Ataque confirmado à ANCPI congela registro imobiliário romeno
Confirmado: a ANCPI, agência nacional de cadastro e registro imobiliário da Romênia, sofreu um ataque cibernético a partir de 14/07/2026 que derrubou toda a sua infraestrutura de TI e travou o mercado imobiliário nacional. O ponto de conflito não é se houve ataque — a agência já admitiu — mas a extensão: o ator ByteToBreach alega apagamento da base e roubo de dados de cidadãos e código-fonte; a ANCPI e o regulador DNSC afirmam que as bases técnicas e jurídicas não foram comprometidas e que não há evidência de furto de dados pessoais. Nosso registro anterior (ator não identificado, sem data, selo 'claimed/unverified') está desatualizado e é corrigido aqui.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
Houve efetivamente um ataque cibernético contra a ANCPI iniciado em 14/07/2026, não apenas uma alegação — a própria agência confirmou publicamente após inicialmente descrevê-lo como 'incidente técnico'.
O vetor inicial foi combinação de credenciais válidas comprometidas com vulnerabilidades conhecidas e não corrigidas; não há evidência de zero-day ou de ataque sofisticado.
Existe divergência substantiva e ainda não resolvida entre a versão do ator (apagamento da base e exfiltração de dados de cidadãos e código-fonte) e a versão oficial (bases técnica e jurídica intactas, sem furto de dados pessoais detectado). A recuperação via backups offline sugere que houve, de fato, destruição de dados em produção — o que enfraquece parcialmente a mensagem tranquilizadora oficial.
A atribuição do persona ByteToBreach a Zakaria Mahdjoub (Oran, Argélia) é uma avaliação de inteligência da KELA baseada em artefatos digitais, não uma acusação judicial nem confirmação independente; a Reuters não conseguiu verificá-la e o próprio ator afirma agir sozinho, negando ser um grupo.
A motivação foi financeira (extorsão), sem indício de ator estatal, e o incidente é tratado pelo DNSC como desvinculado de outros ataques recentes a instituições romenas.
O número de registros afetados permanece indeterminado: nem o ator quantificou de forma verificável, nem a ANCPI divulgou volume; o DNSC afirma que 'certas categorias de dados' foram exfiltradas, 'mas não uma quantidade muito grande'.
Análisis
Corrigimos primeiro o nosso próprio registro. A organização é a ANCPI — Agenția Națională de Cadastru și Publicitate Imobiliară, traduzida na imprensa internacional como National Agency for Cadastre and Land Registration ou Real Estate Advertising. O incidente não começou em 20/07 nem é uma mera alegação: a ANCPI sofreu grande interrupção em terça-feira, 14 de julho, quando o app e-Terra ficou indisponível, e o que primeiro foi declarado 'incidente técnico major' foi depois confirmado como ataque cibernético. Existe ator identificado: o persona ByteToBreach reivindicou publicamente. Portanto o selo 'claimed/unverified' deve migrar para incidente confirmado, com a ressalva de que a EXTENSÃO permanece disputada.
As quatro camadas do caso divergem de forma relevante. O que a VÍTIMA admite: a ANCPI disse que o ataque não comprometeu suas bases de dados técnica e jurídica — os registros centrais com informação cadastral, mapas e dados legais de propriedade e hipotecas. O que o ATOR alega: segundo suas próprias afirmações, ByteToBreach extraiu vastas bases com informação sensível de cidadãos romenos e obteve cópia integral dos servidores GitLab, comprometendo o código-fonte de sistemas como e-Terra e RENNS, além de alegar ter implantado ransomware na rede da agência. O que o REGULADOR afirma: o diretor do DNSC declarou não ter detectado até então dados pessoais ou certificados de carte funciară roubados, mas confirmou que o ator publicou amostras de credenciais e fragmentos de código, e que 'com certeza exfiltraram certas categorias de dados, mas não uma quantidade muito grande'.
O que a EVIDÊNCIA sustenta fica no meio. Múltiplas fontes independentes relatam destruição de dados após extorsão frustrada: KELA e outros pesquisadores relataram que o atacante apagou a base do registro de terras após tentativa de extorsão fracassada, com a recuperação apoiada em backups offline que a agência disse manter em vários locais. A própria agência corrobora indiretamente ao confirmar posse de backups redundantes — a ANCPI afirmou que o atacante não conseguiu apagar todos os seus dados de backup, pois armazena cópias em vários locais. Ou seja: a narrativa 'nada foi comprometido' e a narrativa 'a base foi apagada' só se reconciliam se entendermos que produção foi de fato destruída e o conteúdo foi restaurado a partir de backup — o que é diferente de dizer que nada aconteceu com os dados.
O vetor de entrada é o ponto mais consolidado e o mais constrangedor para a defesa. Segundo o DNSC, foram exploradas vulnerabilidades conhecidas, que o próprio órgão havia notificado recentemente, em combinação com credenciais perdidas e depois postadas na internet. O ator adiciona um detalhe que amplia a crítica, ainda que não confirmado oficialmente: ByteToBreach alegou ter usado uma vulnerabilidade conhecida desde 2021, afirmação não confirmada pela ANCPI nem pelo DNSC. Há também uma lacuna de accountability que a imprensa apurada apontou: Cîmpean disse que o DNSC havia notificado as vulnerabilidades, mas não detalhou quando a notificação foi enviada, a quem, que prazo de remediação foi recomendado, nem por que as falhas seguiram ativas até o ataque.
A atribuição exige disciplina. A KELA avalia que ByteToBreach é provavelmente operado por Zakaria Mahdjoub, indivíduo em Oran, Argélia, com base em dados de infostealer, cookies de navegador e artefatos digitais — trata-se de uma avaliação de inteligência, não de uma acusação criminal pública. A verificação independente falhou: a KELA identificou o autor como Zakaria Mahdjoub, cibercriminoso de Oran, Argélia, mas a Reuters não conseguiu verificar de forma independente a atribuição. O ator complica a caracterização de 'grupo': ByteToBreach afirma agir sozinho e que o nome não designa uma grupação, o que não pode ser verificado independentemente no momento. Historicamente, a conta é suspeita de ter penetrado o portal de e-governo da Suécia e possivelmente diversos registros estatais no Leste Europeu, incluindo Eslováquia, Ucrânia, Polônia e Lituânia.
O enquadramento de motivação e contexto: a conclusão preliminar do DNSC é que o ataque à ANCPI não tem ligação com o ataque ao Ministério dos Investimentos e Projetos Europeus nem com a página-clone da plataforma ghiseul.ro; a avaliação é de atores motivados exclusivamente por dinheiro, com suspeita de grupo argelino. Sobre o resgate, o número de 10 milhões de euros circulou mas não é confirmado: após o ataque circulou publicamente que teria sido pedido resgate de 10 milhões de euros; ByteToBreach negou a cifra, mas não negou que existam negociações ou pretensões financeiras, dizendo que isso se discute apenas entre as partes envolvidas. Por fim, o status operacional em 21/07: a ANCPI anunciou o início da migração das aplicações para o Cloud Governamental, operação coordenada pelo Serviço de Telecomunicações Especiais (STS), com previsão de conclusão dessa etapa em quarta-feira, 22 de julho. Existe também confirmação pela própria ANCPI da existência de um inquérito penal no caso.
Cronología
- 2025-12KELA publica perfil sobre o persona ByteToBreach, sugerindo localização na Argélia (versão inicial, atualizada depois do caso ANCPI).
- 14 jul 2026Todos os sistemas de TI da ANCPI ficam indisponíveis, incluindo o e-Terra e o e-mail; agência descreve inicialmente como 'incidente técnico major'.
- 15 jul 2026ANCPI reconhece publicamente tratar-se de ataque cibernético — 'a maior interrupção técnica de sua história'; dados atribuídos à agência são postados para venda em fórum de hacking.
- 16 jul 2026Help Net Security e outros confirmam a mudança de 'incidente técnico' para ataque cibernético; ator alega ter copiado dados de cidadãos, bases e servidores GitLab e ter implantado ransomware.
- 17 jul 2026ByteToBreach concede entrevista à Euronews România por app de mensagens, pede desculpas, nega resgate de 10 milhões de euros e alega ter usado vulnerabilidade conhecida desde 2021.
- 19 jul 2026ANCPI anuncia que a infraestrutura está em amplo processo de reinstalação e consolidação; serviços seguem indisponíveis, restauração etapizada.
- 20 jul 2026Diretor do DNSC, Dan Cîmpean, afirma ao G4Media que o ataque não foi complexo e poderia ter sido prevenido; ANCPI reitera que as bases técnica e jurídica não foram afetadas; confirma existência de inquérito penal.
- 21 jul 2026ANCPI inicia migração das aplicações para o Cloud Governamental (coordenação do STS), com previsão de conclusão dessa etapa em 22/07; ressalva que isso não significa retomada automática dos serviços.
Impacto
O impacto operacional é nacional e concreto, não hipotético. Como o fluxo cadastral romeno é totalmente digital, a queda do e-Terra paralisou o mercado imobiliário: cartórios não conseguem registrar transações, processar pedidos pendentes nem emitir os extratos de carte funciară exigidos para vendas e hipotecas. O timing agravou o dano — a paralisação ocorreu enquanto compradores tentavam finalizar transações antes que o regime reduzido de IVA de 9% expirasse no fim de julho, após o que a alíquota padrão de 21% passaria a se aplicar. A escala do setor afetado é significativa: a Romênia registra entre 150.000 e 170.000 vendas residenciais por ano. Além da indisponibilidade, há exposição confirmada de material sensível para revenda: um dia após o início, parte dos dados roubados da ANCPI foi posta à venda em fórum de hacking conhecido, incluindo credenciais de funcionários, documentos internos e outros detalhes. O risco de médio prazo recai sobre a própria agência: exposição de credenciais de funcionários e do desenho da rede interna (Active Directory) facilita reintrusão se não houver rotação de credenciais e reconstrução segura.
Enlaces técnicos
Recomendaciones
- Impor autenticação multifator em todo acesso privilegiado e administrativo; o vetor foi credencial válida reutilizada, cenário em que MFA em contas privilegiadas remove o atrito que o atacante não encontrou.
- Separar credenciais e planos de acesso das contas de backup das contas de produção, e adotar backups imutáveis ou offline (write-once, object lock ou mídia fisicamente desconectada) como parte da arquitetura, não como remendo.
- Tratar notificações de vulnerabilidade do CSIRT/autoridade nacional como itens com prazo rastreável e dono definido; estabelecer SLA de remediação e auditoria de fechamento, dado que aqui as falhas seguiram abertas após notificação.
- Monitorar credenciais institucionais em despejos de infostealer e vazamentos públicos, com rotação forçada periódica e detecção de reutilização, já que as senhas comprometidas circulavam previamente.
- Após reconstrução, presumir comprometimento total do Active Directory exposto: rotacionar todos os segredos, revisar permissões de risco e sistemas obsoletos identificados, e validar integridade antes de religar serviços por etapas.
- Organizações de outros países com registros públicos totalmente digitais devem revisar dependência de sistema único e capacidade de operação em contingência, dado que a digitalização integral converteu uma indisponibilidade de TI em paralisia de um mercado inteiro.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Volume real de registros exfiltrados — resolvível apenas com laudo forense oficial do DNSC/autoridades ou com o relatório de integridade pós-migração prometido pela ANCPI.
Se dados pessoais de cidadãos foram de fato roubados: o ator alega que sim, o regulador diz não ter detectado — resolvível com a análise forense concluída e eventual notificação à autoridade de proteção de dados romena (ANSPDCP).
Qual vulnerabilidade específica foi explorada e se é a falha 'de 2021' alegada pelo ator — resolvível com divulgação de CVE ou detalhe técnico pelo DNSC/ANCPI.
Quando o DNSC notificou as vulnerabilidades, a quem, com que prazo, e por que não foram corrigidas — resolvível com a cronologia documental da notificação regulatória.
Se houve efetivamente pedido e negociação de resgate, e em que valor — resolvível por documentos do inquérito penal ou confirmação oficial.
Se backups offline restauraram 100% dos dados de produção ou houve perda residual — resolvível com o relatório de estado dos sistemas após a migração ao Cloud Governamental.
Confirmação independente da atribuição a Zakaria Mahdjoub além da avaliação da KELA — resolvível com imputação formal por autoridades policiais.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.