Directoratul Național de Securitate Cibernetică și-a publicat raportul de activitate pe 2025, aprobat prin Hotărârea CSAT nr. 117 din 7 august 2026. Spre deosebire de rapoartele globale de amenințări, acesta descrie ce s-a întâmplat efectiv în România, la organizații care seamănă cu a ta. Merită citit ca listă de priorități, nu ca statistică.
Cifrele principale:
- 25.307.028 de evenimente relevante de securitate cibernetică înregistrate de senzorii DNSC în 2025.
- 7.251.708 tentative asociate campaniilor de phishing, față de 941.076 în 2024 — o creștere de aproape opt ori.
- Aproximativ 5,88 milioane de tentative de tip brute force.
- Incidente ransomware: +153% față de 2024, cu 256 de incidente majore gestionate, care au afectat 22 de instituții publice, 119 persoane juridice și 115 persoane fizice.
- Incidente de phishing: 4.975, în creștere cu 70,6%.
- Compromiteri de conturi: 1.125, față de 248 în 2024 — o creștere de 353%.
- Incidente de brute force: 47, față de 172 în 2024 — o scădere de 72,7%.
Cele mai multe incidente au vizat sectorul bancar, serviciile poștale și de curierat, infrastructura pieței financiare, instituțiile publice și companiile strategice, inclusiv din industria de apărare.
Cifra care contează nu e cea mai mare
Titlurile din presă s-au oprit la „25 de milioane de evenimente". Aceasta este însă cifra cel mai puțin utilă din raport, pentru că un eveniment detectat de senzor nu înseamnă o victimă. Informația operațională se află în comparația dintre tentative și incidente reale.
Aproape 5,88 milioane de tentative de brute force au produs 47 de incidente. Cu alte cuvinte, controalele tehnice care contracarează ghicirea parolelor — blocarea conturilor, limitarea ratei de încercări, MFA, expunerea redusă a RDP și a interfețelor de administrare — funcționează. Numărul de incidente a scăzut cu 72,7% într-un an în care volumul tentativelor a rămas masiv. Acesta este un succes real al igienei tehnice din ultimii ani.
În aceeași perioadă, compromiterea conturilor a crescut cu 353%, iar phishing-ul cu 70,6%.
Concluzia este directă: atacatorii au încetat să mai spargă parole și au început să le ceară. Când ușa din față este încuiată, ținta devine persoana care are cheia. Faptul că aceleași cifre apar în același raport, în direcții opuse, nu este o coincidență — este o mutare de resurse din partea atacatorilor, vizibilă în datele unei singure țări.
Ce înseamnă asta pentru un program de securitate în 2026
Dacă bugetul tău de securitate pentru anul viitor se împarte în continuare majoritar către controale de perimetru, raportul DNSC îți spune că investești în lupta pe care ai câștigat-o deja, în timp ce pierzi teren pe cea care a înlocuit-o.
1. MFA rezistent la phishing, nu doar MFA. Creșterea de 353% a compromiterii conturilor arată că autentificarea în doi pași bazată pe cod SMS, cod din aplicație sau notificare push nu mai este suficientă pentru conturile cu privilegii. Aceste metode pot fi interceptate în timp real printr-un portal adversary-in-the-middle. Passkey-urile și cheile de securitate FIDO2 nu pot fi transmise mai departe de utilizator către atacator, pentru că sunt legate criptografic de domeniul real. Prioritizează-le pe conturile de administrare, pe accesul la sistemele financiare și pe conducerea executivă.
2. Program de conștientizare măsurat pe comportament, nu pe participare. Articolul 20 din NIS 2 face conducerea răspunzătoare personal și cere instruire, inclusiv pentru membrii conducerii. Un program care raportează „92% dintre angajați au finalizat cursul" nu răspunde la întrebarea relevantă. Întrebarea relevantă este câți angajați au raportat mesajul suspect, în cât timp, și dacă echipa de răspuns a acționat pe baza raportării. Rata de raportare este un indicator mai util decât rata de click, pentru că măsoară apărarea, nu doar eșecul.
3. Simulări de phishing care seamănă cu ce se întâmplă în realitate. Volumul de 7,25 milioane de tentative înregistrate arată campanii automatizate la scară industrială. O simulare de phishing construită pe un scenariu generic de tip „factură atașată" nu mai reflectă amenințarea. Scenariile care contează acum sunt cele care au produs incidentele din raport: mesaje care imită bănci și firme de curierat, portaluri false de autentificare Microsoft 365, phishing prin cod de dispozitiv și cereri de consimțământ OAuth. Sectorul bancar și cel de curierat sunt cele mai imitate în România — dacă simularea ta nu le folosește, testezi altceva.
4. Ransomware: testează recuperarea, nu backup-ul. Cele 256 de incidente majore de ransomware nu s-au produs prin criptografie spectaculoasă, ci prin acces obținut cu credențiale valide sau prin servicii expuse nepatchuite. Diferența dintre un incident costisitor și unul catastrofal se vede la recuperare. Un backup care există nu este același lucru cu un backup izolat de rețea, protejat împotriva ștergerii de către un cont pe care atacatorul îl poate obține, și restaurat efectiv într-un test, cu timpul măsurat și comparat cu obiectivul de recuperare asumat.
5. Inventarul suprafeței de atac externe. Instituțiile publice și companiile strategice apar constant în lista victimelor. În practică, punctul de intrare este de obicei un serviciu pe care nimeni nu-l mai revendica: un VPN vechi, o interfață de administrare expusă, un mediu de test lăsat public, un server preluat de la un furnizor. Un test de penetrare extern pornește exact de aici, din perspectiva atacatorului, nu din diagrama de rețea.
Ce verifici printr-un test de penetrare, concret
Un raport de amenințări îți spune ce li s-a întâmplat altora. Un test de penetrare îți spune dacă ți se poate întâmpla ție. Aplicat la tiparele din raportul DNSC, testarea ar trebui să răspundă la întrebări specifice:
- Ce servicii ale organizației sunt accesibile din internet și care dintre ele nu apar în inventarul oficial?
- Un cont de utilizator obișnuit compromis prin phishing permite escaladarea către drepturi de administrator de domeniu, și în câți pași?
- MFA-ul implementat rezistă la un atac de tip adversary-in-the-middle, sau doar la ghicirea parolei?
- Segmentarea rețelei limitează efectiv mișcarea laterală, sau este documentată dar neaplicată?
- Infrastructura de backup poate fi accesată sau ștearsă din segmentul în care ajunge un atacator după compromiterea unei stații de lucru?
Pentru organizațiile care intră sub incidența NIS 2, aceste răspunsuri sunt și dovezi. Un audit de securitate și checklist-ul NIS 2 și DORA ajută la maparea posturii actuale față de obligațiile de reglementare, iar managementul riscului uman acoperă exact zona în care raportul DNSC arată cea mai mare deteriorare.
Întrebarea la care să răspunzi săptămâna aceasta
Nu „am fost atacați?" — cu 25 de milioane de evenimente înregistrate la nivel național, răspunsul este da, indiferent de dimensiunea organizației.
Întrebarea utilă este alta: dacă un angajat introduce astăzi credențialele și codul de MFA într-un portal fals care imită banca sau Microsoft 365, cât durează până cineva observă, și ce poate face atacatorul cu acel cont în intervalul respectiv? Dacă nu poți răspunde cu dovezi — un exercițiu rulat, un timp măsurat, un raport de test — atunci raportul DNSC descrie deja și viitorul tău incident.
Acest articol are caracter informativ general și nu constituie consultanță juridică sau de reglementare. Obligațiile care decurg din NIS 2 depind de sectorul, dimensiunea organizației și de legislația națională de transpunere (OUG nr. 155/2024 în România).
Surse: Raport privind activitatea DNSC în anul 2025 — JURIDICE.ro; AGERPRES, 14 august 2026; Economedia; Mediafax; DNSC. Cifrele sunt cele preluate din raportul public DNSC și din relatările de presă ale acestuia.