L’attacco Hacker al catasto rumeno ci racconta molto delle fragilità moderne. Diciassette righe di codice, un riscatto rifiutato e una vendetta digitale che ha congelato il mercato immobiliare della Romania. Un disastro annunciato e la volontà di non piegarsi ai reati informatici. Un caso che può dirci molto su quali domande porsi sulla sicurezza delle infrastrutture nazionali.

Immaginate di vivere all’interno di una nazione nella quale la proprietà, dopo un click, smette di esiste. Questa è la storia dell’istante preciso nel quale la Romania ha smesso di sapere chi possiede cosa. Martedì 14 luglio 2026, l’applicazione che notai, banche e cittadini usano ogni giorno per rispondere alla più antica delle domande, di chi è questa casa?, ha smesso di rispondere. Nessun allarme roboante, nessuna sirena. Solo uno schermo con un caricamento in loop e dei server che non rispondono.

Si chiama e-Terra, il sistema gestito dall’Agenzia Nazionale per il Catasto e la Pubblicità Immobiliare Rumeno, l’ANCPI. È il cuore pulsante di un ecosistema interamente digitale, dove niente esiste finché non è scritto in un database. La certificazione digitale dietro la proprietà di un bene. All’improvviso l’anarchia del bene.

L’understatement e la verità

All’inizio, come sempre, ci fu la parola rassicurante. L’ANCPI parlò di un generico “problema tecnico”, il più grave nella sua storia, certo, ma pur sempre un guasto. La retorica dell’incidente ha una funzione precisa: guadagnare tempo, contenere il panico, non ammettere e successivamente minimizzare la fragilità dell’infrastruttura. Tuttavia, in questo caso, la scala del disastro ha reso queste versioni insostenibili.

A smontarla, con un cinismo quasi elegante, fu lo stesso autore dell’attacco. Commentando il comunicato ufficiale, l’uomo che si firma ByteToBreach scrisse: “Il sito ufficiale del governo ha annunciato uno spegnimento dei sistemi IT per ‘problemi tecnici’, ma questo è un po’ un eufemismo”. Sono le parole riportate dalla ricostruzione della società di threat intelligence israeliana KELA, rilanciate da The Business Standard. Ma torniamo all’eufemismo. Sarebbe come chiamare pioggerella un uragano.

Dodici giorni dopo, il 28 luglio, il governo rumeno ha ceduto al vocabolario della realtà. Con un comunicato, riportato da Romania Insider, ha ammesso che l’attacco era stato un ransomware e che parte dell’infrastruttura era stata “cifrata e cancellata”. Il Governo come spesso accade in questi casi ha divulgato la notizia, poi diventata il cardine di tutta la comunicazione ufficiale, che il database centrale delle proprietà non era stato compromesso.

Le prime domande sono arrivate taglienti come lame: se il cuore dei dati era intatto, quale leva restava in mano agli estorsori? Molto probabilmente il bersaglio da colpire non era tanto il tesoro, quanto la serratura della cassaforte.

Il broker di Orano

Un Hacker, un’ombra….chi? Chi è, dunque, l’uomo che ha messo in ginocchio un settore nevralgico dell’economia di un Paese dell’Unione Europea?

Il direttore della Direzione Nazionale per la Sicurezza Cibernetica, Dan Cîmpean, non ha usato mezzi termini con il portale G4Media: “Non è stato un attacco molto complesso”. Nessuna traccia di un attore statale, nessuna regia geopolitica. Cîmpean lo ha inquadrato per quello che è, un initial access broker, un intermediario del crimine che sfonda i sistemi peggio custoditi e poi, come riferito da KELA e dalla stessa DNSC, offre “assistenza” per rimettere ordine nel caos che ha creato. Dietro lauto compenso, s’intende. “Non è così che opera un gruppo ransomware”, ha precisato. Sarebbe la firma di un’opportunista e non di un’organizzazione strutturata.

Un volto, a questa ombra, gliel’hanno dato i ricercatori privati. KELA, che monitorava ByteToBreach già da dicembre, ha attribuito la persona a Zakaria Mahdjoub, presunto cybercriminale di Orano, in Algeria, descritto come un prolifico venditore di dati sottratti a governi, banche e compagnie aeree. L’attribuzione poggia su prove tecniche fredde e ostinate: macchine infettate da infostealer originate dall’Algeria, cookie di browser, credenziali che affioravano su ProtonMail, Instagram, TransferWise. Un uomo che, per anni, ha lasciato impronte su DarkForums, Dread, Telegram.

Questo è lo snodo che ogni addetto ai lavori dovrebbe tenere a mente, le autorità rumene si sono fermate: le affermazioni di KELA non sono state verificate. Perché una cosa è l’intelligence privata, un’altra è la prova che regge in tribunale. Quando le due si confondono ci si fa male.

Un dettaglio, più di ogni altro, tradisce la natura di questo attore. Un vero fantasma non si fa doxxare. Un’operazione sotto falsa bandiera è costruita per depistare, per confondere le acque dell’attribuzione. ByteToBreach ha fatto l’opposto: ha lasciato tracce, si è vantato, si è esposto. Un hacker accorto colpisce solo i Paesi che il proprio odia, o quelli senza accordi di estradizione. Si confondono le acque, le motivazioni.

La ritorsione

Si tratta di una vendetta? La sequenza, ricostruita da KELA e ripresa da bne IntelliNews, appare come un ricatto andato a male. Intrusione, tentativo di estorsione, rifiuto delle autorità e infine un colpo di coda. L’attaccante avrebbe cancellato database e backup raggiungibili dalla rete, nel tentativo esplicito di impedire il ripristino. Distruggere per punire, quando non si può più guadagnare.

Le autorità rumene hanno contestato la portata del danno, specificando di conservare backup offline in più sedi. La stampa nazionale rumena ha criticato il governo e ha posto delle domande scomode: se i backup erano davvero validi, perché il sistema non è stato ripristinato in ventiquattr’ore, come accade in qualsiasi infrastruttura critica efficiente?

Lo 0,2 per cento

Arriviamo al vero scandalo della questione. Se questo attacco ha un “merito”, spogliato della sua patina cyberpunk e della storia di un genio del male, è quella comune a tutti gli attacchi, l’emergere di una debolezza strutturale, una porta lasciata aperta. Cîmpean lo ha ammesso senza giri di parole: l’intrusione ha sfruttato “vulnerabilità già comunicate al catasto” e credenziali già trapelate online. Nessuna arma sofisticata da costruire. Bastava raccogliere le chiavi che erano già cadute a terra.

I numeri sono un atto d’accusa: 135 milioni di euro spesi in vent’anni per la digitalizzazione, e appena lo 0,2 per cento, circa 305.000 euro, destinato alla cybersicurezza. “Il risultato di un modello in cui la difesa cibernetica è trattata come un’appendice”, ha scritto lo stesso Ziarul Financiar. La DNSC, dal canto suo, aveva già avvertito l’ANCPI sulla propria pessima igiene di sicurezza. L’esperto in cybersecurity di nazionalità rumena Andrei Avădănei ha consegnato il verdetto più duro: il “più grave incidente di cybersicurezza nella breve storia della digitalizzazione della pubblica amministrazione rumena”.

Il tempismo e il conto

Esiste poi un ultimo, gelido, dettaglio. L’attacco è avvenuto nelle ultime settimane utili per acquistare casa con l’IVA agevolata al 9 per cento, prima del balzo all’aliquota standard. Migliaia di rumeni con un compromesso firmato si sono trovati ostaggi di uno schermo bianco. I notai del Paese, che certificano in media 170.000 compravendite l’anno, si sono fermati di colpo. Il Senato, travolto dalla pressione, ha dovuto prorogare il termine fiscale al 30 settembre.

Al 1 agosto 2026, e-Terra è ancora spento. Il governo, tramite Digi24, ha fatto sapere che non esiste una data ferma per la riaccensione: gli specialisti dell’ANCPI, assieme a STS e Cyberint, ricostruiscono l’infrastruttura da zero, migrandola nel cloud governativo. E agli utenti della piattaforma di pagamento ePay è stato chiesto di cambiare le password, e di diffidare di chiunque chiami chiedendo dati personali. Il fantasma di Orano, intanto, ha promesso di conservare tutto ciò che ha rubato. Ma di non venderlo “al primo che capita”.