Peste 25 de milioane de evenimente de securitate cibernetică, atacuri asupra administrației, sănătății și infrastructurilor critice au fost înregistrate anul trecut.
Numărul incidentelor de phishing, fraudă și compromitere a conturilor a crescut puternic, atacurile ransomware au înregistrat o majorare de peste 153%, iar infrastructurile publice și private au fost vizate de campanii tot mai sofisticate, alimentate de inteligența artificială, deepfake, spoofing telefonic și exploatarea vulnerabilităților software.
DNSC apreciază că, la nivel de 2025, nivelul general al amenințării cibernetice în România a fost „ridicat”. Instituțiile publice, companiile din energie, sănătate, transporturi, telecomunicații, sectorul financiar și industria alimentară au fost expuse unor atacuri care au combinat vulnerabilități tehnice cu manipularea utilizatorilor.
Phishingul - principalul vector de atac
În 2025, DNSC a înregistrat 4.975 de incidente de tip phishing, față de 2.917 în 2024. Creșterea este de 70,6%, iar phishingul a ajuns să reprezinte 36,09% din totalul incidentelor raportate către Directorat și citate de news.ro.
Atacurile nu mai sunt construite, în principal, prin mesaje evidente, pline de greșeli gramaticale și imagini rudimentare. Potrivit raportului, infractorii au început să trimită mesaje redactate corect în limba română, cu elemente grafice care reproduc fidel identitatea vizuală a unor bănci, instituții publice sau companii cunoscute.
E-mailul nu mai este singurul canal utilizat. Campaniile sunt distribuite simultan prin servicii de mesagerie, rețele sociale și platforme de comunicare. Un mesaj primit pe WhatsApp poate trimite utilizatorul către o pagină falsă de autentificare, iar datele introduse acolo pot fi folosite ulterior pentru fraude financiare sau pentru preluarea contului.
Un rol tot mai important îl joacă inteligența artificială. Instrumentele de generare automată a textului pot produce mesaje convingătoare, personalizate și adaptate limbajului victimei. În unele situații, atacatorii pot imita inclusiv stilul de comunicare al unui coleg, al unui superior sau al unui reprezentant al unei instituții.
Fraudele au crescut cu 91%
Incidentele de fraudă și tentativă de fraudă au crescut de la 2.061 în 2024 la 3.937 în 2025, ceea ce reprezintă o majorare de 91%. Fraudele reprezintă 28,56% din totalul incidentelor raportate.
O parte dintre atacuri presupun impersonarea unor instituții financiare, autorități sau angajați ai unor companii. Victima este sunată de pe un număr care pare legitim și este informată, de exemplu, că există o tentativă de fraudă pe contul său. Pentru „blocarea” operațiunii, i se solicită date personale, coduri de autorizare sau instalarea unei aplicații.
În alte cazuri, atacatorii se prezintă drept polițiști, procurori, reprezentanți ai băncilor sau angajați ai unor companii de curierat. Scopul este același: obținerea unor date sau determinarea victimei să transfere bani.
Unele fraude au utilizat coduri QR și transferuri către portofele de criptomonede accesate prin terminale ATM.
Compromiterea conturilor a crescut de peste patru ori
Cea mai spectaculoasă creștere a fost înregistrată în cazul incidentelor de compromitere a conturilor. Numărul acestora a crescut de la 248 în 2024 la 1.125 în 2025, adică o majorare de 353%.
DNSC explică faptul că multe dintre cazuri au fost generate de campanii de inginerie socială derulate prin aplicații de mesagerie. Una dintre metodele utilizate a fost mesajul care invita victima să voteze pentru o persoană într-un concurs online. După accesarea linkului, utilizatorului i se solicita introducerea unui cod de autentificare WhatsApp sau a altor date care permiteau preluarea contului.
Odată obținut accesul, atacatorii puteau trimite mesaje frauduloase către lista de contacte a victimei. În acest fel, atacul se multiplica, deoarece mesajul venea de la un număr cunoscut și părea credibil.
La baza fenomenului se află și reutilizarea parolelor. O parolă folosită pe mai multe platforme poate fi testată automat de infractori după ce apare într-o bază de date compromisă. Această tehnică, cunoscută drept credential stuffing, nu presupune exploatarea unei vulnerabilități tehnice complexe, ci folosirea unor parole deja furate.
DNSC indică drept problemă și lipsa autentificării multifactor sau configurarea deficitară a acesteia. O parolă puternică nu este suficientă dacă un cont poate fi accesat doar prin introducerea unei singure credențiale.
Ransomware-ul a crescut cu peste 153%
Ransomware-ul a rămas una dintre cele mai grave amenințări pentru organizațiile din România. În 2025, DNSC a gestionat 256 de incidente majore de acest tip, iar comparativ cu anul precedent, categoria a crescut cu peste 153%.
Atacurile au afectat 22 de instituții publice, 115 persoane fizice și 119 persoane juridice sprijinite de Directorat. Modelul predominant a fost Ransomware-as-a-Service, prin care infrastructura și instrumentele de atac sunt dezvoltate de un grup, iar operațiunile sunt efectuate de afiliați.
Această descentralizare face ca atacurile să fie mai ușor de multiplicat. Un grup poate pune la dispoziție malware-ul, infrastructura de comandă și metodele de criptare, în timp ce alți atacatori identifică victimele și lansează operațiunile.
Printre grupările monitorizate în România se numără LockBit, RansomHub, KillSec, Akira, Qilin, Safepay, Fog și Lynx. Unele sunt asociate sau aliniate cu Federația Rusă, însă în mai multe cazuri originea exactă nu a putut fi confirmată.
Producătorul CocoRico, afectat de gruparea Akira
Unul dintre atacurile analizate de DNSC a vizat compania Aaylex ONE SA, cunoscută prin brandul CocoRico. Societatea, care are peste 2.000 de angajați și operează în 36 de locații din nouă județe, a fost afectată de un atac atribuit grupării Akira.
Atacul a perturbat activități esențiale precum contabilitatea, producția, operațiunile și accesul la serverele de fișiere. DNSC estimează că accesul inițial a fost obținut, cel mai probabil, prin exploatarea unei vulnerabilități care afectează interfețele web ale unor produse Cisco Adaptive Security Appliance și Cisco Firepower Threat Defense.
Intervenția specialiștilor a permis recuperarea a peste 66% dintre fișierele criptate. Printre datele recuperate s-au aflat baze de date necesare pentru continuitatea serviciilor operaționale.
Atacul asupra Primăriei Capitalei
Un alt incident important a vizat Primăria Municipiului București. Potrivit raportului DNSC, atacatorii au exploatat o vulnerabilitate de tip SQL injection a serverului GIS expus public și a bazei de date asociate.
După compromiterea inițială, atacatorii au efectuat mișcare laterală în infrastructură și au ajuns la serverul Active Directory. Acolo au creat un cont de administrator, ceea ce le-a asigurat persistența în rețea.
Contul a fost folosit ulterior pentru accesarea serverului Microsoft Exchange și implantarea fișierului Sliver.exe, un instrument utilizat pentru operațiuni de exfiltrare și menținerea accesului într-o infrastructură compromisă.
Specialiștii DNSC au identificat și eliminat programul malițios. Directoratul a transmis, de asemenea, recomandări pentru securizarea sistemelor și a adreselor de email.
O săptămână de blocaj la Apele Române
Administrația Națională Apele Române a fost afectată de un atac ransomware care a blocat aproape întreaga activitate a instituției, inclusiv activitatea structurilor teritoriale. Potrivit DNSC, instituția nu și-a putut desfășura normal activitatea timp de aproximativ o săptămână.
În urma intervenției, specialiștii au recuperat integral datele de pe un server al Administrației Bazinale de Apă Jiu și baza de date SQL Hidrolog, utilizată de dispeceri. Analiza tehnică a fost documentată într-un raport de investigații digitale.
Incidentul arată vulnerabilitatea instituțiilor care depind de sisteme informatice centralizate și care nu dispun de suficiente mecanisme de continuitate operațională. În cazul unor atacuri asupra administrației publice, consecințele nu se limitează la pierderea unor fișiere, ci pot afecta direct serviciile oferite populației.
Energie, cercetare și sănătate
Complexul Energetic Oltenia a raportat un atac ransomware care a afectat aproximativ 20 de stații de lucru și 45 de servere. Rețeaua operațională nu a fost afectată, iar producția nu a fost perturbată.
Institutul Național de Cercetare-Dezvoltare pentru Ecologie Industrială a fost, de asemenea, victima unui atac ransomware.
Într-un caz care a vizat compania Junior Group din Constanța, analiza criminalistică a indicat implicarea grupării LockBit. Datele criptate nu au putut fi recuperate. DNSC a stabilit că societatea folosea programe software piratate, inclusiv pentru servere și securitate, fapt care a facilitat accesul atacatorilor.
Centrele de transfuzie sanguină din Maramureș și Craiova au fost compromise prin atacuri atribuite LockBit 4.0.
O fraudă de peste 20.000 de euro prin compromiterea e-mailului
Atacurile nu au urmărit doar criptarea fișierelor. Uneori, infractorii au încercat să controleze conversațiile comerciale și să redirecționeze plăți.
Un astfel de caz a fost documentat la Tohan SA, companie din grupul industrial ROMARM, care activează în producția de armament, muniție și echipamente pentru sectorul militar.
Atacatorii au compromis două adrese de email ale companiei și au configurat reguli de redirecționare a mesajelor. Prin această metodă au putut să intercepteze conversații și să modifice documente transmise între parteneri.
În urma atacului, compania a efectuat transferuri bancare neautorizate în valoare totală de 20.148 de euro. DNSC a identificat mai multe programe malițioase de tip spyware și infostealer și a transmis recomandări privind securizarea sistemelor și a adreselor de email.
Acest tip de atac este dificil de observat, deoarece mesajele pot continua să circule aparent normal. Atacatorul nu trebuie să blocheze sistemele. Este suficient să monitorizeze conversațiile și să intervină în momentul în care apare o factură sau o instrucțiune de plată.
Peste 25 de milioane de evenimente detectate de senzorii DNSC
Senzorii instalați sau configurați de DNSC au înregistrat în 2025 un total de 25.307.028 de evenimente relevante de securitate cibernetică. Numărul este apropiat de cel din 2024, când au fost înregistrate 25.567.341 de evenimente, dar structura amenințărilor s-a modificat.
Cele mai multe evenimente au fost asociate încercărilor de penetrare prin campanii de phishing: 7.251.708, față de 941.076 în 2024. Creșterea indică o intensificare majoră a campaniilor automate de phishing.
Au fost detectate și 5.879.193 de încercări de penetrare prin brute-force, 5.315.696 de scanări pentru colectarea de informații și 4.282.152 de evenimente asociate traficului nejustificat, utilizat pentru identificarea vulnerabilităților.
Încercările de penetrare prin exploatarea unor vulnerabilități au crescut de la 14.590 în 2024 la 292.117 în 2025. Și traficul provenit de la adrese IP cu reputație îndoielnică a crescut, de la 860.790 la 1.034.700 de evenimente.
Datele DNSC indică o concentrare mai pronunțată a activităților malițioase în ultima parte a anului. Directoratul apreciază că această evoluție reflectă atât atacuri automatizate și campanii coordonate, cât și utilizarea unor vectori mai sofisticați.
Băncile și curierii, cele mai vizate sectoare
Sectorul bancar a fost cel mai afectat, cu 71,09% din incidentele raportate în funcție de sectorul economic. Majoritatea au fost atacuri de phishing care au vizat utilizatorii serviciilor financiar-bancare.
Serviciile poștale și de curierat au fost al doilea sector ca număr de incidente, cu atacuri care au exploatat în special încrederea clienților. Mesajele false despre colete, taxe de livrare sau adrese incomplete au fost folosite pentru a colecta date bancare.
Infrastructurile pieței financiare au reprezentat 6,34% din incidente, iar administrația publică 3,13%. Sectorul energetic a reprezentat 2,90%, sănătatea 2,30%, transporturile 1,43%, iar infrastructura digitală 0,78%.
Deși sectorul energetic a înregistrat un număr mai mic de incidente, DNSC subliniază că impactul potențial al acestora este mult mai mare. O compromitere a sistemelor IT sau OT poate afecta continuitatea unor servicii esențiale.
În sănătate, atacurile ransomware și SQL injection au fost printre cele mai relevante. DNSC a transmis recomandări de remediere către 129 de organizații în urma identificării unor vulnerabilități și credențiale expuse.
Peste 43.000 de vulnerabilități exploatabile, semnalate instituțiilor
În 2025, DNSC a monitorizat aproximativ 317.000 de înregistrări disponibile prin programul Common Vulnerabilities and Exposures, administrat de MITRE și urmărit inclusiv de agențiile internaționale de securitate.
Directoratul a informat 2.020 de instituții publice și operatori de servicii esențiale despre peste 43.000 de vulnerabilități exploatabile identificate în infrastructuri IT&C expuse public. Notificările au vizat și scurgeri de date sensibile distribuite prin canale precum Telegram, WhatsApp, Signal sau alte platforme online.
DNSC a analizat în detaliu 121 de vulnerabilități cu severitate ridicată sau critică, imediat după publicarea acestora. În urma analizelor, au fost emise și transmise 253 de informări către entități publice și private.
Directoratul a identificat, de asemenea, 734 de adrese IP vulnerabile sau caracterizate printr-un nivel de risc foarte ridicat. Entitățile afectate și, după caz, furnizorii de hosting au fost notificați pentru a putea începe remedierea.
Printre vulnerabilitățile critice analizate s-au numărat probleme care permit executarea de cod de la distanță, ocolirea autentificării sau obținerea privilegiilor de administrator în produse și platforme utilizate pe scară largă. Lista a inclus soluții Cisco, Fortinet, Microsoft SharePoint, Oracle Identity Manager, Wazuh, pgAdmin, Kibana și alte produse enterprise.
În sănătate, principalele probleme sunt lipsa personalului specializat, controlul incomplet al infrastructurii IT și expunerea la ransomware. În administrația centrală și locală, DNSC a identificat lipsa unor planuri clare de răspuns și notificare, precum și riscuri asociate infrastructurii învechite și culturii de securitate deficitare.
În sectorul apei potabile au fost semnalate parole implicite, slabe sau partajate, instruire insuficientă și reacții întârziate la incidente. În industria alimentară, un atac ransomware poate bloca producția, depozitarea și distribuția, iar dependența de furnizori terți poate amplifica efectele.
Alegerile prezidențiale, supravegheate în regim de criză
Alegerile prezidențiale din mai 2025 au determinat o mobilizare specială a DNSC, într-un context caracterizat de volum ridicat de conținut electoral, dezinformare online și campanii coordonate.
Directoratul a participat la Echipa Lucrări Campanie Online, constituită la Biroul Electoral Central. Zece experți DNSC au contribuit la procesarea a peste 5.800 de decizii privind conținutul electoral online.
În paralel, un task force intern a analizat peste 1.600 de conturi suspecte de pe TikTok, Facebook și Instagram. Dintre acestea, 103 au fost identificate ca având un comportament posibil automatizat și au fost raportate platformelor.
DNSC a elaborat o metodologie pentru analiza comportamentului neautentic pe platformele online de dimensiuni foarte mari și a creat o bază de date cu peste 1.400 de conturi verificate.
În zilele critice ale alegerilor, echipa CSIRT națională a asigurat monitorizarea infrastructurii digitale și răspunsul la incidente în regim permanent. Activitatea a fost desfășurată în colaborare cu Autoritatea Electorală Permanentă, Serviciul de Telecomunicații Speciale și Ministerul Afacerilor Interne.
Directoratul a analizat inclusiv conținuturi electorale suspecte, campanii de dezinformare și comportamente artificiale din jurul conturilor candidaților, folosind platformele OSAVUL și EXOLYT.
În ziua turului al doilea, DNSC a sprijinit gestionarea comunicării oficiale a Autorității Electorale Permanente pe platforma X. Au fost formulate și recomandări privind digitalizarea fluxului de soluționare a sesizărilor, utilizarea unor instrumente de analiză bazate pe inteligență artificială și profesionalizarea echipelor mixte.
Infractorii pretind acum că sunt polițiști și reprezentanți ai unei bănci, se folosesc de date reale pentru a convinge persoanele apelate că altcineva încearcă să contracteze credite în numele lor, apoi le solicită să facă anumite transferuri de bani din aplicația bancară.
Directoratul Național de Securitate Cibernetică explică faptul că înșelăciunea începe cu un apel telefonic, în care infractorii pretind că sunt polițisti și susțin că cineva încearcă să contracteze credite în numele persoanei apelate.
Pentru a părea credibili, atacatorii folosesc date personale reale, trimit pe WhatsApp legitimații și documente falsificate și încearcă să creeze panică, susținând că persoana apelată este implicată într-un dosar de fraudă.
Victimei i se spune că este nevoie “să protejeze” banii din conturi și că, pentru acest lucru, trebuie să urmeze instrucțiunile unui presupus reprezentant al unei bănci sau al unei instituții financiare.
Apelul esste transferat către un alt infractor, care pretinde că este angajat al băncii sau al unei instituții oficiale. În acest moment, victima este convinsă să deschidă aplicația de banking și să facă anumite operațiuni, “să solicite credite, să retragă bani sau să efectueze transferuri pentru protejarea fondurilor”.
De regulă, scopul este ca victima să transfere ea însăși banii către conturile controlate de infractori. Aceștia îi pot spune că transferul este necesar pentru “securizarea sau blocarea” temporară a banilor, însă, în realitate, banii ajung în conturile lor.
Experții DNSC au recomandări:
Nu furnizați date personale, bancare sau coduri de autentificare prin telefon.
Nu urmați instrucțiuni primite telefonic privind transferuri de bani.
Dacă aveți suspiciuni, închideți apelul și contactați direct instituția respectivă prin canalele oficiale.
Potrivit reprezentanților ARB, în ultima perioadă au fost semnalate mai multe tentative de fraudă în mediul antreprenorial, în care fraudatorii s-au prezentat drept reprezentanți ai ANAF, ai Casei Naționale de Asigurări de Sănătate și ai unor bănci comerciale.
Astfel, invocând proceduri de rambursare de TVA sau a contribuțiilor la sănătate, datorii către ANAF, fraudatorii solicită acces la aplicațiile de Internet Banking prin funcții de partajare a ecranului și îi determină pe clienți să furnizeze datele de acces la aplicația de Internet Banking sau să facă diverse transferuri către conturi indicate.
Asociația Română a Băncilor recomandă reprezentanților companiilor să țină cont de următoarele sfaturi pentru evitarea fraudelor și pentru protejarea fondurilor și a securității operațiunilor financiare:
- să nu ofere niciodată acces la aplicațiile de Internet sau Mobile Banking;
- să nu instaleze aplicații la solicitarea unor persoane necunoscute;
- să nu furnizeze datele bancare, parole sau coduri de securitate;
- să nu acceseze linkuri primite din surse suspecte;
- să verifice orice solicitare primită în numele unei instituții publice sau a unei bănci exclusiv prin canalele oficiale.
În cazul în care o persoană sau o companie suspectează o tentativă de fraudă sau a fost deja victima unei astfel de scheme, este recomandată contactarea imediată a băncii și sesizarea autorităților competente.
”Infractorii exploatează încrederea mediului de afaceri în instituțiile publice și în sectorul bancar, utilizând tehnici de inginerie socială pentru a determina victimele să ofere acces la conturi sau la dispozitivele utilizate pentru operațiuni bancare. Fraudatorii contactează telefonic reprezentanții companiilor sau trimit link-uri false care par a veni de la instituțiile publice, pretinzând că reprezintă ANAF și CNAS, și invocă proceduri de rambursare de TVA sau a contribuțiilor la sănătate, respectiv datorii către ANAF. Sub pretextul acordării de sprijin, victimele sunt manipulate să instaleze aplicații și să ofere acces la telefonul mobil și/sau la laptop. În urma acestor acțiuni, infractorii pot realiza transferuri din conturile companiilor fraudate”, arată ARB.
Sursa citată subliniază că băncile și instituțiile publice nu solicită acces la aplicațiile de Internet sau Mobile Banking, la ecranul dispozitivului sau instalarea unor aplicații pentru realizarea de rambursări sau verificări ale conturilor.
Asociația Română a Băncilor recomandă consultarea platformei Siguranța Online (www.sigurantaonline.ro), unde sunt disponibile ghiduri și informații utile despre principalele tipuri de fraude digitale și metodele de prevenire a acestora.
Recent, și Banca Națională a României (BNR) a atras atenția publicului asupra asocierii frauduloase a numelui BNR cu website-ul https://credora-romania.com/ , care pretinde, în mod fals, că poate oferi produse de creditare în baza unei licențe BNR.
Instituția avertizează publicul că în registrele ținute de banca centrală nu există înregistrată vreo entitate cu denumirea CREDORA.
Lista entităților bancare și de tip IFN aflate în registrele BNR poate fi consultată aici.
BNR solicită publicului să verifice lista entităților bancare și a IFN-urilor înscrise în registrele BNR înainte de a da curs ofertelor de creditare.
Mugur Isărescu a fost recent protagonistul unui deepfake, cu șeful Bitdefender
Postările folosesc fraudulos imaginea guvernatorului BNR pentru a convinge publicul să depună bani într-un sistem fals de investiții financiare bazat pe inteligența artificială și să își divulge datele personale.
Conținutul video fraudulos promovează o oportunitate falsă de investiții folosind imaginea guvernatorului BNR și afirmații privind un presupus parteneriat cu Florin Talpeș, CEO Bitdefender.
Banca centrală subliniază că nu face recomandări și propuneri de investiții.
”În ultima săptămână, în mediul online a fost publicată o nouă serie de postări tip deepfake care îl implică pe guvernatorul Băncii Naționale a României, Mugur Isărescu.
Conținutul video fraudulos promovează o oportunitate falsă de investiții folosind imaginea guvernatorului BNR și afirmații privind un presupus parteneriat cu Florin Talpeș, CEO Bitdefender”, anunță BNR.
Postările folosesc fraudulos imaginea guvernatorului BNR pentru a convinge publicul să depună bani într-un sistem fals de investiții financiare bazat pe inteligența artificială și să își divulge datele personale.
Potrivit Bitdefender, reclamele susțin că platforma este integrată în programul național de dezvoltare digitală al României și că reprezintă o decizie oficială pentru cetățenii români.
Utilizatorii care dau click pe reclame sunt redirecționați către romania-investition[.]info, unde aplicația falsă de investiții este prezentată sub denumirea Profit Gold Românesc, pagina de destinație fiind construită pentru a imita o platformă financiară oficială.
”Reiterăm faptul că Banca Națională a României nu face recomandări și propuneri de investiții”, subliniază banca centrală.
Comunicările oficiale ale Băncii Naționale a României în mediul online se realizează exclusiv prin website-urile bnr.ro, și conturile instituției pe rețelele sociale LinkedIn, X, Instagram, Bluesky și YouTube.
”În cazul în care ați interacționat cu astfel de materiale sau site-uri false, vă recomandăm să NU furnizați date personale și să raportați imediat aceste situații autorităților competente. Informații privind tentativele de fraudă în numele BNR puteți găsi aici, iar ghiduri despre cum vă puteți proteja în mediul online sunt disponibile pe website-ul Directoratului Național de Securitate Cibernetică (https://dnsc.ro/doc/ghid)”, subliniază BNR.
Și la mjlocul lunii februarie în mediul online au fost publicate postări tip deepfake care îl implică pe guvernatorul Băncii Naționale a României, Mugur Isărescu.
Mugur Isărescu a mai fost protagonistul unui deepfake în anul 2024.
