PREMIERĂ Atac informatic de amploare. Românii de la Bitdefender au depistat, în premieră în Europa, la școli din Marea Britanie, un atac ransomware care prezintă indicii comportamentale în care atacatorii lucrează alături de agenți AI

Cercetătorii în securitate informatică de la Bitdefender au depistat în premieră în Europa un atac ransomware care prezintă indicii comportamentale de utilizare a agenților de inteligență artificială (AI) în etapele de infiltrare și operare în rețeaua victimei.  

CITEȘTE ȘI Anthropic este pe punctul de a crea un AI care se îmbunătățește singur

Atacul, atribuit unui afiliat al grupării care dezvoltă amenințarea informatică de tip ransomware 3AM, a vizat un grup de școli din Marea Britanie, cu o infrastructură de 47 de sisteme distribuite în mai multe domenii separate. Potrivit informațiilor disponibile cercetătorilor Bitdefender, acesta este primul caz documentat de acest tip în Europa. 

Investigația arată că atacatorii au urmat o succesiune obișnuită pentru operațiunile ransomware: furtul datelor de acces de pe serverele de backup, crearea unor conturi neautorizate de administrator, conectarea unor domenii separate, sustragerea datelor, încercarea de eliminare a soluțiilor de securitate și criptarea sistemelor. 

Elementul distinctiv este modul în care au fost împărțite sarcinile. Unele activități indică intervenția directă a unui operator uman, în timp ce altele prezintă un tipar compatibil cu utilizarea unui agent AI care execută comenzi, interpretează rezultatele și își ajustează abordarea până când operațiunea reușește. 

Indicii privind implicarea AI în desfășurarea atacului

Cercetătorii de la Bitdefender au identificat mai multe semnale care, analizate împreună, susțin ipoteza utilizării agenților AI, precum prezența unor erori tipice comenzilor reproduse din cunoștințele modelului de inteligență artificială. 

CITEȘTE ȘI Revolut anunță o schimbare semnal de alarmă pentru laboratoarele de AI: a înlocuit Claude Code cu un model chinezesc, reducând costurile cu 90%

Ritmul operațiunilor evidențiază, de asemenea, două moduri de lucru. Deciziile importante erau separate de pauze de câteva minute, compatibile cu intervenția umană. În schimb, încercările de remediere a operațiunilor eșuate se repetau la intervale de 40 până la 100 de secunde, indiferent de amploarea modificării. 

Cel mai clar exemplu a fost conectarea domeniilor separate ale școlilor. Această etapă a presupus configurări repetitive, în care erorile erau urmate de ajustări și noi încercări, într-un ciclu compatibil cu modul de lucru al unui agent AI. 

Atacatorii au sustras credențiale de pe serverele de backup și au creat două conturi neautorizate de administrator, cu denumiri menite să se integreze în lista de conturi a unei școli. Tentativa de eliminare a soluției de securitate de pe stațiile de lucru a fost blocată de mecanismele de protecție împotriva modificărilor neautorizate. 

Pe 19 septembrie, aproximativ 37 de sisteme au fost criptate. Pe parcursul atacului, au fost șterse și copii de siguranță ale sistemelor. 

Un model de atac ușor de replicat

Noutatea cazului nu constă în viteza execuției sau în folosirea unor tehnici de atac noi, ci în integrarea AI în activitățile operaționale ale atacatorilor. Costurile reduse și lipsa necesității unor competențe suplimentare fac acest model ușor de replicat. Bitdefender estimează că atacurile hibride, în care operatorii umani coordonează activitatea agenților AI, vor deveni mai frecvente în 2027. 

CITEȘTE ȘI Tranzacție Sameday. Își extinde serviciile dedicate companiilor din retail și e-commerce. Prin Pactic, achiziționează QeOPS și își extinde operațiunile logistice în România

Totodată, utilizarea agenților AI lasă urme care pot sprijini detectarea. Comenzile repetate, scripturile numerotate și fișierele de test rămase în infrastructură oferă echipelor de securitate mai multe oportunități de a identifica activitatea periculoasă. 

Concluziile privind utilizarea AI se bazează pe comportamentul observat în rețeaua compromisă. Cercetătorii nu au avut acces la sistemul atacatorilor și nu pot stabili ce model AI a fost folosit sau dacă un operator uman a transferat manual comenzile între instrumentul AI și infrastructura vizată. Cercetarea continuă eforturile Bitdefender de a documenta utilizarea inteligenței artificiale în atacuri informatice, după analiza codului generat cu AI în cazul APT36, publicată în martie 2026, și a dezvoltării asistate de AI în cazul SilkParasite, din august 2026. Noul caz indică extinderea utilizării AI de la crearea instrumentelor de atac la executarea unor etape ale atacului însuși. 

Recompense celor care găsesc probleme de securitate în sistemele online ale statului

Directoratul Național de Securitate Cibernetică (DNSC) va putea acorda recompense bănești persoanelor fizice sau juridice, pentru identificarea vulnerabilităților sistemelor informatice publice, prin organizarea de programe de tip Bug Bounty, în care să fie testate aceste sisteme la posibile atacuri cibernetice, conform unui proiect legislativ adoptat de senatori și care va fi transmis acum pentru vot final deputaților. 

Directoratul Național de Securitate Cibernetică (DNSC) este autoritate competentă responsabilă cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică. DNSC îndeplinește funcția de echipă de răspuns la incidente de securitate cibernetică națională.

Inițiatorii proiectului, prezentat anterior de Profit.ro, arată că DNSC poate primi și evalua raportări, poate verifica vulnerabilități și poate intermedia relația dintre raportor și entitatea afectate, dar deși legislația a consolidat obligațiile de raportare și remediere, cadrul în vigoare nu conferă DNSC competența expresă de a organiza programe publice de identificare recompensată a vulnerabilităților și nu prevede temeiul bugetar necesar pentru plata recompenselor.

”În prezent, DNSC poate gestiona o vulnerabilitate care îi este raportată, dar nu poate invita în mod organizat cercetători în securitate cibemetică să testeze, în limite stabilite în prealabil, sisteme informatice publice și să îi recompenseze pentru vulnerabilitățile validate. Această lacună legislativă limitează capacitatea statului de a preveni incidente de securitate înainte ca acestea să producă efecte”, susțin autorii proiectului, analizat de Profit.ro.

CITEȘTE ȘI Schimbare majoră pregătită pe internet: Fără căsuțe pre-bifate, doar cookie-urile necesare acceptate, utilizatorul să își retragă oricând și facil acordul. Noi reguli privind consimțământul de prelucrare a datelor de trafic

Aceștia arată că necesitatea intervenției legislative trebuie analizată inclusiv în contextul geopolitic actual și amintesc de cel mai important atac cibernetic înregistrat, care a vizat serviciile Cadastrului.

”Atacul cibemetic asupra ANCPI a scos din funcțiune sistemul e-Terra și serviciile de cadastru, blocând tranzacții imobiliare, credite și activitatea notarpală. Pentru un singur cumpărător, amânarea tranzacției înaintea modificării TVA putea genera un cost suplimentar considerabil. Statul a suportat, în paralel, costurile izolării sistemelor, intervenției tehnice, migrării aplicațiilor și reluării serviciilor”, subliniază inițiatorii.

Ei pledează pentru instituirea unor programe de tip ”Bug Bounty”, prin care instituții sau companii oferă recompense financiare pentru descoperirea și raportarea vulnerabilităților de securitate.

”Programele de tip Bug Bounty reprezintă mecanisme controlate prin care cercetătorii în securitate cibemetică sunt autorizați să testeze numai sistemele inc]use expres în program și pot primi recompense pentm vulnerabilitățile reale, raportate responsabil și validate. Astfel de programe sunt utilizate de autorități publice din Statele Unite ale Americii, Singapore, Franța, Elveția, Olanda, Belgia, Regatul Unit și Coreea de Sud.

Programele propuse nu înlocuiesc auditurile de securitate, testele de penetrare, monitorizarea continuă, copiile de rezervă sau planurile de continuitate. Ele completează aceste măsuri prin implicarea unui număr mai mare și mai divers de specialiști.

Recompensa se acordă numai pentru o vulnerabilitate validată, iar valoarea maximă a recompensei și fondul total al programului se stabilesc înaintea lansării.

Cheltuiala publică este astfel previzibilă, plafonată și condiționată de rezultat”, sunt argumente prezentate în sprijinul măsurii.

Este dat ca exemplu un program de acest fel, ”Hack the Pentagon", care a costat 150.000 de dolari și a identificat 138 de vulnerabilități, în timp ce o testare convențională similară fusese estimată la peste un milion de dolari. 

CITEȘTE ȘI ULTIMA ORĂ Tichetul de masă va fi majorat de noii guvernanți, pentru un an, cu 5 lei, la cel mult 50 lei. O masă de prânz costa în medie anul trecut 55 lei

Prevederile proiectului

Față de forma inițială, în comisii senatorii au adus o serie de amendamente proiectului, pentru a răspunde în cea mai mare parte observațiilor Consiliului Legislativ. 

Astfel, DNSC va putea organiza și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, în limita creditelor bugetare aprobate cu această destinație.

DNSC va putea iniția și gestiona programe de identificare și raportare a vulenerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, pentru rețelele și sistemele informatice proprii, precum și pentru cele deținute, administrate ori utilizate de autorități și instituții publice sau de alte entități de drept public din spațiul cibernetic național civil, cu respectarea excluderilor și regimurilor speciale.

Includerea unei rețele sau a unui sistem informatic într-un astfel de program este condiționată de acordul prealabil, expres și scris al tuturor titularilor dreptului de a autoriza testarea asupra rețelei, sistemului informatic sau componentelor vizate. Acordul identifică rețeaua, sistemul informatic sau componentele asupra cărora se poate efectua testarea și precizează limitele acesteia.

Programele prevăzute constituie un mecanism complementar procesului de divulgare coordonată a vulnerabilităților, iar cele identificate în cadrul acestor programe se raportează conform dispozițiilor legale.

CITEȘTE ȘI ULTIMA ORĂ Mișcare-surpriză pentru operatorii Uber și Bolt: Doar o singură mașină în comodat! - primă decizie

În cadrul programelor prevăzute pentru sistemele publice, DNSC poate acorda recompense bănești persoanelor fizice sau juridice pentru vulnerabilitățile raportate și validate, în conformitate cu criteriile de eligibilitate și validare stabilite pentru program și în limita creditelor bugetare aprobate cu această destinație în bugetul de venituri și cheltuieli al DNSC.

Valoarea maximă a recompensei pentru o vulnerabilitate și valoarea totală a fondului de recompense se stabilesc și se aduc la cunoștința participanților înaintea începerii programului.

Activitățile de testare în cadrul programelor prevăzute pot fi desfășurate numai după aprobarea programului de către DNSC, obținerea acordurilor altor titulari de drepturi și acceptarea expresă de către participant a condițiilor programului. Autorizarea este limitată la rețelele, sistemele și componentele identificate in program, la metodele de testare permise și la perioada stabilită pentru desfășurarea activităților.

Programul și condițiile acceptate de participant stabilesc, în mod clar și verificabil, cel puțin obiectul testării, metodele permise, durata, limitele tehnice și operationale, modalitatea de raportare a vulnerabilităților și condițiile de suspendare sau încetare a autorizării.

CITEȘTE ȘI ”Dosarul cu șină”: Mari amenzi pentru funcționarii care continuă să ceară persoanelor și firmelor copii de pe documente emise de stat - Măsură adoptată în primă etapă

În cadrul programelor prevăzute sunt interzise:

a) accesarea, copierea, ștergerea sau modificarea neautorizată a datelor;

b) utilizarea atacurilor de tip brute-force, a tehnicilor de phishing a altor tehnici de inginerie social ;

c) utilizarea de programe de tip malware sau a altor tehnici care afectează pot afecta disponibilitatea, integritatea sau funcționarea retelelor și sistemelor informatice;

d) menținerea accesului Ia rețelele și sistemele informatice după incetarea autorizării sau extinderea accesului Ia alte rețele, sisteme, componente conturi care nu sunt incluse in program;

e) divulgarea public a vulnerabilităților cu incălcarea condițiilor legale aplicabile procesului de divulgare coordonată;

f) orice alt activitate care depășește limitele autorizării sau contravine prevederilor legale aplicabile.

Nerespectarea condițiilor programului depășirea limitelor autorizării atrage încetarea autorizării pentru activitățile respective și pierderea dreptului la recompensă pentru vulnerabilitatea în cauză, fără a aduce atingere răspunderii civile, contravenționale sau penale, după caz.

CITEȘTE ȘI DECIZIE Profitul reinvestit în orice activ corporal va fi scutit de impozit în anumite condiții. Noi facilități fiscale, credite garantate de stat și subvenții, într-un program național pentru investiții și locuri de muncă

Participarea la programele prevăzute este voluntară și nu creează obligația participantului de a efectua activități de testare ori de a obține un anumit rezultat.

În termen de 90 de zile de la intrarea în vigoare a a legii, vor fi reglementate, prin hotărâre a Guvemului de stabilire a normelor metodologice, cel puțin procedura de ini/iere și aprobare a programelor, criteriile de selectare a rețelelor și sistemelor informatice, condițiile de participare, procedura de raportare și validare a vulnerabilităților, criteriile de stabilire și procedura de acordare a recompenselor, măsurile privind protecția datelor și confidențialitatea, precum și condițiile de monitorizare, suspendare și încetare a programelor.