C’è un equivoco da sfatare subito. Quello che ha paralizzato la Romania a luglio non è stato un ransomware in senso classico. Nessuna cifratura, nessun lucchetto digitale da riscattare. È stato un wiper, uno strumento di pura distruzione. L’attaccante ha rubato i dati, ha chiesto un riscatto, si è sentito rispondere di no e ha cancellato tutto ciò che riusciva a raggiungere. Estorsione fallita, sabotaggio come rappresaglia.
Il bersaglio era l’ANCPI, l’agenzia catastale nazionale rumena. Poiché in Romania il catasto è integralmente digitale, l’azzeramento dei sistemi ha prodotto un effetto immediato: niente compravendite, niente iscrizioni ipotecarie, niente estratti catastali. Per oltre una settimana il mercato immobiliare di un Paese di diciannove milioni di abitanti si è fermato. E per beffa, a ridosso del 1° agosto, quando la tassa sulle nuove case sarebbe salita al 21%.
Ecco il punto che dovrebbe togliere il sonno a ogni responsabile IT: l’attaccante non ha violato nulla di sofisticato. Si è semplicemente autenticato. Ha usato credenziali valide, raccolte da infostealer o phishing, sfruttando in aggiunta vulnerabilità note e mai corrette, una delle quali risalirebbe al 2021. La “vulnerabilità”, qui, non è stata un bug del software: è stata un’identità. Il direttore della cybersicurezza rumena lo ha ammesso senza perifrasi. “…non è stato un attacco complesso”.
DATA LOSS CONTRO SERVICE LOSS
Un conto è la perdita dei dati (data loss), un altro l’impossibilità di utilizzarli (service loss). Nel caso rumeno si è sfiorata la prima e si è realizzata la seconda. Il wiper ha colpito non solo l’infrastruttura di virtualizzazione su cui giravano le applicazioni, ma anche il database e i backup online raggiungibili. A evitare la catastrofe definitiva è stato un solo backup offline, custodito in una sede segregata e quindi irraggiungibile. Senza quella copia, oggi la Romania ricostruirebbe la proprietà immobiliare di milioni di persone a memoria d’uomo.
La lezione è esemplare: non serve cancellare per sempre una banca dati nazionale per mettere in ginocchio uno Stato. Basta rendere inservibile il livello applicativo attraverso cui cittadini, notai e amministrazioni accedono al dato. Il patrimonio informativo può restare intatto e lo Stato risultare ugualmente paralizzato.
L’attacco è stato rivendicato da un attore che si firma ByteToBreach. La società di intelligence israeliana KELA lo attribuisce, con confidenza media, a Zakaria Mahdjoub, cybercriminale con base a Orano, in Algeria: venditore prolifico di dati sottratti a governi, banche e compagnie aeree. Le autorità rumene, prudentemente, non l’hanno confermata.
Il personaggio ha curriculum e vanagloria non comuni. Nel marzo 2026 aveva già trafugato il codice sorgente della piattaforma di e-government svedese, violando il fornitore CGI attraverso un server Jenkins. E i catasti sono la sua ossessione: registri immobiliari violati in Slovacchia, Polonia, Ucraina, Lituania, con un pattern che in tre anni ha toccato mezza Europa. Aveva persino allestito un finto sito di “pentesting” che lo proclamava “minaccia leader di settore”. L’albagia del predone, in vetrina.
Il vero insegnamento di Bucarest riguarda l’intera catena: identità, applicazioni, virtualizzazione, rete, backup, disaster recovery. La resilienza di un’infrastruttura critica non si misura sulla robustezza del solo archivio, ma sull’anello più debole della filiera. E l’anello più debole, quasi sempre, non è una macchina. È una credenziale lasciata girare per il mondo, una toppa mai applicata.
Giulio Galetti, 29 agosto 2026
Nicolaporro.it è anche su Whatsapp. È sufficiente cliccare qui per iscriversi al canale ed essere sempre aggiornati (gratis).
SEDUTE SATIRICHE
Vignetta del 28/08/2026
