Moldovei, Comisia Națională a Pieței Financiare și Agenția Națională pentru Reglementare în Comunicații Electronice și Tehnologia Informației, ni se datorează sfârșitul unei convenții: numele, IDNP-ul și data nașterii nu mai pot fi dovadă de identitate pentru nimeni din Republica Moldova.
Verificarea suplimentară la telefon, protecția la schimbarea cartelei SIM și un mesaj către toți clienții, cu o singură regulă, nu costă mult. Costă mai puțin decât 15.000 de euro. Iar de la CNPDCP ni se datorează o investigație proprie, cu concluzii publice, nu doar înregistrarea unei notificări.
Mai este un loc unde această breșă trebuie să ajungă: negocierile de aderare. În evaluarea capitolelor 23 și 10, privind drepturile fundamentale și transformarea digitală, nu ar trebui să conteze doar legile adoptate, ci și aplicarea lor. Incidentul din octombrie 2026 arată de ce practica ar trebui evaluată explicit în cadrul ambelor capitole. Dacă din acest atac rămâne o singură schimbare instituțională, aceasta ar fi cea mai folositoare.
CE RĂMÂNE DE FĂCUT, ÎN SEARA ASTA
Până când instituțiile își fac partea, fiecare dintre noi are de făcut puțin, dar acum. Să le spunem părinților cele trei povești – „nepotul în necaz”, „contul sigur”, „curierul” – și regula care le dezarmează pe toate: nimeni nu sună ca să ceară coduri, parole sau bani. Închizi și suni tu, la numărul oficial.
Să alegem un cuvânt de familie pentru urgențe. Să activăm notificările băncii și să schimbăm parolele construite pe data nașterii sau numele copilului. Să cerem operatorului de telefonie o parolă pentru schimbarea cartelei SIM, iar birourilor istoriilor de credit, propriul raport.
Iar dacă am oferit deja un cod sau bani, să sunăm banca acum, nu mâine, apoi Poliția, fără rușine. Rușinea este și ea a escrocului.
Atacatorul are nevoie de noi. Tot ce are sunt date. Ca să devină bani sau influență, îi trebuie un cod, un click, un transfer, o întâlnire cu un curier sau o părere acceptată fără să întrebăm de unde vine.
Datele nu se mai întorc. Singurul lucru pe care îl putem schimba este ce facem când sună telefonul și cât de mult le cerem celor care trebuiau să ne păzească datele să nu se mai întâmple.
Întrebarea corectă a acestei săptămâni nu este „Ne golesc conturile?”, ci „Pe cine mai credem și pe ce bază?”. Răspunsul la ea se construiește, de acum, în fiecare apel la care nu răspundem cu un cod.
Natalia Spînu
directoarea Institutului European de Studii Politice din Republica Moldova
