Unele fraude au utilizat coduri QR şi transferuri către portofele de criptomonede accesate prin terminale ATM.
Compromiterea conturilor a crescut de peste patru ori
Cea mai spectaculoasă creştere a fost înregistrată în cazul incidentelor de compromitere a conturilor. Numărul acestora a crescut de la 248 în 2024 la 1.125 în 2025, adică o majorare de 353%.
DNSC explică faptul că multe dintre cazuri au fost generate de campanii de inginerie socială derulate prin aplicaţii de mesagerie. Una dintre metodele utilizate a fost mesajul care invita victima să voteze pentru o persoană într-un concurs online. După accesarea linkului, utilizatorului i se solicita introducerea unui cod de autentificare WhatsApp sau a altor date care permiteau preluarea contului.
Odată obţinut accesul, atacatorii puteau trimite mesaje frauduloase către lista de contacte a victimei. În acest fel, atacul se multiplica, deoarece mesajul venea de la un număr cunoscut şi părea credibil.
La baza fenomenului se află şi reutilizarea parolelor. O parolă folosită pe mai multe platforme poate fi testată automat de infractori după ce apare într-o bază de date compromisă. Această tehnică, cunoscută drept credential stuffing, nu presupune exploatarea unei vulnerabilităţi tehnice complexe, ci folosirea unor parole deja furate.
DNSC indică drept problemă şi lipsa autentificării multifactor sau configurarea deficitară a acesteia. O parolă puternică nu este suficientă dacă un cont poate fi accesat doar prin introducerea unei singure credenţiale.
Ransomware-ul a crescut cu peste 153%
Ransomware-ul a rămas una dintre cele mai grave ameninţări pentru organizaţiile din România. În 2025, DNSC a gestionat 256 de incidente majore de acest tip, iar comparativ cu anul precedent, categoria a crescut cu peste 153%.
Atacurile au afectat 22 de instituţii publice, 115 persoane fizice şi 119 persoane juridice sprijinite de Directorat. Modelul predominant a fost Ransomware-as-a-Service, prin care infrastructura şi instrumentele de atac sunt dezvoltate de un grup, iar operaţiunile sunt efectuate de afiliaţi.
Această descentralizare face ca atacurile să fie mai uşor de multiplicat. Un grup poate pune la dispoziţie malware-ul, infrastructura de comandă şi metodele de criptare, în timp ce alţi atacatori identifică victimele şi lansează operaţiunile.
Printre grupările monitorizate în România se numără LockBit, RansomHub, KillSec, Akira, Qilin, Safepay, Fog şi Lynx. Unele sunt asociate sau aliniate cu Federaţia Rusă, însă în mai multe cazuri originea exactă nu a putut fi confirmată.
Producătorul CocoRico, afectat de gruparea Akira
Unul dintre atacurile analizate de DNSC a vizat compania Aaylex ONE SA, cunoscută prin brandul CocoRico. Societatea, care are peste 2.000 de angajaţi şi operează în 36 de locaţii din nouă judeţe, a fost afectată de un atac atribuit grupării Akira.
Atacul a perturbat activităţi esenţiale precum contabilitatea, producţia, operaţiunile şi accesul la serverele de fişiere. DNSC estimează că accesul iniţial a fost obţinut, cel mai probabil, prin exploatarea unei vulnerabilităţi care afectează interfeţele web ale unor produse Cisco Adaptive Security Appliance şi Cisco Firepower Threat Defense.
Intervenţia specialiştilor a permis recuperarea a peste 66% dintre fişierele criptate. Printre datele recuperate s-au aflat baze de date necesare pentru continuitatea serviciilor operaţionale.
Atacul asupra Primăriei Capitalei
Un alt incident important a vizat Primăria Municipiului Bucureşti. Potrivit raportului DNSC, atacatorii au exploatat o vulnerabilitate de tip SQL injection a serverului GIS expus public şi a bazei de date asociate.
După compromiterea iniţială, atacatorii au efectuat mişcare laterală în infrastructură şi au ajuns la serverul Active Directory. Acolo au creat un cont de administrator, ceea ce le-a asigurat persistenţa în reţea.
Contul a fost folosit ulterior pentru accesarea serverului Microsoft Exchange şi implantarea fişierului Sliver.exe, un instrument utilizat pentru operaţiuni de exfiltrare şi menţinerea accesului într-o infrastructură compromisă.
Specialiştii DNSC au identificat şi eliminat programul maliţios. Directoratul a transmis, de asemenea, recomandări pentru securizarea sistemelor şi a adreselor de email.
O săptămână de blocaj la Apele Române
Administraţia Naţională Apele Române a fost afectată de un atac ransomware care a blocat aproape întreaga activitate a instituţiei, inclusiv activitatea structurilor teritoriale. Potrivit DNSC, instituţia nu şi-a putut desfăşura normal activitatea timp de aproximativ o săptămână.
În urma intervenţiei, specialiştii au recuperat integral datele de pe un server al Administraţiei Bazinale de Apă Jiu şi baza de date SQL Hidrolog, utilizată de dispeceri. Analiza tehnică a fost documentată într-un raport de investigaţii digitale.
Incidentul arată vulnerabilitatea instituţiilor care depind de sisteme informatice centralizate şi care nu dispun de suficiente mecanisme de continuitate operaţională. În cazul unor atacuri asupra administraţiei publice, consecinţele nu se limitează la pierderea unor fişiere, ci pot afecta direct serviciile oferite populaţiei.
Energie, cercetare şi sănătate
Complexul Energetic Oltenia a raportat un atac ransomware care a afectat aproximativ 20 de staţii de lucru şi 45 de servere. Reţeaua operaţională nu a fost afectată, iar producţia nu a fost perturbată.
Institutul Naţional de Cercetare-Dezvoltare pentru Ecologie Industrială a fost, de asemenea, victima unui atac ransomware.
Într-un caz care a vizat compania Junior Group din Constanţa, analiza criminalistică a indicat implicarea grupării LockBit. Datele criptate nu au putut fi recuperate. DNSC a stabilit că societatea folosea programe software piratate, inclusiv pentru servere şi securitate, fapt care a facilitat accesul atacatorilor.
Centrele de transfuzie sanguină din Maramureş şi Craiova au fost compromise prin atacuri atribuite LockBit 4.0.
O fraudă de peste 20.000 de euro prin compromiterea e-mailului
Atacurile nu au urmărit doar criptarea fişierelor. Uneori, infractorii au încercat să controleze conversaţiile comerciale şi să redirecţioneze plăţi.
Un astfel de caz a fost documentat la Tohan SA, companie din grupul industrial ROMARM, care activează în producţia de armament, muniţie şi echipamente pentru sectorul militar.
Atacatorii au compromis două adrese de email ale companiei şi au configurat reguli de redirecţionare a mesajelor. Prin această metodă au putut să intercepteze conversaţii şi să modifice documente transmise între parteneri.
În urma atacului, compania a efectuat transferuri bancare neautorizate în valoare totală de 20.148 de euro. DNSC a identificat mai multe programe maliţioase de tip spyware şi infostealer şi a transmis recomandări privind securizarea sistemelor şi a adreselor de email.
Acest tip de atac este dificil de observat, deoarece mesajele pot continua să circule aparent normal. Atacatorul nu trebuie să blocheze sistemele. Este suficient să monitorizeze conversaţiile şi să intervină în momentul în care apare o factură sau o instrucţiune de plată.
Peste 25 de milioane de evenimente detectate de senzorii DNSC
Senzorii instalaţi sau configuraţi de DNSC au înregistrat în 2025 un total de 25.307.028 de evenimente relevante de securitate cibernetică. Numărul este apropiat de cel din 2024, când au fost înregistrate 25.567.341 de evenimente, dar structura ameninţărilor s-a modificat.
Cele mai multe evenimente au fost asociate încercărilor de penetrare prin campanii de phishing: 7.251.708, faţă de 941.076 în 2024. Creşterea indică o intensificare majoră a campaniilor automate de phishing.
Au fost detectate şi 5.879.193 de încercări de penetrare prin brute-force, 5.315.696 de scanări pentru colectarea de informaţii şi 4.282.152 de evenimente asociate traficului nejustificat, utilizat pentru identificarea vulnerabilităţilor.
Încercările de penetrare prin exploatarea unor vulnerabilităţi au crescut de la 14.590 în 2024 la 292.117 în 2025. Şi traficul provenit de la adrese IP cu reputaţie îndoielnică a crescut, de la 860.790 la 1.034.700 de evenimente.
Datele DNSC indică o concentrare mai pronunţată a activităţilor maliţioase în ultima parte a anului. Directoratul apreciază că această evoluţie reflectă atât atacuri automatizate şi campanii coordonate, cât şi utilizarea unor vectori mai sofisticaţi.
Băncile şi curierii, cele mai vizate sectoare
Sectorul bancar a fost cel mai afectat, cu 71,09% din incidentele raportate în funcţie de sectorul economic. Majoritatea au fost atacuri de phishing care au vizat utilizatorii serviciilor financiar-bancare.
Serviciile poştale şi de curierat au fost al doilea sector ca număr de incidente, cu atacuri care au exploatat în special încrederea clienţilor. Mesajele false despre colete, taxe de livrare sau adrese incomplete au fost folosite pentru a colecta date bancare.
Infrastructurile pieţei financiare au reprezentat 6,34% din incidente, iar administraţia publică 3,13%. Sectorul energetic a reprezentat 2,90%, sănătatea 2,30%, transporturile 1,43%, iar infrastructura digitală 0,78%.
Deşi sectorul energetic a înregistrat un număr mai mic de incidente, DNSC subliniază că impactul potenţial al acestora este mult mai mare. O compromitere a sistemelor IT sau OT poate afecta continuitatea unor servicii esenţiale.
În sănătate, atacurile ransomware şi SQL injection au fost printre cele mai relevante. DNSC a transmis recomandări de remediere către 129 de organizaţii în urma identificării unor vulnerabilităţi şi credenţiale expuse.
