ANCPI erklärte am Montag, die Wiederherstellung der ausgefallenen Dienste laufe weiter. Die Behörde hatte bereits am vergangenen Dienstag von dem, wie sie es nannte, „schwerwiegendsten technischen Vorfall in der Geschichte der Institution“ berichtet, nachdem ein Cyberangriff die zentrale IT-Infrastruktur außer Betrieb gesetzt hatte. Betroffen war auch die landesweite Kataster- und Grundbuchplattform e-Terra.
Nach Darstellung der Behörde begann inzwischen die Migration der Anwendungen in die rumänische Government Cloud. Dieser Prozess soll am Mittwoch abgeschlossen sein. Danach wollen die Behörden zunächst die Integrität der Systeme verifizieren und die Dienste anschließend schrittweise wiederherstellen. Vorrang habe, so ANCPI, der Schutz der Datenintegrität und die Beseitigung aller identifizierten Schwachstellen. Die betroffenen Systeme müssten isoliert bleiben, bis jede festgestellte Sicherheitslücke behoben sei.
Die Folgen des Ausfalls reichen über das Grundbuchportal hinaus. Unterbrochen wurden laut ANCPI auch Online-Dienste des Grundbuchwesens, die offiziellen E-Mail-Systeme sowie Anwendungen, die von Notaren, Anwälten, Katasterfachleuten und Beschäftigten der Behörde genutzt werden. Da das rumänische Kataster- und Grundbuchsystem vollständig digital arbeitet, steht der Immobilienverkehr landesweit still.
Dan Cimpean, Direktor des rumänischen Nationalen Direktorats für Cybersicherheit (DNSC), sagte dem rumänischen Medium G4Media, der Angriff wirke finanziell motiviert. Die Täter hätten bekannte Software-Schwachstellen ausgenutzt, vor deren Schließung die Behörden Organisationen erst kürzlich gewarnt hatten, und zudem bereits zuvor geleakte Zugangsdaten verwendet. „Es war kein sehr komplexer Angriff“, sagte Cimpean.
Nach dem bisherigen Ermittlungsstand gebe es laut Cimpean keine Hinweise darauf, dass personenbezogene Daten oder Grundbuchbescheinigungen entwendet wurden. Die Angreifer sollen jedoch eine begrenzte Menge an Informationen exfiltriert haben, darunter Benutzerzugangsdaten und Quellcode von Anwendungen.
Ein Bedrohungsakteur mit dem Namen ByteToBreach reklamierte den Angriff in der vergangenen Woche für sich. In einem Untergrundforum bot er nach eigenen Angaben gestohlene ANCPI-Daten zum Verkauf an, darunter interne Datenbanken und Quellcode des e-Terra-Systems.
Cimpean zufolge gehen die rumänischen Behörden davon aus, dass es sich bei ByteToBreach um einen Initial-Access-Broker handelt, der schlecht geschützte Systeme aus finanziellen Gründen angreift und nicht um eine staatlich unterstützte Hackergruppe. Ermittler vermuten demnach einen Sitz in Algerien.
Das israelische Cybersicherheitsunternehmen Kela ordnet die Persona ByteToBreach Zakaria Mahdjoub zu, einem mutmaßlichen Cyberkriminellen aus Oran in Algerien. Kela beschreibt ihn als produktiven Verkäufer gestohlener Daten aus Behörden, dem Bankensektor und dem Luftverkehr. Die rumänischen Behörden haben diese Zuordnung nicht bestätigt.
In einem über Signal geführten Interview mit Euronews Romania entschuldigte sich eine Person, die vorgab, der Hacker zu sein, bei den Rumänen und IT-Fachleuten für den Eindringversuch. Auf die Frage, ob Bürger wegen gestohlener Daten besorgt sein sollten, antwortete die Person: „Ich verkaufe diese Daten nicht an irgendwen.“ Recorded Future News konnte weder die Identität der Person noch diese Behauptung unabhängig verifizieren.
Lokalen Medien zufolge fällt die Störung in eine besonders sensible Phase. In wenigen Wochen will Rumänien die Mehrwertsteuer auf neue Wohnungen von 9 auf 21 Prozent anheben. Berichten zufolge verzögert der Ausfall nun Transaktionen, die Käufer und Entwickler noch vor Inkrafttreten des höheren Steuersatzes abschließen wollten.