În decembrie 2024, ransomware a criptat aproximativ 1.000 de sisteme IT din zece dintre cele unsprezece administrații bazinale de apă ale Administrației Naționale „Apele Române". Serverele GIS, domeniile Active Directory, serviciile de email și web au căzut. Atacatorul a folosit BitLocker — un instrument legitim Windows — ca vector de criptare și a cerut contact în șapte zile.
Sistemele OT care controlează barajele și infrastructura hidrotehnică nu au fost afectate. Dar asta nu s-a întâmplat dintr-un design deliberat de izolare. DNSC a constatat după incident că autoritatea funcționa în afara sistemului național de apărare cibernetică. Lacuna de integrare care a permis această situație să persiste ani de zile este exact ceea ce NIS 2 este conceput să închidă.
4.148 de controlere care răspund pe portul 44818
Pe 30 iulie 2026, Censys a publicat un instantaneu al echipamentelor industriale expuse pe internet. Scanul a identificat 4.148 de controlere Rockwell/Allen-Bradley care răspund pe portul 44818 — portul standard al protocolului EtherNet/IP folosit de majoritatea PLC-urilor Rockwell moderne. Din acestea, 59% se aflau pe rețele de operatori mobili: Verizon Business, AT&T Mobility și T-Mobile USA. Modemurile celulare de la stații de pompare, substații și facilități municipale sunt cel mai frecvent motiv pentru care un PLC ajunge cu IP public.
O analiză separată a Forescout Vedere Labs, publicată pe 3 august 2026, a identificat 4.407 de controlere Rockwell expuse la nivel global și a localizat 22 dintre ele în orașe unde utilități de apă sau canalizare raportaseră atacuri cibernetice în săptămânile imediat anterioare. 19 dintre acele 22 de controlere rulau firmware vulnerabil la CVE-2017-16740 — o vulnerabilitate cu scor Rockwell CVSS 8.6, publicată în 2017 și neaplicată după nouă ani.
Cel mai comun dispozitiv: unitățile MicroLogix 1400, care reprezintă aproximativ jumătate din sistemele expuse.
Ce permite un port EtherNet/IP expus fără niciun exploit
Portul 44818 nu este o consolă de administrare în sensul obișnuit. EtherNet/IP funcționează prin CIP (Common Industrial Protocol), iar în configurația implicită — fără autentificare și fără criptare, care lipsesc în majoritatea instalațiilor de teren — un atacator care ajunge la portul 44818 poate face următoarele fără să folosească nicio vulnerabilitate:
Citește identitatea dispozitivului. Orice echipament EtherNet/IP răspunde la interogări de identitate cu numele produsului, modelul și versiunea de firmware — necriptat și fără autentificare. Acesta nu este un bug; este protocolul care funcționează cum a fost proiectat. Pentru un atacator, înseamnă un inventar complet al echipamentelor tale și al vulnerabilităților aplicabile.
Scrie în controller. În funcție de configurația dispozitivului, operațiunile CIP pe portul 44818 pot permite unui atacator să schimbe configurația IP, să seteze parole sau să modifice logica de control. În iulie 2026, atacatorii au accesat sistemele de control ale peste 30 de utilități municipale de apă din Minnesota conectându-se direct la porturile EtherNet/IP expuse și emițând comenzi CIP. Au modificat configurațiile IP și au blocat operatorii. Nu a fost folosit niciun exploit.
Accesează servicii adiacente. În datele Censys, pe aceiași hosți cu EtherNet/IP expus se aflau și 771 de instanțe VNC expuse (acces direct la interfața HMI), 292 de servicii Modbus și 280 de servicii Telnet. Un singur modem celular de la o stație de pompare izolată poate expune simultan mai multe straturi de infrastructură OT.
Obligațiile NIS 2 pentru utilități — ce înseamnă statutul de entitate esențială
Conform NIS 2, operatorii de sisteme de alimentare cu apă și de canalizare care depășesc pragul de dimensiune — cel puțin 50 de angajați sau cifra de afaceri anuală de peste 10 milioane de euro — sunt clasificați ca entități esențiale. Aceasta este categoria mai strictă dintre cele două definite de directivă.
Transpunerea în România — prin OUG nr. 155/2024 și consolidată prin Legea nr. 124/2025, cu Ordinele DNSC nr. 1/2025 și nr. 2/2025 în vigoare din 20 august 2025 — aduce pentru entitățile esențiale două diferențe față de entitățile importante: supravegherea este proactivă (DNSC poate solicita audituri și dovezi ale controalelor implementate fără să aștepte un incident) și sancțiunile sunt mai mari: până la 10.000.000 euro sau 2% din cifra de afaceri anuală globală, oricare e mai mare, plus răspunderea personală a conducerii conform articolului 20 din directivă.
Substanța obligațiilor pentru utilități include:
- Inventarul de active: fiecare sistem din perimetru — inclusiv echipamentele OT și sistemele de control industrial, nu doar infrastructura IT.
- Controale de acces: autentificare pentru accesul de la distanță la sistemele OT; gestionarea accesului furnizorilor de mentenanță și al integratorilor.
- Segmentarea rețelei: rețelele IT și OT trebuie separate. Un modem celular care plasează un PLC direct pe internet nu este o arhitectură conformă NIS 2.
- Raportarea incidentelor: alertă timpurie la DNSC în 24 de ore, notificare completă în 72 de ore, raport final în o lună pentru incidentele semnificative.
- Securitatea lanțului de aprovizionare: obligațiile se extind la furnizorii și integratorii cu acces la mediul OT, inclusiv la cei care asigură mentenanța de la distanță.
Incidentul de la Apele Române a arătat concret ce înseamnă absența acestor controale: o autoritate națională cu infrastructură critică funcționa fără integrare în sistemul de monitorizare cibernetică. NIS 2 face această integrare obligatorie, nu opțională.
Ce acoperă un test de securitate industrial pentru o utilitate de apă
Termenul „pentest" într-un context OT nu înseamnă același lucru ca într-un context web. Un test de securitate industrial la o utilitate de apă începe de obicei cu întrebările care precedă orice verificare tehnică:
- Există un inventar de active care include fiecare PLC, HMI, stație de inginerie, server historian și echipament de rețea din mediul OT?
- Sunt sistemele OT accesibile din rețeaua IT? De pe internet?
- Cum se conectează furnizorii de mentenanță — acces direct la internet spre OT, VPN site-to-site sau exclusiv fizic on-site?
- Când au fost revizuite ultima dată versiunile de firmware ale controlerelor față de advisoriile publicate?
De acolo, descoperirea la nivel de rețea cartografiază ce servicii sunt accesibile din ce zone. Interogările de identitate EtherNet/IP, polling-ul Modbus și analiza pasivă a traficului scot la suprafață dispozitive care nu apar în nicio bază de date de configurații. Căile de acces de la distanță ale furnizorilor sunt trasate și testate pentru goluri de autentificare. Stațiile de inginerie — adesea mașini Windows cu acces direct la PLC-uri, actualizate la intervale de ani — sunt verificate pentru statusul patch-urilor și căile de escaladare locală a privilegiilor.
Scopul nu este perturbarea producției. Este producerea unui inventar care corespunde realității și identificarea căilor prin care un atacator cu acces la rețea ar putea ajunge la un controller.
Testarea de penetrare OT/ICS acoperă exact acest perimetru — de la cartografierea suprafeței de atac externe, prin testarea segmentării, până la verificarea accesului la nivel de controller, structurată în jurul cerințelor de inventar și control al accesului din NIS 2.
De unde să începi dacă nu ai început încă
Contextul românesc adaugă o presiune specifică ușor de ignorat. Incidentul din decembrie 2024 nu a vizat OT. A vizat sisteme IT care se întâmplau să funcționeze în aceeași organizație cu OT. Absența separării IT/OT și absența organizației din monitorizarea națională au însemnat că un compromis IT era la un pas de a deveni un compromis OT.
NIS 2 nu cere o utilitate de apă să aibă securitate perfectă. Cere un program documentat de gestionare a riscurilor, un inventar de active verificabil, controale de acces definite și capacitatea de a detecta și raporta un incident când se produce. Pentru multe utilități municipale din România, primul pas este stabilirea ce sisteme există și care dintre ele sunt accesibile din internet.
Consultați lista de verificare NIS 2 / DORA pentru măsurile complete aplicabile entităților esențiale și documentația necesară pentru demonstrarea conformității.
Informație generală, nu consultanță juridică. Obligațiile specifice de conformitate depind de clasificarea organizației și de stadiul curent al legislației secundare românești sub NIS 2.
Surse: The Hacker News și Forescout Vedere Labs — analiza expunerii controlerelor Rockwell/Allen-Bradley EtherNet/IP (august 2026); Censys — APT cu afiliere iraniană care vizează PLC-uri Rockwell (30 iulie 2026); BleepingComputer și Security Affairs — incidentul ransomware de la Apele Române (decembrie 2024); advisory comun FBI/CISA/NSA/EPA/DOE/US Cyber Command privind vizarea PLC-urilor din sectorul apei (aprilie 2026); declarație DNSC post-incident (decembrie 2024).