Romania, l’attacco dell’hacker che ha paralizzato il catasto: cosa è successo davvero

Un attacco ransomware ha messo fuori uso i sistemi dell’agenzia catastale rumena ANCPI, impedendo per giorni l’accesso ai servizi necessari per vendite, mutui e certificati immobiliari. Ma il database centrale delle proprietà, contrariamente a quanto riportato inizialmente, non risulta cancellato.

La storia che arriva dalla Romania sembra uscita da un romanzo cyberpunk: un hacker entra nei sistemi informatici che gestiscono il catasto nazionale, ruba dati, tenta di estorcere denaro e manda in tilt l’infrastruttura digitale dalla quale dipendono le compravendite immobiliari di un intero Paese.

L’attacco è stato confermato dall’Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI), l’agenzia nazionale rumena che gestisce i sistemi catastali e di pubblicità immobiliare. L’incidente è iniziato il 14 luglio 2026 e ha messo fuori uso l’infrastruttura informatica dell’ente, compresi il sistema e-Terra e i servizi di posta elettronica. L’ANCPI lo ha definito inizialmente la più grave interruzione tecnica della propria storia.

Cosa ha fatto davvero l’hacker

La prima ricostruzione diffusa dalla stampa internazionale parlava di un hacker che aveva cancellato l’intero registro fondiario della Romania dopo il fallimento di un tentativo di estorsione. È la versione riportata, tra gli altri, da Cybernews e IANS e quella che ha fatto rapidamente il giro del mondo.

Secondo questa ricostruzione, l’attaccante avrebbe utilizzato credenziali valide per entrare nella rete dell’ANCPI, sottratto dati e codice sorgente e successivamente cancellato i dati dopo che la richiesta economica non era stata soddisfatta.

L’indagine ufficiale ha però ridimensionato, almeno in parte, quella ricostruzione. Secondo l’ANCPI, l’analisi tecnica condotta insieme al Directoratul Național de Securitate Cibernetică (DNSC) ha confermato un attacco ransomware nel quale gli aggressori hanno criptato e cancellato una parte dell’infrastruttura di virtualizzazione che ospitava le applicazioni dell’agenzia.

La banca dati centrale del sistema catastale, quella che contiene l’elenco degli immobili e dei relativi diritti reali, non è stata invece colpita e non ci sono prove che l’attaccante abbia avuto accesso a quei dati.

È una distinzione fondamentale. Non sono spariti i titoli di proprietà della Romania. È stata invece resa indisponibile l’infrastruttura tecnologica necessaria per consultarli e utilizzarli nei procedimenti amministrativi. In altre parole, i dati possono essere ancora lì, ma senza i sistemi che permettono a notai, cittadini e professionisti di accedervi il loro valore operativo viene temporaneamente meno.

Il paradosso: database integro, mercato immobiliare bloccato

È proprio questo il punto più interessante, anche dal punto di vista della sicurezza informatica. Non serve necessariamente distruggere una banca dati per paralizzare un servizio. È sufficiente rendere indisponibile l’infrastruttura che permette di utilizzarla.

L’attacco ha infatti reso inutilizzabile e-Terra, il sistema attraverso il quale vengono gestite le attività catastali e di pubblicità immobiliare. Senza l’accesso ai dati e ai servizi dell’ANCPI, i notai non hanno potuto completare normalmente le compravendite, registrare nuovi atti o iscrivere ipoteche. I cittadini, a loro volta, non hanno potuto ottenere regolarmente gli estratti catastali e i documenti necessari per dimostrare la situazione giuridica degli immobili.

Il risultato è stato un blocco dell’intero ecosistema immobiliare, non perché siano scomparsi gli immobili o i loro proprietari, ma perché è venuto meno il sistema digitale che certifica e rende operativi i passaggi amministrativi.

Chi è l’hacker ByteToBreach

L’attacco è stato rivendicato da un soggetto che opera online con il nome ByteToBreach. Secondo il DNSC, si tratta di un attore motivato finanziariamente, attivo almeno dal giugno 2025 e sospettato di essere di origine algerina. L’autorità rumena ha precisato che l’indagine non era ancora conclusa.

Un’identificazione più precisa arriva dalla società di cyber-intelligence KELA. KELA sostiene che dietro l’alias ByteToBreach ci sia probabilmente Zakaria Mahdjoub, individuo che secondo l’azienda si troverebbe a Orano, in Algeria. L’attribuzione è basata, spiega KELA, su elementi tecnici come dati recuperati da dispositivi infettati da infostealer, cookie del browser e altri artefatti digitali.

Non si tratta però di un’identificazione giudiziaria ufficiale: è un’attribuzione di intelligence e va quindi presentata come tale. Il profilo che emerge è quello di un cybercriminale motivato dal denaro, più vicino alla logica dell’access broker e dell’estorsione che a quella di un’operazione di cyberwarfare condotta da uno Stato. Lo stesso ByteToBreach avrebbe dichiarato ai media rumeni di essere interessato al guadagno economico e non a motivazioni politiche.

Non è la prima volta

Il precedente più famoso è probabilmente WannaCry, il ransomware che nel maggio 2017 colpì il sistema sanitario britannico. In Inghilterra furono interessati almeno 81 dei 236 trust del NHS, insieme a centinaia di altre strutture e studi medici. L’attacco provocò la cancellazione di migliaia di appuntamenti e operazioni; il National Audit Office stimò in oltre 19.000 gli appuntamenti complessivamente cancellati.

Nel 2021 toccò invece all’energia. Un attacco ransomware attribuito al gruppo DarkSide costrinse Colonial Pipeline a fermare temporaneamente il più importante sistema di oleodotti per carburanti degli Stati Uniti. L’azienda chiuse l’infrastruttura il 7 maggio e la riavviò il 13 maggio. Il Dipartimento dell’Energia americano dovette coordinare una risposta federale per limitare gli effetti sulla distribuzione di carburante.

Nel 2023 un attacco contro MGM Resorts dimostrò invece quanto un cyberattacco possa trasformarsi in un problema fisico e commerciale. La società fu costretta a spegnere alcuni sistemi informatici, con conseguenze operative nei suoi resort e casinò statunitensi. Anche in quel caso il paradosso è significativo: la scelta di spegnere i sistemi per contenere l’attacco diventò essa stessa una delle principali cause dell’interruzione dei servizi.

Nel 2024 un altro esempio arrivò dal settore automobilistico. L’attacco contro CDK Global, fornitore di software gestionali utilizzati dalle concessionarie automobilistiche statunitensi, coinvolse un ecosistema che serviva circa 15.000 punti vendita. Le concessionarie furono costrette in molti casi a tornare a procedure manuali e documenti cartacei per gestire le attività quotidiane e le vendite.

Ancora più significativo è il caso di Change Healthcare, negli Stati Uniti, colpita nel febbraio 2024 da un ransomware attribuito ad ALPHV/BlackCat. L’attacco provocò una vasta interruzione dei sistemi utilizzati per fatturazione, pagamenti e gestione delle pratiche sanitarie. Il governo americano dovette intervenire con misure straordinarie per sostenere provider e fornitori che non riuscivano più a presentare richieste di rimborso o ricevere pagamenti attraverso la piattaforma.

La vera vulnerabilità non è il database: è la dipendenza

È questo il punto che rende il caso rumeno più importante della semplice cronaca di un nuovo attacco hacker. Per anni la sicurezza informatica è stata spesso raccontata soprattutto come una questione di protezione dei dati: impedire che qualcuno rubi password, numeri di carte di credito, cartelle cliniche o informazioni personali. Il ransomware ha però spostato progressivamente il problema verso un’altra dimensione: la disponibilità dei sistemi.

Un dato può essere perfettamente integro e contemporaneamente inutilizzabile. Un ospedale può avere tutte le cartelle cliniche ma non riuscire ad aprirle. Una banca può conservare correttamente tutti i conti ma non permettere ai clienti di effettuare operazioni. Un concessionario può avere tutti i dati delle automobili ma non riuscire a registrare una vendita. E un Paese può avere ancora intatto il proprio catasto ma non riuscire a concludere una compravendita. È esattamente ciò che è accaduto in Romania.

Il problema non è quindi semplicemente avere una copia dei dati: bisogna essere in grado di ricostruire rapidamente l’intera infrastruttura, verificare che sia sicura e riportarla online senza riaprire la porta all’attaccante.

È una circostanza che dovrebbe far riflettere qualsiasi azienda o amministrazione: il vero parametro della resilienza non è soltanto riuscire a impedire a un hacker di entrare, ma quanto velocemente si riesce a tornare operativi quando l’hacker riesce comunque a entrare.