Știri - Hackout | Portalul Atacurilor Cibernetice din România

Despre atacul cibernetic asupra ANCPI. Datele scoase la vânzare. Cine este în spatele atacului?

Echipa Hackout.ro — Fri, 17 Jul 2026 17:21:15 +0000

TL;DR

De marți, 14 iulie 2026, sistemele Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI) – inclusiv platforma e-Terra și infrastructura de e-mail – sunt nefuncționale, în urma unui atac cibernetic pe care instituția l-a descris inițial drept „incident tehnic major”.

Pe 15 iulie, un actor care folosește alias-ul bytetobreach a scos la vânzare, pe o platformă specializată în comerțul cu date furate, informații pe care le prezintă drept sustrase din rețelele ANCPI, inclusiv cod sursă al aplicațiilor instituției, și a revendicat inclusiv desfășurarea unui ransomware și ștergerea backup-urilor.

ANCPI susține că datele administrate nu au fost compromise. SecurityPatch.ro a reușit să contacteze direct persoana care își asumă atacul. Echipa Hackout.ro a corelat informațiile publice disponibile despre incident, inclusiv câteva surse de threat intelligence, și le prezintă mai jos.

Intro

Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) se confruntă cu ceea ce instituția însăși descrie drept cel mai grav incident tehnic din istoria sa. Toate sistemele informatice ale agenției – inclusiv platforma e-Terra, folosită pentru cadastru și carte funciară, dar și infrastructura de e-mail – au căzut, lăsând notarii, avocații și cadastriștii fără posibilitatea de a elibera extrase de carte funciară sau planuri cadastrale. Practic, o mare parte din tranzacțiile imobiliare din România sunt încă blocate.

De la „incident tehnic” la atac cibernetic recunoscut

Primele comunicări oficiale au vorbit despre un „incident tehnic major”. A doua zi, însă, ANCPI a confirmat public că este vorba, de fapt, despre un atac cibernetic – cel mai amplu din istoria instituției. Agenția a transmis că datele pe care le administrează „sunt în siguranță și nu au fost compromise”, precizând că circumstanțele sunt investigate de autoritățile competente. Directoratul Național de Securitate Cibernetică (DNSC) a confirmat că a fost notificat pe 14 iulie.

Estimările inițiale ale ANCPI vizau o revenire a e-Terra până la finalul săptămânii respective. În realitate, la trei zile distanță, sistemul continua să fie nefuncțional pentru cetățeni, notari și instituții financiare deopotrivă. (surse: Digi24, HotNews, Antena 3, SecurityPatch.ro)

Datele, scoase la vânzare pe 15 iulie

Lucrurile au luat o turnură mai gravă pe 15 iulie, când o investigație Public Record a arătat că un hacker a scos deja la vânzare, pe o platformă specializată în comerțul cu date obținute din breșe, informații pe care le prezintă drept furate din rețelele ANCPI – inclusiv, susține el, cod sursă al aplicațiilor folosite de instituție. Anunțul de vânzare avea un titlu provocator la adresa României, iar în capturile de ecran publicate atacatorul afirmă că a început deja să șteargă backup-urile disponibile ale sistemelor compromise – practic copiile de rezervă menite să permită restaurarea datelor în cazul unui incident.

Compania israeliană de securitate cibernetică Kela, citată în mai multe investigații, descrie persoana din spatele atacului ca pe un actor cu experiență tehnică, care ar fi comercializat anterior date sensibile provenite de la companii aeriene, bănci și instituții guvernamentale din mai multe state — printre țintele anterioare fiind menționate Ucraina, Cipru, Polonia, Chile, SUA, Uzbekistan și Kazahstan.

Poziția publică a ANCPI rămâne, cel puțin oficial, neschimbată: instituția susține că datele administrate nu au fost compromise, o afirmație care contrazice direct materialul publicat de presupusul atacator.

Platforma de threat intelligence Dark Web Informer a confirmat, independent, apariția anunțului: actorul care folosește alias-ul bytetobreach revendică un compromis extins al rețelei interne ANCPI, susținând că a sustras atât date cadastrale ale cetățenilor, cât și repository-uri de cod sursă ale sistemelor critice, și că ar fi desfășurat ransomware în infrastructura agenției. Platforma marchează însă explicit revendicarea drept neconfirmată și subliniază riscurile pe termen lung pentru cetățenii afectați – fraudă, infracțiuni legate de proprietăți și furt de identitate – în cazul în care datele sunt reale.

În paralel, aceeași listare a fost identificată și pe alte forumuri specializate în comerțul cu date obținute din breșe.

(surse: Public Record, Digi24, Antena 3, Mediafax, Dark Web Informer)

Deși ANCPI nu a confirmat public nici criptarea de fișiere, nici un atac de tip ransomware, o simplă căutare pe Google (site:ancpi.ro encrypted) arată că motorul de căutare a indexat deja, pe domeniul ancpi.ro, mai multe fișiere standard de WordPress cu extensia suplimentară „.encrypted” – printre care wp-load.php.encrypted, wp-config.php.encrypted, wp-trackback.php.encrypted, readme.html.encrypted și license.txt.encrypted, unele datate 15 iulie 2026, ora 20:36. Practic, chiar fișierele publice ale site-ului web al instituției par să fi fost criptate de un ransomware și au rămas, ulterior, expuse și indexate ca atare. Alte publicații, precum Ziare.com și Business24.ro, au ajuns independent la aceeași concluzie, pe baza acelorași indicii vizibile public. Este un detaliu relevant, pentru că vine în contradicție cu narativul oficial conform căruia „datele administrate de instituție nu au fost compromise” – cel puțin la nivelul infrastructurii web publice, urmele criptării sunt vizibile de oricine, fără nicio scanare sau acces neautorizat, printr-o simplă căutare.

O posibilă cerere de răscumpărare

HotNews a relatat, citând o sursă la curent cu incidentul, că autoritățile cercetează inclusiv posibilitatea ca gruparea din spatele atacului să fi transmis o cerere de răscumpărare. Alte publicații au menționat că printre fișierele compromise s-ar afla și un program de tip ransomware introdus în sistemele ANCPI – un detaliu neconfirmat oficial, dar consistent cu criptarea unor fișiere semnalată în capturile publicate de atacator.

(surse: HotNews, Cotidianul, ZF)

Interviul cu ByteToBreach

Pe fondul acestor informații contradictorii,Daniel Pitiș, de la SecurityPatch.ro, a reușit să contacteze direct persoana care își asumă atacul, sub pseudonimul ByteToBreach. Din discuția purtată prin mesagerie, cu condiția anonimatului, reies câteva detalii relevante:

Punctul de intrare ar fi fost o vulnerabilitate „simplă”, fără a fi vorba despre un exploit de tip 0-day sau ceva sofisticat; restul atacului ar fi presupus pivotare laterală într-o rețea descrisă drept „uriașă, cu multe subrețele”.
Atacatorul susține că datele au fost copiate din mai multe surse din rețea, iar unele fișiere au fost criptate – însă bazele de date principale ar fi fost doar exfiltrate, nu și criptate.
A negat orice motivație politică sau legătură cu un grup statal, respingând explicit ideea unei implicări rusești.
Afirmă că acționează independent, nu în cadrul unui grup, și spune că este activ în domeniu de aproximativ 16 ani.
Ca „răscumpărare”, cere de la ANCPI un salariu în schimbul asistenței pentru decriptarea fișierelor – o cerere neobișnuită față de formatul clasic al unei sume unice, dar care sugerează totuși intenția de a negocia.
Întrebat despre impactul asupra cetățenilor ale căror date de proprietate sunt ținute în sistemul compromis, a spus că regretă situația, dar consideră că responsabilitatea este „împărțită și de guvern”.

Autenticitatea integrală a afirmațiilor nu poate fi verificată independent, iar ele contrazic parțial poziția oficială a ANCPI. Rămân, în esență, varianta atacatorului asupra propriilor fapte.

(sursă: SecurityPatch.ro — interviu cu ByteToBreach, de Daniel Pitiș)

Fișierele publicate de atacator

Odată cu revendicarea atacului, a apărut și un folder distribuit public, prezentat drept conținând fișiere exfiltrate din rețeaua ANCPI – printre care, potrivit informațiilor disponibile, și credențiale de acces.

Sursa: [h][t][t][p][s][:]//drive.google.com/drive/folders/1fa5ml2BBGEbiXk5RJR6_byrs-1YxP__U

Contractul de 2,5 milioane de lei pentru securitate cibernetică

O investigație separată, realizată tot de Public Record și preluată de ZF, a scos la iveală faptul că ANCPI derulează, din 2019, două acorduri-cadru pentru servicii de securitate informatică, ambele atribuite firmei IT About IT SRL – primul în valoare de aproape 950.000 de lei, al doilea, din 2023, de aproximativ 1,5 milioane de lei, cu o durată de 48 de luni. Conform documentelor citate, timpii de intervenție contractuali pentru incidente „critice” erau de doar două ore, iar pentru cele „majore”, de opt ore. Aceeași investigație notează însă că textul contractual nu conține prevederi clare despre recuperarea datelor în cazul unui atac reușit și nu face nicio referire explicită la un sistem de backup, ci doar la carantinarea fișierelor suspecte.

(surse: Public Record, ZF, Mediafax)

Pe hârtie, deci, ANCPI nu a stat deloc rău: bugete alocate an de an, contracte-cadru semnate, timpi de răspuns definiți contractual, presupunem și proceduri trecute prin SEAP, poate și câteva rapoarte de audit de conformitate depuse la timp. Și totuși, sistemul a picat trei zile, iar un atacator descris chiar de el însuși ca folosind „o vulnerabilitate simplă” a reușit să pivoteze liber într-o rețea guvernamentală întreagă. Asta e, de fapt, esența problemei: degeaba cumperi tool-uri de securitate dacă nu le implementezi corect, și degeaba faci audituri dacă ele există doar ca să bifezi o cerință de conformitate, nu ca să găsească – și să și repare – problemele reale. Un contract de mii de pagini și o factură de 2,5 milioane de lei nu opresc un atac dacă, în spate, patch-urile nu se aplică, rețeaua nu e segmentată și nimeni nu testează realist ce s-ar întâmpla dacă cineva chiar ar încerca să intre.

Securitatea cibernetică nu e un document semnat sau o linie bugetară – e ceea ce se întâmplă efectiv, zi de zi, în infrastructură. Iar când o instituție care administrează dreptul de proprietate al tuturor cetățenilor României cade timp de trei zile în fața unei vulnerabilități descrise drept banale, nu mai e un incident izolat de IT.

Ne afectează pe toți, indiferent dacă avem sau nu o tranzacție imobiliară în curs chiar acum – pentru că următoarea instituție care va pica din aceleași motive s-ar putea să fie una de care chiar depindem în acel moment.

Nu este un caz izolat

Incidentul de la ANCPI se înscrie într-un val mai larg de atacuri asupra infrastructurii digitale a statului român. HotNews a semnalat că, în aceeași perioadă, și platforma de plăți Ghișeul.ro a fost vizată de tentative de atac, iar un oficial a avertizat public că orice instituție „trebuie să pornească mereu de la premisa că poate fi o victimă”. În decembrie 2025, Administrația Națională Apele Române fusese, la rândul ei, ținta unui atac cibernetic ce a afectat circa 1.000 de sisteme informatice.

(surse: HotNews, Mediafax)

Ce urmează

Pentru moment, rămân deschise mai multe întrebări esențiale: care este amploarea reală a datelor exfiltrate, dacă acestea includ informații cu caracter personal ale cetățenilor sau doar componente de infrastructură și cod sursă, și dacă statul român va negocia în vreo formă cu atacatorul. Până la publicarea unui raport oficial post-incident din partea ANCPI și a autorităților de securitate cibernetică, singurele surse de informație rămân investigațiile jurnalistice, sursele de threat intelligence și materialele publicate chiar de presupusul autor al atacului.

Ceea ce se conturează deja, indiferent de rezultatul investigației, este un tipar familiar în breșele care lovesc infrastructura critică din România: nu neapărat o operațiune sofisticată sprijinită de un stat, ci vulnerabilități cunoscute, într-o rețea guvernamentală vastă și insuficient segmentată – o problemă de igienă cibernetică de bază, nu de sofisticare a atacatorului.

Indicatori & surse

http[:]//bytetobreach[.]com
bytetobreach[.]online
bytetobreach[.]xyz
https://whitehat.ng/advisories/breachgate-advisory/
https[:]//spear.cx/Thread-Selling-RO-Thy-arss-shall-be-spanked-Romania-ANCPI
- https[:]//drive.google.com/drive/folders/1fa5ml2BBGEbiXk5RJR6_byrs-1YxP__U
- https[:]//www.mediafire.com/folder/zhid15c…A_CADASTRI
- https[:]//drive.google.com/drive/folders/1…sp=sharing
- https[:]//ln5.sync.com/dl/c51992de0#q84wu7…7-98k9g3fp
https[:]//pwnforums.st/Thread-DATABASE-RO-Thy-arss-shall-be-spanked-Romania-ANCPI
https://darkwebinformer.com/romanian-land-registry-agency-ancpi-allegedly-breached-and-hit-with-ransomware-citizen-data-and-source-code-for-sale/

Screenshot-urile de pe forumul unde atacul a fost revendicat

The post Despre atacul cibernetic asupra ANCPI. Datele scoase la vânzare. Cine este în spatele atacului? first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Campanie masivă de smishing cu notificări false în numele Ghișeul.ro

Muresan Alin — Fri, 22 May 2026 21:43:43 +0000

TL;DR

O campanie masivă și extrem de agresivă de tip smishing (phishing prin SMS) vizează în aceste saptamani cetățenii români, sub masca platformei oficiale Ghișeul.ro. Atacatorii trimit notificări false privind presupuse „amenzi de circulație” neplătite, amenințând cu blocarea ITP-ului, afectarea dosarului de credit sau remorcarea mașinii. Linkurile din mesaje direcționează către site-uri clonă (ex: din Indonezia) pentru a fura datele cardurilor bancare. Nu accesați linkul și nu răspundeți la mesaje!

Contextul atacului: Zeci de raportări interne și alertă națională DNSC

Ingineria socială rămâne una dintre cele mai eficiente arme ale criminalității cibernetice, mai ales când este adaptată perfect la contextul legislativ și administrativ local. În ultimele saptamani, doar în comunitatea Hackout au fost înregistrate peste 30 de raportări ale acestei tentative de fraudă, semnalând un atac coordonat la scară largă.

Gravitatea situației a fost confirmată și de Directoratul Național de Securitate Cibernetică (DNSC), care a emis o avertizare oficială cu privire la aceste mesaje ce au ca scop principal compromiterea financiară a victimelor.

Cum funcționează capcana? Scenarii și exemple reale

Atacatorii folosesc mesaje trimise în valuri, redactate într-un limbaj care imită terminologia juridico-administrativă pentru a induce panica și a forța o plată rapidă. Iată cele două scenarii principale identificate de experți:

Exemplul 1 – Amenințarea administrativă (Cel mai frecvent întâlnit):

„【Ghiseul.ro】- Notificare de Soluționare Finală a Amendelor de Circulație. Stimate Proprietar de Vehicul: Sistemul nostru a detectat încălcări ale regulilor de circulație restante… Vă rugăm să finalizați plata înainte de ora 24:00 pe 20 mai. Impact asupra Dosarului de Credit… Impact asupra Inspecției Vehiculelor (blocare ITP)… Punctele de pe permis se pot dubla. Canal de Procesare: https://ghiseul.web.id/pay. Introduceți „1” și redeschideți mesajul pentru a vizualiza fotografiile…”

Exemplul 2 – Amenințarea fizică (Avertisment DNSC):

„Ați fost sancționat cu o amendă rutieră. Plățile restante. Vă rugăm să achitați urgent suma accesând linkul de mai jos…”

Mecanismul de fraudare pas cu pas

Dacă o victimă cedează presiunii și interacționează cu mesajul, lanțul de compromitere arată astfel:

Validarea numărului de telefon (Capcana „Răspunde cu 1”): Solicitarea de a trimite cifra „1” pentru a vizualiza presupuse dovezi foto/GPS este o momeală. Singurul scop tehnic al acestui pas este de a confirma atacatorilor că numărul de telefon este activ și monitorizat de o persoană reală. Asta transformă victima într-o țintă pentru viitoare campanii.
Redirecționarea web: Linkul falsificat redirecționează utilizatorul către o pagină clonată, care copiază identitatea vizuală a platformei Ghișeul.ro.
Colectarea datelor vehiculului: Pagina falsă cere inițial introducerea numărului de înmatriculare.
Furtul financiar: Imediat după introducerea datelor mașinii, sistemul fals generează o „amendă” instantanee (de obicei în cuantum de aproximativ 150-200 RON) și solicită urgent datele cardului bancar pentru achitare. Datele sunt transmise direct serverelor controlate de hackeri.

Analiza Indicatorilor de Compromitere (IOCs)

Domenii frauduloase: Platforma oficială a statului român este exclusiv ghiseul.ro. Orice altă variație este o fraudă. În campania actuală, a fost identificat domeniul ghiseul.web.id. Extensia .id aparține Indoneziei, iar atacatorii folosesc frecvent subdomenii de tipul .web.id deoarece pot fi înregistrate ieftin și rapid.
Sancțiuni legislative inventate: Din punct de vedere legal, o simplă amendă de circulație neplătită nu duce la suspendarea automată a ITP-ului, la raportări către Biroul de Credit sau la dublarea instantanee a punctelor de penalizare prin intermediul unui SMS. Urgența (ex: plata până la ora 24:00) este pilonul principal al ingineriei sociale.

Cum te protejezi?

Verifică mereu sursa oficială: Dacă ai suspiciuni că ai putea avea o amendă, accesează manual www.ghiseul.ro direct din browserul tău, conectează-te cu datele tale și verifică secțiunea de taxe și impozite.
Regula de aur a SMS-urilor: Nu da click și nu răspunde! Nu interacționa cu numărul expeditorului. Orice reply îți validează numărul în baza lor de date. Șterge mesajul imediat.
Protecție la nivel de browser: Recomandăm instalarea extensiei DNSC Blacklist Protection, un instrument gratuit care blochează automat accesul către domeniile malițioase și de phishing deja identificate la nivel național.
Ce faci dacă ai căzut victimă? Dacă ai accesat linkul și ai introdus datele cardului bancar, contactează imediat banca emitentă pentru a bloca instrumentul de plată. Ulterior, raportează incidentul la numărul de telefon 1911 (telefonul unic de urgență al DNSC) și înregistrează raportul pe platforma Hackout pentru a ajuta la avertizarea comunității.

Nu lăsa panica să dicteze acțiunile online. Rămâi informat și ajută-i pe cei din jur, în special pe persoanele mai în vârstă sau mai puțin tehnice, să recunoască aceste amenințări. #SecuritateCibernetica #Hackout

The post Campanie masivă de smishing cu notificări false în numele Ghișeul.ro first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Frauda „Digital Wallet Enrollment”

Muresan Alin — Sat, 10 Jan 2026 14:07:20 +0000

Portofelele digitale, noua frontieră a fraudelor bancare: Cum funcționează schema „Apple Pay/Google Pay”

O nouă formă de criminalitate informatică face ravagii în rândul posesorilor de carduri din România. Dacă până acum atacatorii se mulțumeau să fure datele cardului pentru a face cumpărături online, noua metodă vizează înrolarea completă a cardului victimei în portofelul digital al atacatorului.

Recent, o alertă majoră a fost emisă de instituțiile bancare și documentată de portalurile de știri precum Ziare.com, semnalând o creștere alarmantă a cazurilor în care clienții rămân fără economii prin tranzacții efectuate direct cu telefonul de către atacatori.

La Hackout, am descompus acest atac pentru a înțelege de ce este mult mai periculos decât phishing-ul clasic.

1. „Cârligul”: Mesajul de smishing (SMS)

Totul începe cu un SMS care exploatează un sentiment de urgență sau o curiozitate. Atacatorii impersonează servicii de curierat (Fan Courier, Sameday), instituții de stat (ANAF, Poșta Română) sau chiar banca ta.

Mesajul te anunță că „un colet a fost suspendat” sau că „există o problemă la contul bancar” și îți cere să accesezi un link pentru a rezolva situația prin plata unei sume modice (de obicei câțiva lei).

2. Capcana: Pagina clonă și colectarea datelor

Odată accesat link-ul, ești direcționat către o pagină care vizual este identică cu cea a băncii tale sau a unui procesator de plăți cunoscut.

În acest moment, utilizatorul crede că efectuează o plată legitimă de 2-5 lei. În realitate, atacatorul preia aceste date în timp real și le introduce în propria aplicație Apple Pay sau Google Pay pe telefonul său.

3. Momentul critic: Înrolarea în Digital Wallet

Aici apare marea diferență față de fraudele vechi. Atunci când atacatorul introduce cardul tău în telefonul lui, banca îți trimite un cod prin SMS sau o notificare de tip 3D Secure.

ATENȚIE: Mesajul de la bancă nu spune „autorizează plata de 5 lei”, ci spune clar „Cod pentru înrolarea cardului în Apple Pay” (sau Google Pay).

Dacă victima introduce acest cod pe site-ul fals, ea nu confirmă plata de 5 lei, ci oferă atacatorului controlul total asupra cardului. Din acest moment, cardul tău este în telefonul atacatorului, iar acesta poate plăti oriunde, fără a mai avea nevoie de alte coduri de confirmare, deoarece tranzacțiile prin portofel digital sunt deja considerate „verificate”.

4. De ce este această metodă atât de periculoasă?

Spre deosebire de o tranzacție online singulară, înrolarea în portofelul digital permite atacatorului:

Să facă plăți repetate la POS în magazine fizice oriunde în lume.
Să retragă numerar de la bancomate contactless.
Să ocolească limitele standard de tranzacționare, deoarece plata prin portofel digital este considerată biometrizată (autorizată prin FaceID/Fingerprint pe telefonul atacatorului).

5. Checklist de protecție „Zero Trust”

Pentru a nu deveni o victimă, Hackout îți recomandă să fii extrem de vigilent la următoarele detalii:

Citește textul SMS-ului de confirmare: Banca specifică întotdeauna pentru ce este codul. Dacă scrie „înrolare card” sau „Apple Pay/Google Pay” și tu doar voiai să plătești o factură, STOP! Este o fraudă.
Verifică URL-ul: Nicio bancă nu îți va cere datele cardului pe un domeniu care nu este cel oficial (ex: bcr-confirmare.net în loc de bcr.ro).
Nu introduce datele cardului pentru sume mici: Dacă un serviciu de curierat îți cere 2 lei pentru „reprogramare”, verifică mai întâi în aplicația oficială a curierului.
Activează notificările Push: Folosește aplicația băncii pentru a monitoriza tranzacțiile în timp real.

Concluzie

Criminalitatea informatică se adaptează rapid la noile tehnologii de plată. Comoditatea portofelelor digitale este acum arma principală a atacatorilor. Nu uita: codul de confirmare este „cheia” către banii tăi. Odată predată, hoțul are acces direct în buzunarul tău digital.

Sfat final: Dacă ai introdus datele cardului pe un site suspect, blochează cardul imediat din aplicația bancară și contactează banca pentru reemiterea acestuia.

The post Frauda „Digital Wallet Enrollment” first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Cum să detectezi „cabanele fantomă” și ofertele fictive din turismul de iarnă. Revelion în siguranță.

Muresan Alin — Wed, 24 Dec 2025 18:13:14 +0000

Context

Sărbătorile de iarnă declanșează un fenomen psihologic bine documentat în rândul specialiștilor în securitate cibernetică: Urgența Artificială. Pe măsură ce disponibilitatea cabanelor din zone populare precum Poiana Brașov, Predeal sau satele tradiționale din Maramureș scade, utilizatorii tind să ignore semnele de alarmă în speranța de a „prinde” o ultimă ofertă convenabilă.

Atacatorii cibernetici au evoluat dincolo de simplele anunțuri postate pe grabă. În sezonul 2024-2025, observăm un mix sofisticat de inginerie socială, automatizare prin AI și platforme de publicitate legitime folosite pentru a crea iluzia unei afaceri sigure.

La Hackout, am analizat mecanismele din spatele acestor „țepe” de sezon pentru a te ajuta să rămâi în siguranță.

1. Anatomia unei „Cabane Fantomă”: Dincolo de pozele spectaculoase

Schema începe, invariabil, cu elementul vizual. Escrocii descarcă fotografii de înaltă rezoluție de pe platforme imobiliare de lux din țări precum Elveția, Austria sau chiar din portofoliile unor arhitecți de renume. Acestea sunt prezentate ca fiind locații din România, la prețuri care sfidează logica economică a sezonului de vârf.

O metodă tot mai des întâlnită este multi-rezervarea fictivă. Atacatorul închiriază aceeași locație inexistentă către 10-20 de grupuri diferite pentru același interval de Revelion. Fiecare grup trimite un avans generos (între 30% și 50%), iar „proprietarul” menține comunicarea activă pe WhatsApp până în pragul sărbătorilor, când toate numerele de telefon sunt dezactivate simultan.

Exemple reale: Percheziții la Șotrile și „fantomizarea” Predealului: Când vacanța se termină la Poliție

Anul acesta, escrocheriile nu mai sunt doar povești pe forumuri, ci dosare penale cu intervenții ale mascaților. Recent, pe 18 decembrie, liniștea din localitatea Șotrile (Prahova) a fost spartă de polițiștii care au descins la locuința unui tânăr de 26 de ani.

Acesta reușise să convingă familii din București și Teleorman să-i vireze avansuri de câte 4.000 de lei pentru o vilă superbă în Săcele. Metoda era simplă și brutală: poze „împrumutate” de pe net, o voce convingătoare la telefon și o dispariție subită imediat ce confirmarea de plată apărea în aplicația bancară. (Sursa: ProTV)

Nici Predealul nu a scăpat de „infecția” fraudelor. Cazul „Cabana Volcri” a lăsat 15 prieteni în stradă. Deși anunțul arăta impecabil, un detaliu tehnic ar fi putut salva situația: pagina de Facebook era administrată dintr-o locație din Vietnam. Pozele? Aparțineau unei cabane reale, dar situată la sute de kilometri distanță, în Bucovina. (Sursa: Antena 3 CNN)

Sfat Hackout: Dacă o cabană de lux pentru 12 persoane este disponibilă cu doar trei săptămâni înainte de Revelion la un preț de „early booking”, probabilitatea unei fraude este de peste 95%. Cererea în această perioadă depășește cu mult oferta reală.

Inteligența Artificială, noul „complice” din spatele recenziilor perfecte

Dacă înainte recunoșteai o țeapă după greșelile gramaticale, astăzi, grație AI-ului, textele sunt impecabile. DNSC avertizează că atacurile de tip phishing au crescut cu 900% în calitate.

Escrocii folosesc acum ChatGPT pentru a genera mii de recenzii false, extrem de specifice. Nu mai scriu doar „a fost frumos”, ci detalii care să te prindă: „Am apreciat că gazda ne-a lăsat lemne de fag gata tăiate pentru grătar și că ciubărul era deja la 38 de grade când am ajuns”. Totul este generat sintetic pentru a-ți dezarma instinctul de conservare.

Mai mult, aceștia cumpără pe „piața neagră” conturi de Facebook vechi de 10-15 ani. Când vezi un anunț postat de un profil creat în 2012, tinzi să ai încredere. În realitate, este doar un cont furat și „curățat” special pentru sezonul de iarnă.

Capcana din interiorul Booking.com: Tactica „ClickFix”

Poate cea mai perfidă metodă de anul acesta vizează chiar platformele mari. Nu mai ești scos de pe site, ci ești atacat direct în chat-ul oficial al aplicației.

Cum funcționează? Atacatorii infectează calculatorul unui hotel real cu un malware (infostealer). Odată ce au acces la panoul de administrare, îți trimit un mesaj oficial: „Plata a eșuat. Reintrodu datele cardului în 2 ore sau pierzi rezervarea”.

Deoarece mesajul vine de la hotelul unde chiar ai rezervat, pe canalul oficial, mulți turiști cad în capcană și își introduc datele bancare pe o pagină clonă care arată identic cu Booking.com. (Sursa: DNSC)

2. Ingineria Socială: Furtul de date și recenziile AI

Atacatorii nu vor doar banii tăi, ci și datele tale de identitate. Sub pretextul întocmirii unui „contract legal de închiriere”, aceștia solicită adesea fotografii ale buletinului. Aceste date sunt ulterior tranzacționate pe forumurile de Dark Web sau folosite pentru a crea identități false în alte scheme de fraudă online.

Mai mult, pentru a combate scepticismul, escrocii folosesc Inteligența Artificială pentru a genera sute de recenzii pozitive care par autentice. Acestea includ detalii specifice („gazda a lăsat lemne suficiente pentru ciubăr”, „drumul a fost curățat de zăpadă”), menite să creeze o falsă stare de siguranță pentru potențiala victimă.

3. Mecanismul de plată și rolul „Money Mules”

Este esențial să înțelegem de ce escrocii insistă pe transferul bancar direct (IBAN) sau transferuri tip Revolut către numere de telefon. O plată efectuată prin card pe o platformă securizată permite procedura de chargeback (recuperarea sumei în caz de fraudă). Transferul bancar autorizat de tine, însă, este aproape imposibil de anulat.

Banii ajung de obicei în conturile unor „Money Mules” (cărăuși de bani) — persoane care își închiriază conturile bancare către rețelele criminale. De acolo, fondurile sunt transferate imediat în criptomonede sau retrase la bancomate din alte orașe sau chiar țări, făcând urma banilor imposibil de urmărit în timp util pentru bănci.

4. Checklist Tehnic: Verificări obligatorii înainte de orice plată

Nu te baza pe instinct; folosește instrumente digitale pentru a valida orice ofertă care pare prea bună pentru a fi adevărată:

Verificarea Domeniului (Whois): Folosește site-uri precum ro sau who.is. Dacă agenția pretinde că este pe piață de 5 ani, dar site-ul a fost înregistrat acum 14 zile, oprește orice interacțiune.
Căutare Inversă de Imagini: Încarcă pozele cabanei în Google Lens. Dacă aceeași casă apare ca fiind un hotel de lux din Alpii Elvețieni, ai confirmat frauda.
Verificarea CUI-ului (Cod Unic de Înregistrare): Dacă ți se oferă o factură proformă, verifică firma pe portaluri de tip ro. Verifică dacă obiectul de activitate are legătură cu turismul și dacă firma nu este recent înființată sau radiată.
Google Street View: Caută adresa exactă. Dacă la locația indicată Street View arată un teren viran sau o construcție în paragină, escrocheria este evidentă.

Tipuri de phising:

Atenție la mesajele care vin prin WhatsApp/SMS sub masca platformelor mari (Booking/Airbnb) cerând „re-validarea cardului” printr-un link extern pentru a nu pierde rezervarea de Revelion. Nicio platformă serioasă nu cere acest lucru. Link-ul te va duce pe o pagină clonă creată special pentru a-ți capta datele bancare în timp real.

În 2025, scammerii de Revelion au bugete de marketing, tehnologie AI și o răbdare infinită să te mintă. Nu trimite niciodată poze cu buletinul prin WhatsApp și rămâi mereu în interiorul platformelor de plată securizate.

Atenție la siguranța ta! În universul digital, un strop de scepticism este cea mai eficientă metodă de protecție.

Sărbători fericite în siguranță!

The post Cum să detectezi „cabanele fantomă” și ofertele fictive din turismul de iarnă. Revelion în siguranță. first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

React2Shell: vulnerabilitate RCE critică în React / Next.js descoperită – actualizează imediat!

Echipa Hackout.ro — Sat, 06 Dec 2025 16:48:07 +0000

Echipa Hackout.ro lucrează activ în aceste zile pentru a identifica website‑urile care folosesc tehnologia afectată, iar atunci când descoperim astfel de cazuri încercăm să contactăm proprietarii prin email pentru a-i informa.

Dacă citești acest mesaj și ai primit deja un email de la noi, găsești mai jos ce trebuie să faci și cum să înțelegi situația. Vă rugăm să distribuiți mai departe aceste resurse, pentru a ajuta la limitarea impactului vulnerabilității.

Introducere

Pe 3 decembrie 2025, echipa React a publicat un avertisment de securitate privind o vulnerabilitate gravă (scor CVSS 10.0) în implementarea server-side a React Server Components (RSC). Vulnerabilitatea, cunoscută sub numele „React2Shell”, permite executarea de cod arbitrar pe servere fără autentificare, printr-o simplă cerere HTTP POST.

Aceasta afectează nu doar React, ci şi framework-uri ce se bazează pe RSC, în special Next.js, ceea ce o face una dintre cele mai serioase amenințări recente pentru aplicațiile web moderne.

Ce este React2Shell / CVE-2025-55182 și CVE-2025-66478

Identificatori: CVE-2025-55182 pentru React, respectiv CVE-2025-66478 pentru Next.js.
Severitate: scor maxim, CVSS 10.0 – vulnerabilitate „critical” / „maximum severity”.
Componente / versiuni vulnerabile:
- Pentru React: pachetele react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack în versiunile 19.0.0, 19.1.0, 19.1.1, și 19.2.0.
- Pentru Next.js (App Router): versiunile 15.x și 16.x – precum și versiuni canary începând cu 14.3.0-canary.77.
Atenție: chiar dacă aplicația ta nu definește explicit “Server Functions”, dacă folosește React Server Components sau o versiune Next.js afectată, este potențial vulnerabilă.

Impactul și riscul existent

Prin compromiterea serverului, un atacator ar putea avea acces complet la filesystem, baze de date, credențiale interne, instaleze backdoor-uri, malware sau să exfiltreze date sensibile.
Potențialul de exploatare este foarte ridicat – chiar un “hello world” creat cu create-next-app, în varianta de producție, fără modificări extra, poate fi vulnerabil.
Conform estimărilor din industria cloud, o proporție semnificativă de medii (“workloads”) în producție rulează React/Next.js – ceea ce sugerează că expunerea este largă.

Cum poți testa aplicația ta dacă este vulnerabilă?

Instalezi Nuclei: https://docs.projectdiscovery.io/opensource/nuclei/install
Actualizezi lista de templates din nuclei cu comanda: nuclei -update
Descarcă template-ul pentru React2Shell: https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-55182.yaml
Rulează comanda:
- nuclei -u https://siteultau.ro -t ~/locatia-fisierului/CVE-2025-55182.yaml

Recomandări — ce să faci acum

Inventariază toate aplicațiile care folosesc React / Next.js / RSC în organizația ta, verifică package.json, package-lock.json / yarn.lock ca să identifici pachetele vulnerabile (react-server-dom-*, Next.js 15.x/16.x, canary 14.3.0+ etc.).
Actualizează imediat – pachetele cu patch sunt deja disponibile:
1. React: versiunile 19.0.1, 19.1.2, 19.2.1 conțin fix-ul.
2. Next.js: versiunile fixate sunt 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 și 16.0.7.
Dacă nu poți patch-ui imediat: dezactivează temporar „Server Functions” / RSC .
Implementează WAF (firewall aplicațional web) care filtrează tiparele cunoscute de exploit.

Concluzie

Vulnerabilitatea React2Shell (CVE-2025-55182 / CVE-2025-66478) este o avertizare serioasă pentru toți cei care folosesc React/Next.js cu Server Components. Din fericire, patch-urile există deja – dar timpul joacă împotrivă: fiecare moment fără actualizare crește riscul de compromis. E momentul să verifici toate aplicațiile, să actualizezi, și să implementezi mecanisme de protecție suplimentare. Informarea la timp și acțiunea rapidă pot preveni un dezastru.

Surse

The post React2Shell: vulnerabilitate RCE critică în React / Next.js descoperită – actualizează imediat! first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Slăbiciunile care lasă organizațiile expuse atacurilor cibernetice

Vlad Vlaicu — Mon, 01 Sep 2025 16:45:33 +0000

Compromiterea credențialelor și atacurile de exfiltrare a datelor rămân cele mai mari puncte slabe în apărarea cibernetică, conform celui mai nou raport Picus.

Ca profesioniști în securitate cibernetică, ne concentrăm adesea pe identificarea celor mai complexe vulnerabilități și a celor mai avansate tehnici de atac. Ne uităm la zero-day-uri, la exploit-uri sofisticate sau la campanii APT foarte bine coordonate. Cu toate acestea, realitatea arată că cele mai eficiente atacuri nu se bazează pe aceste metode avansate, ci pe puncte aparent banale: parole slabe și conturi compromise.

În ciuda investițiilor masive în infrastructură, tehnologii moderne și a eforturilor constante de conștientizare, raportul Picus Blue 2025 arată că organizațiile continuă să întâmpine dificultăți în două zone fundamentale: prevenirea spargerii de parole și detecția conturilor valide abuzate de atacatori. Datele prezentate evidențiază un contrast îngrijorător între nivelul avansat al apărărilor implementate și eficiența lor în fața unor tehnici de atac atât de vechi și banale, dar încă extrem de eficiente.

Creșterea alarmantă a atacurilor prin credențiale slabe

Ediția 2025 a Picus Blue Report, care este bazată pe cel puțin 160 de milioane de simulări de atacuri, scoate la iveală o realitate îngrijorătoare: – În 46% dintre mediile testate, cel puțin o parolă (hash) a fost spartă cu succes și transformată în text clar, față de 25% anul trecut. Acest lucru evidențiază folosirea unor politici slabe pentru parole și algoritmi de hashing depășiți. – Atacurile care folosesc conturi valide (Valid Accounts – MITRE ATT&CK T1078) au avut o rată de succes de 98%, fapt ce confirmă că autentificarea slab protejată rămâne una dintre cele mai exploatate metode de acces.

Cifrele acestea ne arată cât de ușor pot atacatorii să se infiltreze și să rămână nedetectați odată ce reușesc să pună mâna pe un set de credențiale valide.

Data exfiltration: un blind spot periculos

Raportul mai evidențiază încă o problemă critică: metodele de prevenire a exfiltrării datelor au scăzut la doar 3% eficiență, față de 9% în 2024.

Această scădere dramatică vine într-un moment în care: – atacurile de tip double-extortion ransomware (furt și publicare de date) sunt în creștere, – iar infostealer-ele s-au triplat în ultimul an, conform Red Report 2025.

Cu alte cuvinte, organizațiile sunt tot mai expuse la furtul de informații sensibile, fără să aibă soluții eficiente pentru a-l detecta sau opri.

Ransomware: BlackByte rămâne cel mai periculos

Ransomware-ul rămâne o preocupare de top, iar varianta BlackByte continuă să fie cea mai dificilă de prevenit, având o rată de succes a prevenției de doar 26%. După aceasta, urmează BabLock (34%) și Maori (41%). Aceste familii de ransomware se remarcă prin viteza cu care exploatează aplicațiile expuse public și prin tehnici de ‘double-extortion’, combinând exfiltrarea datelor cu criptarea acestora pentru a crește presiunea asupra victimelor.

Unde s-au înregistrat progrese

Sunt însă și vești bune. Simulările Attack Path Validation (APV) realizate de Picus arată o îmbunătățire vizibilă în apărarea infrastructurii interne: – compromiterea conturilor de domain administrator a scăzut de la 24% în 2024 la 19% în 2025, – iar accesul efectiv la privilegii de domain admin a scăzut de la 40% la 22%.

Rezultatele sugerează o segmentare mai bună a rețelelor și o utilizare mai matură a practicilor de validare a identității.

Recomandări cheie pentru organizațiile din România

Pentru a reduce aceste vulnerabilități, raportul celor de la Picus recomandă: 1. Validarea continuă a expunerilor – nu doar inventarierea lor, ci testarea exploatabilității reale. 2. Consolidarea apărării împotriva exfiltrării de date prin soluții Data Loss Prevention (DLP), monitorizarea traficului outbound și detecție comportamentală. 3. Politici stricte de parolare și eliminarea algoritmilor de hashing învechiți. 4. Adoptarea MFA la scară largă, nu doar pentru conturile privilegiate. 5. Testarea constantă a controalelor de securitate pentru a identifica degradările în timp. 6. Îmbunătățirea pipeline-ului de detecție – creșterea acoperirii log-urilor și transformarea lor în alerte acționabile.

Concluzie

Picus Blue Report 2025 transmite un mesaj clar: chiar dacă există progrese în anumite zone, lipsa unor controale eficiente asupra parolelor și exfiltrării datelor lasă organizațiile extrem de vulnerabile.

Pentru companiile din România, unde digitalizarea rapidă aduce beneficii dar și riscuri ridicate, acest raport este o lectură obligatorie. Investițiile în validare continuă, politici stricte de identitate și controale de date nu mai sunt opționale – ele sunt esențiale pentru a preveni următorul incident major.

“Organizațiile trebuie să adopte o mentalitate de”assume breach”, pornind de la ideea că eșecul este posibil la fiecare nivel al apărării și că aceste slăbiciuni trebuie descoperite înaintea adversarilor.” – Picus Blue Report 2025

The post Slăbiciunile care lasă organizațiile expuse atacurilor cibernetice first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Investigație: Coduri QR false pe panourile pentru parcări

Gabriel Puiu — Sun, 27 Jul 2025 15:05:58 +0000

TL;DR:

Pe 25 iulie 2025, au apărut sesizări privind stickere care au înlocuit codurile QR oficiale de plată din parcările din București. Noile coduri redirecționau utilizatorii către un site malițios, unde datele bancare introduse erau colectate și folosite pentru tranzacții frauduloase. Echipa noastră a analizat unul dintre codurile QR și a identificat mai mulți indicatori de compromitere (vezi la finalul articolului).

Intro

Pe 25 iulie, în mai multe parcări din centrul Bucureștiului, câteva stickere aparent inofensive au trecut complet neobservate de majoritatea șoferilor. În realitate, acele bucăți de hârtie acopereau codurile QR originale folosite pentru plata parcării și le înlocuiau cu unele care redirecționau utilizatorii către un website controlat de atacatori. Ce a urmat e un exemplu clar de cum ingineria socială, combinată cu infrastructură web malițioasă, poate transforma un gest banal – scanarea unui cod QR – într-un risc serios de fraudă financiară. În acest articol detaliem cum funcționează atacul, ce am descoperit în urma analizei tehnice și ce indicatori pot ajuta la detectarea acestui tip de abuz.

Surse inițiale

https://www.youtube.com/watch?v=xvm2Ziot9ys
Observator news
https://www.youtube.com/watch?v=HIZ51D2fOS4
Conform Poliției Capitalei au fost identificate panouri cu stickere false în următoarele zone: Piața Amzei, CEC – Judecătorie, Eforie, Brezoianu, Ion Câmpineanu.

Codurile QR

Atacatorii au folosit stickere albe aplicate direct peste codurile QR originale de pe panouri (figura 1). Deși bine aliniate, acestea păreau lipite în grabă — multe erau deja parțial dezlipite sau prezentau urme vizibile de deteriorare.

La scanare, codurile false nu redirecționau către platforma oficială de plată (https://pay.qport.app/p/cmpb), ci către un link generat prin scanned.page — un serviciu gratuit de creare și gestionare a codurilor QR. Acest URL ( https[:]//scanned.page/p/685b040e3a87f ) intermediar permitea atacatorului să modifice oricând destinația finală de redirecționare.

Până pe 26.07.2025, ora 02:00 AM, redirecționarea ducea către un site malițios (https[:]//209-38-122-248.cprapid.com); ulterior, redirectul a fost înlocuit cu linkul legitim QPort, semn că atacatorul a încercat să șteargă urmele și să închidă campania.

Platforma web

După scanare, utilizatorul era redirecționat către https[:]//209-38-122-248.cprapid.com. Pe lângă aspectul evident suspect al linkului, domeniul principal — cprapid.com — aparține infrastructurii CPanel, folosită pentru administrarea conturilor de hosting. Subdomeniul 209-38-122-248 este generat automat de CPanel și corespunde direct adresei IP a serverului care găzduia site-ul malițios: 209.38.122.248.

Pagina de la adresa https[:]//209-38-122-248.cprapid.com (vezi 2) imita identitatea vizuală a platformei PayByPhone — un serviciu legitim de plată a parcării disponibil în țări precum UK, Franța, Germania, Elveția, Italia, SUA și Canada. Deși acest serviciu nu operează în România, atacatorul a folosit sigla și designul pentru a părea credibil.

Site-ul afișa un formular în care utilizatorul introducea durata dorită pentru parcare (cu un preț vizibil mai mic decât cel real din București), numărul de înmatriculare și datele cardului bancar. După completare, era afișată o scurtă animație de încărcare, urmată de o solicitare de „validare a tokenului”. În realitate, datele cardului erau deja transmise, iar atacatorii le foloseau pe un alt site, în paralel, pentru a efectua plăți frauduloase.

Infrastructura atacului

Adresa IP 209.38.122.248 este un server VPS linux – ubuntu -localizat în India pe infrastructura DigitalOcean. La momentul analizei, singurele porturi deschise erau cele standard pentru CPanel, semn că instanța era minim configurată.

Atacul s-a bazat pe mai multe endpointuri web active:

https[:]//209-38-122-248.cprapid.com/index.php
https[:]//209-38-122-248.cprapid.com/gate.php
https[:]//209-38-122-248.cprapid.com/admin.php

În plus, serverul conținea resurse statice organizate în două directoare:

/img/ – conținea logo-urile: tpark, PayByPhone, Visa, American Express
/files/ – conținea fișiere precum app.css, audio.mp3, engine.js și NeutrinoAPI.php (figura 3)

Endpointul admin.php era restricționat și nu a putut fi accesat direct. Presupunem că servea drept interfață de administrare pentru atacator, posibil utilizată pentru monitorizarea activității și gestionarea datelor colectate. Accesul părea condiționat de parametri suplimentari sau autentificare.

Datele bancare completate în formularul din index.php erau transmise către endpointul gate.php. După trimitere, browserul iniția periodic requesturi către același endpoint, aparent pentru a verifica dacă serverul returnează un răspuns sau comandă nouă (figura 5) – fiecare parametru avea o comandă definită – vezi conținutul fișierului javascript mai jos.

Analiza codului sursă din index.php și /files/engine.js a evidențiat logica din spatele fluxului de interacțiune și a parametrilor utilizați, dar și mai multe comentarii scrise în limba română — un indiciu relevant privind localizarea autorului (figurile 6 și 7).

Pentru corelare, am investigat alți indicatori asociați cu gate.php, index.php și infrastructura cprapid.com. Am descoperit campanii (figurile 8, 9 și 10) similare datând din 2021 și 2025, care reutilizau aceleași fișiere (engine.js), dar fără comentarii în română. Cel mai probabil, atacatorul a adaptat scripturi și playbookuri deja existente, folosite anterior în alte regiuni, modificându-le pentru contextul local.

Lista completă a indicatorilor ce prezintă elemente similare, alături de codurile sursă ale fișierelor analizate, este disponibilă la finalul articolului.

Userul folosit pe cPanel precum si unul dintre subdomeni erau numite kakat11 (kakat11.209-38-122-248.cprapid.com – figura 11), user pe care il regasim ulterior si pe server, unde exista o baza de date numita: kakat11209381222_kaka1 .

Baza de date

Baza de date kakat11209381222_kaka1 conținea trei tabele: admin_settings, results și visits. Tabela admin_settings avea o singura valoare redirect = https://www.paybyphone.com/, indicând că atacatorul folosea redirectarea către site-ul real PayByPhone — compania pe care o imita vizual, în locul celei oficiale din București.

Tabelele visits și results stocau date despre utilizatori: accesări ale paginii și informațiile cardurilor introduse. Am identificat aproximativ 30 de IP-uri unice și peste 80 de sesiuni, toate înregistrate într-un interval scurt de 2–3 ore. Presupunem că baza de date era curățată periodic, ceea ce face imposibilă estimarea exactă a duratei campaniei sau a numărului total de victime.

Concluzii

Campania analizată nu este una singulară și, cel mai probabil, nici recentă. Am identificat indicatori identici — același design, aceleași fișiere, aceeași structură de atac — în mostre din luna mai 2025. Acest lucru sugerează că atacatorii au reutilizat același kit de phishing într-o altă zonă sau oraș, cu adaptări minime pentru contextul local.

Din analiza codului și a infrastructurii reiese un modus operandi destul de clar: VPS găzduit pe DigitalOcean, instanță CPanel configurată minimal, domenii de forma *.cprapid.com (specifice CPanel) — probabil pentru a evita detecția automată și listele de block. Codul sursă este slab scris, cu erori și implementări rudimentare, semn că a fost adaptat rapid dintr-un playbook extern, fără prea multă înțelegere a funcționalității.

Elementele din comentarii, structura bazei de date și prezența fizică necesară pentru lipirea stickerelor susțin ipoteza că autorii sunt locali. Mai mult, conform informațiilor din presă, autoritățile au deschis o anchetă și au ridicat probe, inclusiv amprente. Rămâne de văzut dacă aceste investigații vor duce la identificarea suspecților.

Este de așteptat ca astfel de atacuri să continue și să se diversifice. Codurile QR au devenit parte din interacțiunea zilnică — în parcări, restaurante, facturi, reclame — ceea ce le face o țintă ideală pentru atacuri de tip phishing fizic. Este important ca utilizatorii să verifice întotdeauna cu atenție adresa web deschisă în urma scanării unui QR, mai ales în contexte ce implică plăți.

Echipa Hackout.ro vă recomandă să rămâneți vigilenți. Orice cod QR scanat trebuie privit cu prudență — verificați cu atenție adresa web înainte de a introduce date personale sau de plată. Dacă aveți dubii, folosiți o metodă alternativă de plată sau verificați informațiile direct pe site-ul oficial al furnizorului. Nu presupuneți niciodată că un cod QR este sigur doar pentru că se află într-un spațiu public.

Indicatori

https[:]//scanned.page/p/685b040e3a87f

Endpoint-uri web:

- https[:]//209-38-122-248.cprapid.com/
- https[:]//209-38-122-248.cprapid.com/gate.php
- https[:]//209-38-122-248.cprapid.com/admin.php
- https[:]//209-38-122-248.cprapid.com/files/engine.js
- https[:]//209-38-122-248.cprapid.com/files/
- https[:]//209-38-122-248.cprapid.com/files/NeutrinoAPI.php

Domenii:

- 209-38-122-248.cprapid.com
- kakat11.209-38-122-248.cprapid.com

IP:

- 209.38.122.248

Indicatori similari / alte campanii:

Coduri sursă:

- Cod sursa engine.js https://pastebin.com/nJtAc2NM
- Cod sursa index web https://pastebin.com/WNiSWAek

The post Investigație: Coduri QR false pe panourile pentru parcări first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Administratorul XSS.is arestat la Kiev după 12 ani de activitate

Echipa Hackout.ro — Fri, 25 Jul 2025 07:01:02 +0000

Administratorul XSS.is arestat la Kiev după 12 ani de activitate

Kyiv, 22 iulie 2025 — Europol a confirmat arestarea presupusului administrator al forumului XSS.is, unul dintre cele mai vechi și influente huburi de criminalitate cibernetică vorbitoare de limbă rusă. Acțiunea a fost condusă de Poliția Franceză, cu sprijinul autorităților ucrainene și al Europol, în cadrul unei investigații lansate în 2021. (Sursa)

XSS.is (cunoscut anterior ca DaMaGeLaB) funcționa din 2013 și avea peste 50.000 de utilizatori înregistrați. Platforma era considerată unul dintre pilonii infrastructurii rusești de cybercrime, împreună cu Exploit.

Se vindeau aici:

acces la rețele corporate compromise (în special pentru grupări ransomware),
baze de date furate și informații bancare,
kituri de malware și exploit-uri,
servicii precum spălare de bani și DDoS la comandă.

Forumurile dispuneau de reputație internă și escrow — administratorul acționa ca arbitru, blocând fondurile până la confirmarea tranzacțiilor.

Suspectul, un veteran activ de aproape 20 de ani, gestiona nu doar partea tehnică, ci și relațiile de încredere între actori infracționali. Era, de asemenea, implicat în operarea thesecure.biz, o platformă de mesagerie criptată pentru infractori. Profit estimat: 7 milioane euro, din comisioane și publicitate.

Infrastructura forumului, confiscată

Autoritățile au preluat și domeniul clearnet al XSS.is. Vizitatorii sunt întâmpinați de un mesaj de sechestru emis de Brigada de Luptă împotriva Criminalității Cibernetice din Franța, cu sprijinul SBU.

Serverele confiscate conțin:

arhive de mesaje private,
portofele cripto,
adrese IP,
date de login și detalii despre tranzacții.

Acestea sunt o mină de aur pentru forțele de ordine și pot duce la noi arestări în lunile ce urmează.

Dispariția XSS.is produce:

panică în forumurile rivale (precum Exploit),
migrație haotică a utilizatorilor către alte platforme,
restructurare a relațiilor între grupări,
creștere a riscului operațional în comunicare și tranzacții.

Este o lovitură majoră în strategia europeană de demantelare a rețelelor cybercrime, urmând altor acțiuni recente, precum ofensiva împotriva grupului pro-rus NoName057(16).

NoName057(16)

Săptămâna trecută, Europol a anunțat o operațiune ce a vizat infrastructura acestui grup de tip hacktivist pro-rus. Gruparea, activă între 2024–2025, a atacat 3.776 de ținte din UE și Ucraina folosind instrumentul DDoSia, un tool Go-based susținut de voluntari. Printre ținte: guverne, transporturi, media și entități financiare.

Gruparea NoName057(16) este un colectiv pro-rus de tip hacktivist activ din ianuarie 2022, cunoscut pentru campanii masive de atacuri DDoS (nivel rețea și aplicație) împotriva instituțiilor din țări care susțin Ucraina.

Folosește instrumentul DDoSia, un tool Go-based open source, distribuit voluntarilor prin Telegram. Participanții primesc criptomonede ca recompensă.
Ținte principale: guverne, infrastructură publică, presă, transport și sector financiar din Ucraina, Polonia, Franța, Germania, Italia, Suedia, Cehia și Marea Britanie.
SUA, deși un aliat major al Ucrainei, nu a fost vizat în mod semnificativ, semn că grupul prioritizează atacuri în spațiul european.
Infrastructura lor include o rețea multi-tier C2 cu servere Tier 1 rotite frecvent (275 identificate) și Tier 2 protejate prin ACL-uri.
Au capacitate de 50+ ținte zilnic, iar ritmul atacurilor crește în funcție de evenimente geopolitice.
Nu se implică în breșe de securitate sau exfiltrare de date, ci urmărește disruptivitate și propagandă digitală.

Grupul operează public pe canale Telegram, unde anunță țintele și își promovează „succesul”. Activitatea lor este susținută ideologic și mediatic, fiind considerată o extensie informală a operațiunilor hibride ruse.

The post Administratorul XSS.is arestat la Kiev după 12 ani de activitate first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

16 Miliarde de Parole Compromise

Muresan Alin — Fri, 20 Jun 2025 09:35:45 +0000

16 Miliarde de Parole Compromise: Ce Înseamnă Cea Mai Mare Breșă de Securitate din Istorie

Pe 19 iunie 2025, cercetătorii au confirmat cea mai mare scurgere de date din istoria internetului: 16 miliarde de parole și credențiale de autentificare, afectând giganți precum Apple, Google, Facebook, dar și platforme de mesagerie, VPN sau guvernamentale. Dimensiunea acestei breșe este fără precedent și ridică nivelul de risc pentru orice utilizator digital.

Această colecție masivă de date a fost descoperită după o investigație de șase luni. Scurgerea include atât parole noi, neraportate anterior, cât și date de autentificare colectate prin malware de tip infostealer și prin exploatarea unor configurări greșite ale serviciilor cloud. Datele sunt structurate clar (site, utilizator, parolă), ceea ce facilitează exploatarea rapidă de către atacatori.

Cum s-a produs breșa?

Au fost identificate 30 de seturi uriașe de date, fiecare cu zeci de milioane până la peste 3,5 miliarde de înregistrări.
Majoritatea datelor sunt noi, neraportate anterior, colectate prin malware de tip infostealer care extrage parole, cookie-uri și tokenuri de autentificare din browsere și aplicații.
O parte din date provin din expuneri accidentale ale unor servere cloud, unde securitatea a fost configurată greșit.
Datele includ parole simple, dar și tokenuri de sesiune, informații de acces la platforme de dezvoltare, servicii bancare, email, social media și multe altele.

Fenomenul Infostealer: Motorul din Spatele Breșei

Definiția și Funcționarea

Infostealerele reprezintă o categorie de malware specializat în extragerea discretă a informațiilor sensibile de pe dispozitivele infectate. Aceste programe malițioase accesează browserele, managerii de parole și alte aplicații pentru a fura credențiale, cookie-uri de sesiune, tokeni de autentificare și date financiare. Spre deosebire de ransomware, care perturbă în mod evident activitatea sistemelor, infostealerele prosperă în obscuritate, operând fără să fie detectate.

Ecosistemul Criminal

Industria infostealerelor a evoluat într-un ecosistem sofisticat de Malware-as-a-Service (MaaS). Atacatorii de top precum Storm-2477 (dezvoltatorul Lumma Stealer) oferă servicii complete, inclusiv panouri de control pentru construirea binarelor malware și gestionarea comunicațiilor C2. Între martie și mai 2025, Microsoft a identificat peste 394.000 de computere Windows infectate global doar cu malware-ul Lumma.

Creșterea Exponențială

Statisticile din 2024 confirmă o creștere dramatică a atacurilor cu infostealer cu 58%. Check Point Software raportează că 70% dintre toate dispozitivele infectate cu infostealer sunt personale, nu corporative, indicând o strategie deliberată de vizare a politicilor BYOD (Bring Your Own Device). Această tactică permite atacatorilor să acceseze resurse corporative prin puncte de intrare aparent nevinovate.

Cine și ce este afectat?

Parole pentru conturi personale, profesionale și guvernamentale.
Date de autentificare pentru servicii bancare, email, social media, GitHub, Telegram și VPN-uri.
Informații deja comercializate pe dark web la prețuri foarte mici.
Utilizatori din întreaga lume, inclusiv România, unde infrastructura digitală este deja sub presiunea atacurilor de tip phishing și malware.

De ce este atât de grav?

Oricine poate deveni victimă: datele sunt deja folosite pentru preluarea de conturi și campanii de phishing ultra-credibile.
Atacatorii pot accesa conturi personale, email-uri, servicii bancare, rețele sociale, dar și infrastructură profesională sau guvernamentală.
Volumul și diversitatea datelor expuse fac ca riscul să fie persistent și greu de controlat în viitor.
Informațiile sunt deja tranzacționate pe dark web, ceea ce permite chiar și atacatorilor fără resurse mari să le folosească.
Se estimează că această breșă va alimenta atacuri cibernetice sofisticate pentru mulți ani de acum înainte.

Ce poți face acum?

Schimbă parolele la toate conturile importante, în special dacă ai folosit aceeași parolă pe mai multe platforme.
Activează autentificarea cu doi factori (2FA) acolo unde este posibil.
Folosește un manager de parole pentru a genera și stoca parole complexe și unice.
Fii atent la mesajele suspecte care solicită date personale sau acces la conturi.
Verifică dacă ai fost compromis folosind servicii de monitorizare a scurgerilor de date (ex: Have I Been Pwned).
Informează-ți colegii și familia despre riscuri și măsuri de protecție, pentru a limita efectele breșei la nivel de comunitate.

„Această breșă nu este doar un incident tehnic, ci un semnal de alarmă pentru toți utilizatorii digitali. Securitatea nu mai este opțională.”

Breșa de 16 miliarde de parole arată cât de vulnerabilă a devenit infrastructura digitală globală.
Acționează rapid și protejează-ți identitatea digitală!

Referințe

The post 16 Miliarde de Parole Compromise first appeared on Hackout | Portalul Atacurilor Cibernetice din România.