STISC respinge acuzațiile că ar fi ignorat rapoartele de vulnerabilități înainte de atacul cibernetic de amploare din octombrie

Serviciul Tehnologia Informației și Securitate Cibernetică (STISC) din Republica Moldova a transmis un răspuns oficial către Ziarul de Gardă (ZdG), clarificând modul în care a gestionat rapoartele privind vulnerabilitățile cibernetice înainte de masivul atac din octombrie 2025. Instituția susține că, în ultimul an, nu a primit prin mecanismul public sesizări oficiale care să indice existența unor vulnerabilități care să pună în pericol datele cu caracter personal ale cetățenilor. Totodată, STISC confirmă că a recepționat și examinat șapte raportări privind vulnerabilități de securitate cibernetică, „pentru care au fost formulate și comunicate răspunsuri către persoanele care le-au raportat”.

Controversele au apărut după ce ZdG a raportat cazul unui specialist IT stabilit în Olanda, Afanasie Beșleaga, care a declarat că a sesizat STISC cu privire la multiple vulnerabilități identificate la un serviciu guvernamental, dar nu a primit un răspuns substanțial, doar un tichet de confirmare a înregistrării unui incident potențial. Un alt cititor al publicației a menționat o situație similară, fără a specifica instituția vizată. În răspunsul său, STISC a precizat că toate raportările sunt luate în evidență, verificate și supuse unui proces de analiză tehnică și evaluare a riscurilor, stabilindu-se măsurile necesare de remediere. Instituția a reamintit existența Platformei Guvernamentale de Divulgare a Evenimentelor Cibernetice, accesibilă la cyberevent.gov.md.

Afanasie Beșleaga, fondator al unor companii de tehnologie informațională atât în Moldova, cât și în Țările de Jos, a afirmat pentru ZdG că, deși a identificat vulnerabilități, unele dintre ele critice, atacul cibernetic prin care au fost sustrase datele personale a sute de mii de cetățeni „cel mai probabil” nu ar fi putut fi prevenit pe baza acelorași rapoarte, deoarece vulnerabilitățile sale nu au fost exploatate direct în incident. El a sugerat că complexitatea atacului nu indică un actor statal sofisticat. Beșleaga a menționat că, la discuțiile cu reprezentanții instituțiilor despre investițiile în securizare, a primit un răspuns neoficial conform căruia „nu avem buget”, deși crede că atacatorii nu se opresc din cauza lipsei de fonduri.

În ceea ce privește responsabilitățile și cheltuielile, STISC a redirecționat către Agenția de Guvernare Electronică (AGE) întrebările privind investițiile în securitatea sistemelor EVO sau MPAss. AGE a declarat că nu poate oferi date exacte privind cheltuielile pentru securitate, considerând soluționarea incidentelor atribuție STISC. Totuși, Mihai Lupașcu, directorul Agenției pentru Securitate Cibernetică (ASC), a furnizat date precise: bugetul total al ASC pentru 2026 este de aproximativ 27 de milioane de lei, repartizat între cheltuieli de personal (17 milioane lei) și întreținere/proiecte (10 milioane lei). Lupașcu a subliniat că R. Moldova a transpus Directiva NIS2 și că ASC a participat la evaluarea securității în sectorul energetic în 2026.

Incidentul cibernetic major din 19-23 octombrie 2025 a vizat platformele AGE, extrăgând date asociate a circa 750.000 de IDNP-uri, inclusiv informații de identificare, detalii fiscale și istoric MPay. Președinta Maia Sandu a precizat că datele a peste 450.000 de cetățeni au fost efectiv accesate, o cifră inferioară estimărilor inițiale, dar încă semnificativă. Ea a criticat întârzierea comunicării oficiale și a evidențiat probleme structurale: o singură aplicație cu acces defect a permis extragerea datelor a cel puțin 10 instituții. Prim-ministrul Vasile Tofan a anunțat indicii privind implicarea unor actori statali străini, iar Lilian Carp, președintele Comisiei parlamentare de securitate, a confirmat că atacul a fost lansat din afara Republicii Moldova.

Expertul Sergiu Bozianu, președintele Asociației pentru Protecția Vieții Private, a atribuit responsabilitatea principală deținătorului registrului (AGE) și integratorului, precum și instituțiilor de control (STISC, ASC, CNPD), considerând că incidentul era previzibil datorită „prea puținei atenții” acordate protecției datelor. În urma verificărilor interinstituționale inițiate după atac, STISC, împreună cu AGE și ASC, a deconectat preventiv serviciile vizate și a stopat extragerea neautorizată a datelor la data de 23 octombrie, ora 11:30, comunicând recomandări tehnice de consolidare a securității către instituțiile afectate.