Инцидент с румынским земельным реестром важен не как повод для паники, а как редкий наглядный пример того, что кибербезопасность бывает вопросом непрерывности обычной жизни. Целью стала Agenția Națională de Cadastru și Publicitate Imobiliară, или ANCPI, агентство, от которого зависят кадастровые и регистрационные процессы. Когда e-Terra и связанные сервисы ушли в простой, последствия почувствовали не только айтишники: нотариусы, банки, покупатели, продавцы и граждане, которым нужны выписки о праве собственности.

Восстановление защищенного земельного реестра после кибератаки

Картина пока расследуется. Risky Business пишет, что атакующий вошёл с действительными учётными данными, изучил внутренние системы, пытался вымогать деньги, а после провала удалил production-системы и доступные резервные копии. Help Net Security и Romania Insider сообщали, что ANCPI сначала называла сбой крупным техническим инцидентом, затем подтвердила кибератаку и начала переустановку и усиление инфраструктуры. В архивном заявлении ANCPI говорится, что резервные копии хранились в нескольких местах, а техническое и уголовное расследование продолжается.

Что известно по таймлайну

Открытая часть истории начинается 14 июля, когда приложение e-Terra стало недоступно. 15 июля, по данным Public Record и threat-intelligence публикаций, в криминальном форуме появились заявления о продаже данных ANCPI. В этих заявлениях упоминались учётные данные сотрудников, внутренние документы, сведения о сети, исходный код и персональные данные. Это серьёзный сигнал, но не всё в нём является подтверждённым фактом. Недоступность сервиса наблюдаема. Заявления ANCPI официальны. Сообщения о дарквеб-постах полезны, но содержимое таких заявлений требует проверки.

К 19-20 июля ANCPI говорила уже о восстановлении: переустановка, проверка, усиление защиты и поэтапное возвращение сервисов. Агентство отдельно возражало против утверждений, что все backup copies уничтожены. Это не значит, что инцидент был безвредным. Это значит, что нужно аккуратно разделять потерю доступности, возможную утечку, попытки удаления и окончательную потерю авторитетных записей.

Почему кадастр не похож на обычную базу

Земельный реестр — это не просто приложение. Он связывает право собственности, ипотеку, налоги, наследование, строительство, судебные споры и страхование. Если система недоступна, нотариус не может удостоверить сделку, банк не регистрирует залог, покупатель не проверяет объект, а гражданин не получает документ, который доказывает его право.

Поэтому такой инцидент относится к критической инфраструктуре. У многих организаций есть backup. Гораздо меньше организаций могут доказать, что восстановление, контроль целостности, fallback-процедуры и публичная коммуникация переживут компрометацию учётных данных.

Бэкап, который может удалить атакующий, недостаточен

Главный урок не в слове “backup”, а в дизайне восстановления. Если один и тот же администратор, токен, домен или cloud account может удалить production data и резервные копии, устойчивости нет. Есть отсроченный отказ.

Рабочая схема требует разделения ролей и инфраструктуры. Backup-система не должна доверять тем же учётным данным, что ежедневное администрирование. Снимки должны быть immutable хотя бы на заданный срок. Часть копий должна жить вне зоны поражения: offline, air-gapped, WORM storage, изолированный tenant или pull-based backup, который production не может переписать. Restore drills должны проверять не “джоб зелёный”, а реальное восстановление из повреждённой среды.

Фраза ANCPI о нескольких местах хранения звучит обнадёживающе, но местоположение — не весь тест. Важнее, кто мог удалить копии, были ли они immutable, как разделены restore credentials, есть ли чистые журналы и как быстро можно восстановить сервис на новой инфраструктуре.

Тихая порча страшнее удаления

Удаление видно сразу. Опаснее сценарий, где атакующий не стирает базу, а меняет записи, корректирует timestamps, портит audit logs и ждёт, пока плохие данные попадут в историю backup. Для реестров собственности integrity так же важна, как availability.

Нужны tamper-evident logs, независимая сверка, подписанные snapshots, dual control для чувствительных операций, обнаружение необычных изменений и юридическая процедура спора. Бумажные архивы и нотариальные документы не отменяют цифровизацию, но могут быть частью доказательств, если цифровой слой оказался под вопросом.

Идея “давайте перенесём кадастр на blockchain” предсказуемо всплывает в таких обсуждениях. Но ledger не решает право, личность, согласие, мошенничество, границы участка и судебные решения. Если в систему попали неверные данные, immutable ledger отлично сохранит ошибку. Практический вывод проще: нужны независимые проверки целостности и понятные legal fallback paths.

Цифровизация должна включать degraded mode

Румынская история не является аргументом против цифровых госуслуг. Быстрые выписки, онлайн-процессы и интеграции полезны. Риск появляется, когда старые fallback-процедуры убирают раньше, чем новая цифровая система доказала восстановимость.

Критический реестр должен заранее знать, что происходит в degraded mode. Какие услуги останавливаются полностью? Что можно продолжать с отложенной регистрацией? Какие документы можно выдавать из read-only replica? Кто заверяет восстановленную запись? Как гражданам объясняют, чему можно доверять? Эти ответы нельзя придумывать после компрометации.

Что проверить другим организациям

Любая организация с авторитетной базой должна задать пять вопросов. Какие записи нельзя незаметно изменить? Кто может удалить production и backup? Есть ли копия вне зоны поражения? Проверялось ли восстановление при hostile assumptions, когда домен, логи и свежие snapshots уже скомпрометированы? Есть ли юридический и операционный план работы во время восстановления?

Если ANCPI восстановит чистые данные из защищённых копий, худший сценарий для Румынии, спор о доказательстве собственности на национальном уровне, может не наступить. Это будет хорошая новость. Но простой критического реестра на несколько дней уже достаточное предупреждение: кибербезопасность таких систем — это способность доказать, восстановить и продолжить работу после того, как атакующий уже внутри.