Kyberzápisník #34 Kybernetický útok na ANCPI: jak hacker ByteToBreach zastavil trh s nemovitostmi v celém Rumunsku

Rumunsko v červenci zažilo ukázkový příklad kybernetického útoku na vládní instituci. Digitalizace státní správy se potkala s roky starou neopravenou zranitelností a s útočníkem, kterému se nepodařilo vyždímat výkupné.

Kybernetický útok na ANCPI: co se stalo

14. července zveřejnil Národní úřad pro katastr a nemovitosti (ANCPI), rumunská obdoba českého ČÚZK, prohlášení o „závažném technickém incidentu“. Jde o klasickou formulaci, kterou instituce používají, když ještě nechtějí přiznat kybernetický útok. Den poté, 15. července, agentura potvrdila pravdu: šlo o cílený útok, který kompletně vyřadil z provozu všechny IT systémy, včetně e-mailů a klíčové aplikace e-Terra, přes kterou se vedou katastrální a pozemkové operace.

Dopad byl okamžitý. Notáři přestali být schopni ověřovat prodeje nemovitostí nebo zapisovat hypotéky, občané nemohli získat výpisy z katastru. Rumunsko přitom není malá periferní ekonomika, ročně se tam prodá 150 až 170 tisíc nemovitostí. Notářka Ana Stan situaci shrnula výstižně: „Od úterý nemůžu vydat výpis z katastru, nemůžu ověřit prodej, nemůžu zapsat hypotéku.“

Hacker ByteToBreach a zranitelnost stará čtyři roky

Za útokem na ANCPI stojí postava vystupující pod přezdívkou ByteToBreach. Na hackerském fóru zveřejnila teatrální oznámení, ve kterém se pochlubila, že kromě dat rumunských občanů získala kompletní kopii GitLab serverů se zdrojovým kódem klíčových systémů ANCPI (Eterra, RENNS) a nasadila vlastní ransomware nástroj.

Klíčový je způsob, jakým útočník do systému pronikl. V rozhovoru pro Euronews Romania přiznal, že zneužil zranitelnost známou už od roku 2021. Nešlo tedy o sofistikovaný zero-day exploit, ale o roky ignorovanou díru, kterou nikdo neopravil. Rumunský Národní ředitel pro kybernetickou bezpečnost (DNSC) Dan Cîmpean popsal ByteToBreach jako finančně motivovaného aktéra specializujícího se na roli initial access brokera, tedy na počáteční průnik, exfiltraci dat a následné vydírání.

Vydírání selhalo a útočník se z frustrace rozhodl smazat všechna ukradená data, včetně interních dokumentů a přihlašovacích údajů zaměstnanců. Na dark webu se navíc pochlubil pokusem zničit i zálohy, aby zabránil obnově dat.

Zakaria Mahdjoub: kdo se skrývá za ByteToBreach

Bezpečnostní firma KELA sledovala aktéra ByteToBreach od prosince minulého roku a po útoku na ANCPI ho otevřeně identifikovala jako Zakariu Mahdjouba, jednotlivce z alžírského Oranu.

Podle profilu KELA je ByteToBreach aktivní minimálně od června 2025. Za tu dobu si vybudoval pověst technicky zdatného, ale především hlasitého hráče podzemní datové ekonomiky. Kombinuje reálnou technickou zručnost s agresivním sebe marketingem, provozuje dokonce veřejný WordPress web maskovaný jako legitimní pentestingová firma „Pentesting Ltd“. Komunikuje přes ProtonMail, Tutu, Telegram, Signal a Session, ukradená data prodává i sdílí přes odkazy na Google Drive.

Oběti ByteToBreach napříč obory

Seznam obětí Zakariy Mahdjouba je širší, než by se čekalo u aktéra zaměřeného na vládní registry. Bezpečnostní firmy mu přisuzují tyto útoky:

únik cestovních manifestů a pasových údajů spojovaný s Uzbekistan Airlines,
zaměstnanecká data bankovních institucí (jedna polská banka breach potvrdila),
zdravotnické databáze a zálohy,
univerzitní systémy,
vládní registry napříč východní Evropou, kromě Rumunska i Švédsko (e government portál) a podle starších zpráv Slovensko, Ukrajina, Polsko a Litva.

Zajímavý je i psychologický rozměr jeho vystupování. V rozhovoru pro Euronews se omlouval rumunským IT specialistům, tvrdil, že data „neprodává úplně komukoliv“ a že motivace byla čistě finanční, ne politická. Jde o typickou snahu budovat si image „etického“ vyděrače, zatímco reálným výsledkem jeho činnosti je paralýza státní instituce a ohrožení dat milionů občanů.

Poučení z hacku rumunského katastru pro kritickou infrastrukturu

ANCPI podle svého vyjádření měla offline zálohy na více lokacích, takže i přes snahu útočníka je zničit se agentura vyhnula nejhoršímu scénáři, tedy permanentní ztrátě dat. Systém se nyní staví od nuly.

Adrian Vascu z poradenské firmy Veridio to shrnul přesně: „Digitalizace rychle vytváří závislost, ale musí zajistit i důvěru.“ Když stát převede klíčovou agendu do digitální podoby, musí počítat s tím, že jednoho dne přestane fungovat, a musí mít připravený plán B. V tomto případě to naštěstí byly offline zálohy, ne prázdné sliby.

Z pohledu kybernetické bezpečnosti jde o učebnicový případ: stará neopravená zranitelnost, credential based přístup, útočník specializovaný na initial access a selhaná extorce vedoucí k destruktivnímu smazání dat. Tento vzorec stojí za pozornost i v českém prostředí, ne kvůli konkrétnímu aktérovi, ale kvůli tomu, jak snadno se dá stejný scénář zopakovat kdekoliv, kde zůstal neopravený patch pět let ležet ladem.