Atacul Binance: ce trebuie să verifice primăriile înaintea unui incident cibernetic

Incidentul de securitate anunțat de Binance pe 30 octombrie 2026 arată cât de mult poate costa compromiterea unui singur dispozitiv cu acces privilegiat. Potrivit comunicării inițiale a companiei, atacatorul ar fi intrat prin laptopul unui inginer DevOps, ar fi ajuns la un container de servicii și ar fi inițiat retrageri neautorizate. Impactul estimat este de aproximativ 6,3 miliarde de dolari.

Investigația tehnică nu este încheiată. Binance a precizat că nu există, până acum, dovezi privind scurgerea cheilor private și că va publica un raport complet după verificarea faptelor. Pentru o primărie sau pentru o instituție publică locală, lecția utilă nu ține de criptomonede. Ține de accesul acordat angajaților și furnizorilor, de dispozitivele de pe care aceștia lucrează și de controalele care opresc o singură identitate compromisă să producă un incident major.

De ce antivirusul nu este suficient

Antivirusul rămâne necesar, dar nu poate opri singur un atac care folosește un cont real, o sesiune deja autentificată sau instrumente legitime de administrare. Dacă laptopul unui administrator este compromis, atacatorul poate apărea în sistem ca un utilizator autorizat.

Igiena cibernetică înseamnă reguli simple, aplicate și verificate constant: drepturi minime, conturi individuale, autentificare rezistentă la phishing, actualizări rapide, backup testat, evidența activelor și supravegherea accesului la distanță. În administrația locală, aceste reguli protejează continuitatea serviciilor, corespondența instituției, documentele, aplicațiile folosite de angajați și relația digitală cu cetățenii.

O procedură scrisă nu ajută dacă nimeni nu verifică aplicarea ei. Conducerea trebuie să primească periodic răspunsuri concrete: câte conturi privilegiate există, când au fost revizuite, ce furnizori se conectează la infrastructură, când s-a testat ultima restaurare și cine decide izolarea unui sistem în timpul unui incident.

Ce face instituția în prima oră după un atac

Prima măsură este limitarea extinderii incidentului. Ghidul CISA pentru răspuns la ransomware recomandă izolarea imediată a sistemelor afectate. Dacă sunt mai multe, rețeaua poate fi separată la nivel de switch. Dacă această variantă nu este disponibilă, se scoate cablul de rețea sau se oprește conexiunea Wi-Fi. Dispozitivul nu se închide decât dacă nu poate fi izolat altfel, deoarece memoria poate conține probe utile investigației.

Comunicarea echipei trebuie mutată pe un canal din afara rețelei posibil compromise. Se păstrează jurnalele, alertele, imaginile de sistem și orele la care au fost observate evenimentele. Parolele nu se schimbă haotic de pe dispozitive posibil infectate. Echipa tehnică, conducerea, responsabilul cu protecția datelor și specialiștii externi trebuie activați după un plan stabilit înainte de incident.

Un plan practic trebuie să conțină numele și datele de contact ale persoanelor care decid, lista serviciilor ce trebuie restaurate cu prioritate, furnizorii care pot interveni, locația copiilor de siguranță și modelele de notificare. Exercițiul de răspuns trebuie repetat. În timpul unui atac nu este momentul potrivit pentru a căuta pentru prima dată cine deține parola, contractul sau numărul de telefon necesar.

Când trebuie notificat DNSC

OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, stabilește obligațiile de raportare pentru entitățile esențiale și importante. O instituție încadrată în una dintre aceste categorii transmite o avertizare timpurie în cel mult 24 de ore de la momentul în care află despre un incident semnificativ, notificarea incidentului în cel mult 72 de ore și raportul final în termen de o lună de la notificare.

Aceste termene nu trebuie extinse automat asupra tuturor primăriilor. Fiecare instituție trebuie să își verifice încadrarea, serviciile furnizate și obligațiile aplicabile. Incidentele și vulnerabilitățile pot fi raportate către DNSC prin platforma PNRISC sau la numărul 1911.

Dacă incidentul afectează date cu caracter personal, instituția trebuie să analizeze separat obligațiile prevăzute de Regulamentul general privind protecția datelor. Notificarea către autoritatea de supraveghere se face, când încălcarea este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor, fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la constatare.

„Igiena cibernetică este disciplina de a nu lăsa niciodată un singur punct să decidă totul.”

Bogdan-Costin Fârșirotu, președintele Fundației Centrul de Formare APSAP

Două roluri diferite: auditul și răspunsul la incidente

Auditorul verifică înaintea incidentului dacă măsurile există, funcționează și pot fi dovedite. Membrul unei echipe CSIRT intervine când alerta a apărut: face triajul, limitează extinderea, păstrează probele, sprijină recuperarea și pregătește informațiile necesare raportării. O instituție are nevoie de ambele perspective, chiar dacă serviciile sunt asigurate prin personal propriu, prin cooperare sau prin furnizori.

Centrul de Formare APSAP organizează online programele Auditor Securitate Cibernetică și Membri CSIRT, autorizate de Directoratul Național de Securitate Cibernetică. Participarea la un curs nu înlocuiește obligațiile instituției și nici procedurile de atestare cerute pentru anumite activități, dar oferă personalului cadrul necesar pentru a înțelege controalele, dovezile și reacția corectă.

Surse și analiză completă

Informațiile despre incident provin din comunicarea inițială publicată de Binance. Recomandările operaționale privind izolarea sistemelor se bazează pe ghidul StopRansomware. Varianta extinsă, cu explicații despre incident, igiena cibernetică și rolurile specializate, este disponibilă în articolul integral publicat de APSAP.

Material documentat la 30 octombrie 2026. Investigația Binance este în curs, iar concluziile tehnice se pot schimba după publicarea raportului final al companiei. Pentru stabilirea obligațiilor legale ale unei instituții trebuie verificată încadrarea concretă și legislația în vigoare la data incidentului.