Ataque confirmado à ANCPI congela registro imobiliário romeno
Confirmado: a ANCPI, agência nacional de cadastro e registro imobiliário da Romênia, sofreu um ataque cibernético a partir de 14/07/2026 que derrubou toda a sua infraestrutura de TI e travou o mercado imobiliário nacional. O ponto de conflito não é se houve ataque — a agência já admitiu — mas a extensão: o ator ByteToBreach alega apagamento da base e roubo de dados de cidadãos e código-fonte; a ANCPI e o regulador DNSC afirmam que as bases técnicas e jurídicas não foram comprometidas e que não há evidência de furto de dados pessoais. Nosso registro anterior (ator não identificado, sem data, selo 'claimed/unverified') está desatualizado e é corrigido aqui.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
Houve efetivamente um ataque cibernético contra a ANCPI iniciado em 14/07/2026, não apenas uma alegação — a própria agência confirmou publicamente após inicialmente descrevê-lo como 'incidente técnico'.
O vetor inicial foi combinação de credenciais válidas comprometidas com vulnerabilidades conhecidas e não corrigidas; não há evidência de zero-day ou de ataque sofisticado.
Existe divergência substantiva e ainda não resolvida entre a versão do ator (apagamento da base e exfiltração de dados de cidadãos e código-fonte) e a versão oficial (bases técnica e jurídica intactas, sem furto de dados pessoais detectado). A recuperação via backups offline sugere que houve, de fato, destruição de dados em produção — o que enfraquece parcialmente a mensagem tranquilizadora oficial.
A atribuição do persona ByteToBreach a Zakaria Mahdjoub (Oran, Argélia) é uma avaliação de inteligência da KELA baseada em artefatos digitais, não uma acusação judicial nem confirmação independente; a Reuters não conseguiu verificá-la e o próprio ator afirma agir sozinho, negando ser um grupo.
A motivação foi financeira (extorsão), sem indício de ator estatal, e o incidente é tratado pelo DNSC como desvinculado de outros ataques recentes a instituições romenas.
O número de registros afetados permanece indeterminado: nem o ator quantificou de forma verificável, nem a ANCPI divulgou volume; o DNSC afirma que 'certas categorias de dados' foram exfiltradas, 'mas não uma quantidade muito grande'.
Análise
Corrigimos primeiro o nosso próprio registro. A organização é a ANCPI — Agenția Națională de Cadastru și Publicitate Imobiliară, traduzida na imprensa internacional como National Agency for Cadastre and Land Registration ou Real Estate Advertising. O incidente não começou em 20/07 nem é uma mera alegação: a ANCPI sofreu grande interrupção em terça-feira, 14 de julho, quando o app e-Terra ficou indisponível, e o que primeiro foi declarado 'incidente técnico major' foi depois confirmado como ataque cibernético. Existe ator identificado: o persona ByteToBreach reivindicou publicamente. Portanto o selo 'claimed/unverified' deve migrar para incidente confirmado, com a ressalva de que a EXTENSÃO permanece disputada.
As quatro camadas do caso divergem de forma relevante. O que a VÍTIMA admite: a ANCPI disse que o ataque não comprometeu suas bases de dados técnica e jurídica — os registros centrais com informação cadastral, mapas e dados legais de propriedade e hipotecas. O que o ATOR alega: segundo suas próprias afirmações, ByteToBreach extraiu vastas bases com informação sensível de cidadãos romenos e obteve cópia integral dos servidores GitLab, comprometendo o código-fonte de sistemas como e-Terra e RENNS, além de alegar ter implantado ransomware na rede da agência. O que o REGULADOR afirma: o diretor do DNSC declarou não ter detectado até então dados pessoais ou certificados de carte funciară roubados, mas confirmou que o ator publicou amostras de credenciais e fragmentos de código, e que 'com certeza exfiltraram certas categorias de dados, mas não uma quantidade muito grande'.
O que a EVIDÊNCIA sustenta fica no meio. Múltiplas fontes independentes relatam destruição de dados após extorsão frustrada: KELA e outros pesquisadores relataram que o atacante apagou a base do registro de terras após tentativa de extorsão fracassada, com a recuperação apoiada em backups offline que a agência disse manter em vários locais. A própria agência corrobora indiretamente ao confirmar posse de backups redundantes — a ANCPI afirmou que o atacante não conseguiu apagar todos os seus dados de backup, pois armazena cópias em vários locais. Ou seja: a narrativa 'nada foi comprometido' e a narrativa 'a base foi apagada' só se reconciliam se entendermos que produção foi de fato destruída e o conteúdo foi restaurado a partir de backup — o que é diferente de dizer que nada aconteceu com os dados.
O vetor de entrada é o ponto mais consolidado e o mais constrangedor para a defesa. Segundo o DNSC, foram exploradas vulnerabilidades conhecidas, que o próprio órgão havia notificado recentemente, em combinação com credenciais perdidas e depois postadas na internet. O ator adiciona um detalhe que amplia a crítica, ainda que não confirmado oficialmente: ByteToBreach alegou ter usado uma vulnerabilidade conhecida desde 2021, afirmação não confirmada pela ANCPI nem pelo DNSC. Há também uma lacuna de accountability que a imprensa apurada apontou: Cîmpean disse que o DNSC havia notificado as vulnerabilidades, mas não detalhou quando a notificação foi enviada, a quem, que prazo de remediação foi recomendado, nem por que as falhas seguiram ativas até o ataque.
A atribuição exige disciplina. A KELA avalia que ByteToBreach é provavelmente operado por Zakaria Mahdjoub, indivíduo em Oran, Argélia, com base em dados de infostealer, cookies de navegador e artefatos digitais — trata-se de uma avaliação de inteligência, não de uma acusação criminal pública. A verificação independente falhou: a KELA identificou o autor como Zakaria Mahdjoub, cibercriminoso de Oran, Argélia, mas a Reuters não conseguiu verificar de forma independente a atribuição. O ator complica a caracterização de 'grupo': ByteToBreach afirma agir sozinho e que o nome não designa uma grupação, o que não pode ser verificado independentemente no momento. Historicamente, a conta é suspeita de ter penetrado o portal de e-governo da Suécia e possivelmente diversos registros estatais no Leste Europeu, incluindo Eslováquia, Ucrânia, Polônia e Lituânia.
O enquadramento de motivação e contexto: a conclusão preliminar do DNSC é que o ataque à ANCPI não tem ligação com o ataque ao Ministério dos Investimentos e Projetos Europeus nem com a página-clone da plataforma ghiseul.ro; a avaliação é de atores motivados exclusivamente por dinheiro, com suspeita de grupo argelino. Sobre o resgate, o número de 10 milhões de euros circulou mas não é confirmado: após o ataque circulou publicamente que teria sido pedido resgate de 10 milhões de euros; ByteToBreach negou a cifra, mas não negou que existam negociações ou pretensões financeiras, dizendo que isso se discute apenas entre as partes envolvidas. Por fim, o status operacional em 21/07: a ANCPI anunciou o início da migração das aplicações para o Cloud Governamental, operação coordenada pelo Serviço de Telecomunicações Especiais (STS), com previsão de conclusão dessa etapa em quarta-feira, 22 de julho. Existe também confirmação pela própria ANCPI da existência de um inquérito penal no caso.
Cronologia
- 2025-12KELA publica perfil sobre o persona ByteToBreach, sugerindo localização na Argélia (versão inicial, atualizada depois do caso ANCPI).
- 14 jul 2026Todos os sistemas de TI da ANCPI ficam indisponíveis, incluindo o e-Terra e o e-mail; agência descreve inicialmente como 'incidente técnico major'.
- 15 jul 2026ANCPI reconhece publicamente tratar-se de ataque cibernético — 'a maior interrupção técnica de sua história'; dados atribuídos à agência são postados para venda em fórum de hacking.
- 16 jul 2026Help Net Security e outros confirmam a mudança de 'incidente técnico' para ataque cibernético; ator alega ter copiado dados de cidadãos, bases e servidores GitLab e ter implantado ransomware.
- 17 jul 2026ByteToBreach concede entrevista à Euronews România por app de mensagens, pede desculpas, nega resgate de 10 milhões de euros e alega ter usado vulnerabilidade conhecida desde 2021.
- 19 jul 2026ANCPI anuncia que a infraestrutura está em amplo processo de reinstalação e consolidação; serviços seguem indisponíveis, restauração etapizada.
- 20 jul 2026Diretor do DNSC, Dan Cîmpean, afirma ao G4Media que o ataque não foi complexo e poderia ter sido prevenido; ANCPI reitera que as bases técnica e jurídica não foram afetadas; confirma existência de inquérito penal.
- 21 jul 2026ANCPI inicia migração das aplicações para o Cloud Governamental (coordenação do STS), com previsão de conclusão dessa etapa em 22/07; ressalva que isso não significa retomada automática dos serviços.
Impacto
O impacto operacional é nacional e concreto, não hipotético. Como o fluxo cadastral romeno é totalmente digital, a queda do e-Terra paralisou o mercado imobiliário: cartórios não conseguem registrar transações, processar pedidos pendentes nem emitir os extratos de carte funciară exigidos para vendas e hipotecas. O timing agravou o dano — a paralisação ocorreu enquanto compradores tentavam finalizar transações antes que o regime reduzido de IVA de 9% expirasse no fim de julho, após o que a alíquota padrão de 21% passaria a se aplicar. A escala do setor afetado é significativa: a Romênia registra entre 150.000 e 170.000 vendas residenciais por ano. Além da indisponibilidade, há exposição confirmada de material sensível para revenda: um dia após o início, parte dos dados roubados da ANCPI foi posta à venda em fórum de hacking conhecido, incluindo credenciais de funcionários, documentos internos e outros detalhes. O risco de médio prazo recai sobre a própria agência: exposição de credenciais de funcionários e do desenho da rede interna (Active Directory) facilita reintrusão se não houver rotação de credenciais e reconstrução segura.
Elos técnicos
Recomendações
- Impor autenticação multifator em todo acesso privilegiado e administrativo; o vetor foi credencial válida reutilizada, cenário em que MFA em contas privilegiadas remove o atrito que o atacante não encontrou.
- Separar credenciais e planos de acesso das contas de backup das contas de produção, e adotar backups imutáveis ou offline (write-once, object lock ou mídia fisicamente desconectada) como parte da arquitetura, não como remendo.
- Tratar notificações de vulnerabilidade do CSIRT/autoridade nacional como itens com prazo rastreável e dono definido; estabelecer SLA de remediação e auditoria de fechamento, dado que aqui as falhas seguiram abertas após notificação.
- Monitorar credenciais institucionais em despejos de infostealer e vazamentos públicos, com rotação forçada periódica e detecção de reutilização, já que as senhas comprometidas circulavam previamente.
- Após reconstrução, presumir comprometimento total do Active Directory exposto: rotacionar todos os segredos, revisar permissões de risco e sistemas obsoletos identificados, e validar integridade antes de religar serviços por etapas.
- Organizações de outros países com registros públicos totalmente digitais devem revisar dependência de sistema único e capacidade de operação em contingência, dado que a digitalização integral converteu uma indisponibilidade de TI em paralisia de um mercado inteiro.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Volume real de registros exfiltrados — resolvível apenas com laudo forense oficial do DNSC/autoridades ou com o relatório de integridade pós-migração prometido pela ANCPI.
Se dados pessoais de cidadãos foram de fato roubados: o ator alega que sim, o regulador diz não ter detectado — resolvível com a análise forense concluída e eventual notificação à autoridade de proteção de dados romena (ANSPDCP).
Qual vulnerabilidade específica foi explorada e se é a falha 'de 2021' alegada pelo ator — resolvível com divulgação de CVE ou detalhe técnico pelo DNSC/ANCPI.
Quando o DNSC notificou as vulnerabilidades, a quem, com que prazo, e por que não foram corrigidas — resolvível com a cronologia documental da notificação regulatória.
Se houve efetivamente pedido e negociação de resgate, e em que valor — resolvível por documentos do inquérito penal ou confirmação oficial.
Se backups offline restauraram 100% dos dados de produção ou houve perda residual — resolvível com o relatório de estado dos sistemas após a migração ao Cloud Governamental.
Confirmação independente da atribuição a Zakaria Mahdjoub além da avaliação da KELA — resolvível com imputação formal por autoridades policiais.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.