„Potrivit informațiilor preliminare notificate de AGE, urmare a investigațiilor tehnice desfășurate de AGE, în colaborare cu Instituția Publică „Serviciul Tehnologia Informației și Securitate Cibernetică” (STISC) și Agenția pentru Securitate Cibernetică (ASC), au fost identificate aproximativ un milion de încercări de extragere neautorizată a unor seturi de date cu caracter personal și circa 750.000 de seturi de date posibil extrase neautorizat. Aceste cifre sunt preliminare și pot fi actualizate în urma verificărilor suplimentare și a eliminării eventualelor suprapuneri.

Potrivit notificării depuse, precum și celor comunicate public de AGE, informațiile potențial afectate includ următoarele categorii de date:

  Date de identificare: numele, prenumele, IDNP-ul, data și locul nașterii, fotografia;

  Date privind familia: informații despre părinți și copii;

  Date privind sănătatea și protecția socială: statutul de persoană asigurată, medicul de familie, prestațiile sociale, pensiile și dizabilitatea;

  Date privind bunurile și activitățile economice: permisul de conducere, vehiculele deținute, companiile deținute sau administrate;

  Date financiare și fiscale: IBAN-uri, obligații și datorii fiscale, istoricul plăților prin serviciul guvernamental MPay.

Această enumerare reflectă evaluarea preliminară a informațiilor potențial afectate și nu înseamnă că toate categoriile de date au fost extrase pentru fiecare persoană sau prin fiecare serviciu vizat.

Divulgarea neautorizată a datelor cu caracter personal poate expune persoanele vizate anumitor riscuri (cum ar fi furtul de identitate, fraude financiare, tentative de manipulare prin inginerie socială și alte abuzuri). Totuși, producerea unui incident de securitate nu înseamnă în mod automat că datele afectate vor fi utilizate în scopuri frauduloase. Evaluarea riscurilor trebuie să se bazeze pe informațiile confirmate și pe rezultatele verificărilor autorităților competente.

Legea nr. 195/2024 privind protecția datelor cu caracter personal stabilește că datele trebuie prelucrate în mod legal, echitabil și transparent, în scopuri determinate și legitime, fiind limitate la ceea ce este necesar. Totodată, operatorii trebuie să asigure exactitatea datelor și securitatea acestora, inclusiv protecția împotriva accesului și prelucrării neautorizate, prin măsuri tehnice și organizatorice adecvate.

În cazul unei încălcări a securității datelor, operatorul are obligația de a notifica Centrul fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a luat cunoștință de incident. AGE a notificat Centrul în legătură cu incidentele raportate.

Potrivit legii, atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul trebuie să informeze persoanele vizate fără întârzieri nejustificate. Dacă informarea individuală presupune un efort disproporționat, poate fi realizată o informare publică sau o altă măsură la fel de eficace. Până la această etapă, se determină că AGE  a întreprins măsuri pentru informarea cetățenilor prin canale publice de comunicare.

Este de menționat că, Centrul nu gestionează baze de date sau sisteme de evidență și nu are competențe de a asigura securitatea și confidențialitatea datelor cu caracter personal prelucrate în asemenea baze de date. Conform prevederilor legale, operatorii care dețin și gestionează baze de date/sisteme de evidență au obligația și sunt responsabili de implementarea măsurilor tehnice și organizatorice de adecvate în vederea asigurării unui nivel corespunzător de securitate.

În limitele competențelor legale, Centrul supraveghează, monitorizează și investighează   respectarea legislației privind protecția datelor cu caracter personal. La caz, circumstanțele constate și măsurile întreprinse de Centru vor fi comunicate public.

Pentru a reduce riscul de fraudă sau de utilizare abuzivă a datelor personale, Centrul recomandă:

-  Fiți vigilenți la apeluri telefonice, SMS-uri și e-mailuri suspecte.

-  Nu divulgați parole, coduri de autentificare sau alte informații confidențiale.

-  Nu accesați linkuri nesolicitate și nu autorizați plăți la solicitarea unor persoane necunoscute.

-  Verificați solicitările neobișnuite contactând direct instituția sau banca, prin canalele oficiale.

-  Verificați printr-un număr de telefon cunoscut orice mesaj prin care o persoană apropiată pretinde că și-a schimbat numărul de telefon sau contul.

  Nu reacționați impulsiv la mesaje alarmiste care invocă membri ai familiei sau situații urgente. Verificați mai întâi informațiile.

  Sesizați poliția, banca, Centrul sau autoritățile competente în domeniul securității cibernetice, după caz, dacă suspectați o utilizare neautorizată a datelor sau o tentativă de fraudă.

Centrul reiterează importanța protejării datelor cu caracter personal și a utilizării prudente a serviciilor electronice. În acest sens, responsabilitatea pentru securitatea datelor prelucrate revine operatorilor, care trebuie să adopte măsuri adecvate pentru prevenirea accesului neautorizat și protejarea drepturilor persoanelor.

Persoanele care consideră că au fost vizate de încălcarea securității datelor în contextul atacului cibernetic produs asupra serviciilor publice digitale sunt în drept să se adreseze operatorului pentru clarificări și, eventual, pentru realizarea drepturilor garantate de Legea privind protecția datelor cu caracter personal”, se arată în comunicatul emis de Centrul Naţional pentru Protecţia Datelor cu Caracter Personal.

Agenția de Guvernare Electronică a dezactivat temporar autentificarea în MPass prin opțiunea în doi pași și aplicația EVOSign, pentru verificări suplimentare de securitate. Măsura vine în contextul atacului cibernetic asupra serviciilor publice digitale. Cetățenii se pot autentifica în continuare prin semnătura mobilă, semnătura electronică sau cartea de identitate.

În contextul incidentului de securitate cibernetică semnalat în ultimele zile, care a vizat mai multe servicii publice digitale ale statului, Comisia Electorală Centrală informează că sistemele informaționale electorale nu au fost afectate, iar datele alegătorilor sunt în siguranță.

Directoarea Agenției de Guvernare Electronică (AGE), Nicoleta Colomeeț, a fost înlocuită la șefia instituției cu Artiom Cociu, după atacul cibernetic care a vizat datele a circa 1 milion de moldoveni, afectați direct fiind în jur de 750 de mii de cetățeni. Anunțul a fost făcut de premierul Vasile Tofan, în debutul ședinței de astăzi a Guvernului.

În context, prim-ministrul a declarat că în atacurile cibernetice coordonate, care au vizat țara noastră, ar fi implicați „unii actori statali străini”. „Au fost extrase date - cel puțin un element de date - numele, prenumele, anul nașterii. Atacatorii au exploatat vulnerabilități ale unor servicii digitale și au automatizat extragerea informațiilor. Sunt vizate nu doar datele cetățenilor, ci și infrastructura digitală a statului”, a precizat prim-ministrul.

Aproximativ un milion de IDNP-uri au fost vizate în tentative de extragere a datelor personale în urma atacului cibernetic asupra sistemelor guvernamentale, iar date aferente la circa 750.000 de IDNP-uri ar fi fost extrase. Informațiile vizate includ date de identificare, informații despre familie, pensii, prestații sociale, permise de conducere și date financiare. Autoritățile precizează că informațiile despre cardurile bancare nu au fost afectate.

Premierul Vasile Tofan a făcut primul comentariu public. „Ne-am asigurat că pentru serviciile critice - circa 82 de servicii, au fost monitorizare, unde e posibil au fost reparate, acolo unde încă nu suntem gata să le readucem în life, ele sunt închise pentru moment”, a declarat prim-ministrul, adăugând că inteligența artificială a identificat vulnerabilitățile care au permis atacul.

Demiterea șefei Agenției de Guvernare Electronică, Nicoleta Colomeeț, nu poate fi decisă înainte de finalizarea investigației interne privind atacul, a declarat atunci deputatul Dorian Istrati.

Centrul Național pentru Protecția Consumatorilor (CNPC) avertizează asupra riscului unor tentative de escrocherie și de utilizare abuzivă a datelor personale, după recentul atac cibernetic care a dus la extragerea informațiilor asociate cu circa 750.000 de IDNP-uri.

În acest context, cetățenii sunt îndemnați să nu divulge parole, coduri de autentificare sau alte date confidențiale la telefon ori prin mesaje, după atacul cibernetic de amploare care a vizat serviciile publice digitale din Republica Moldova.  

Cetățenii pot verifica în aplicația EVO dacă datele lor personale au fost accesate. În istoric pot vedea ce instituții le-au consultat datele, când și în ce scop.

Un atac cibernetic care viza obținerea neautorizată a datelor cu caracter personal a fost stopat de autorități pe 23 octombrie, după ce a vizat mai multe servicii publice digitale ale statului. În timpul incidentului, au fost înregistrate circa 11 milioane de solicitări de accesare. Investigația continuă. 

---