Ransomware la o bancă din România: ce declanșează DORA
Pe 2 august 2026, Directoratul Național de Securitate Cibernetică a fost sesizat despre un incident de tip ransomware la Techventures Bank S.A. O echipă DNSC oferă sprijin pentru limitarea efectelor și investigarea atacului.
Informațiile publice se opresc aici. Nu s-a comunicat ce sisteme au fost afectate, dacă au fost exfiltrate date sau dacă serviciile către clienți au fost întrerupte. Ce urmează nu e o reconstituire a incidentului, ci ce se întâmplă în astfel de cazuri sub cadrul de reglementare.
Ce se știe confirmat
Atât. Restul e, deocamdată, necunoscut public — și e util să spunem asta explicit, pentru că golul de informație se umple de obicei cu speculații.
- ▸Data sesizării DNSC: 2 august 2026
- ▸Tipul incidentului: ransomware, potrivit comunicării DNSC
- ▸Entitatea afectată: Techventures Bank S.A.
- ▸DNSC acordă asistență tehnică pentru limitare și investigație
De ce o bancă e un caz aparte
Ransomware-ul are două componente: criptarea sistemelor și, în majoritatea campaniilor moderne, exfiltrarea prealabilă a datelor. A doua e cea care contează pentru o instituție financiară, pentru că datele bancare nu se pot „restaura din backup" odată ieșite.
O bancă e, în același timp, entitate esențială sub NIS2 și entitate financiară sub DORA. Cele două cadre nu se anulează: DORA e lex specialis pentru sectorul financiar, iar obligațiile de raportare sunt mai stricte, nu mai relaxate.
Ce declanșează DORA
Regulamentul privind reziliența operațională digitală se aplică entităților financiare din UE de la 17 ianuarie 2025. Pentru un incident major legat de TIC, el impune un ciclu de raportare în trei pași, nu o singură notificare.
Întâi o notificare inițială, în termene măsurate în ore de la momentul clasificării incidentului ca major. Apoi un raport intermediar, când se conturează impactul. La final, un raport complet, cu analiza cauzei rădăcină. Termenele exacte sunt fixate în standardele tehnice care însoțesc regulamentul.
Practic, asta înseamnă că o entitate financiară trebuie să poată clasifica un incident rapid și să aibă datele necesare la îndemână. Nu e o sarcină de conformitate care se rezolvă după ce trece criza — începe în primele ore ale ei.
Partea pe care o ratează cele mai multe organizații
Ceasul de raportare nu pornește când termini investigația. Pornește când ai clasificat incidentul ca major — adică într-un moment în care încă nu știi mare lucru.
Asta schimbă ce trebuie pregătit dinainte: cine are autoritatea să facă acea clasificare, la ce criterii se uită, unde sunt datele care descriu impactul, și cine semnează notificarea. Dacă răspunsul la oricare dintre întrebări e „vedem atunci", termenul se ratează.
Un exercițiu de o oră, în care cineva simulează clasificarea unui incident cu informație incompletă, prinde mai multe goluri decât o procedură de treizeci de pagini pe care nu a citit-o nimeni.
Ce iei de aici dacă ești altă instituție
- ▸Verifică că ai o procedură scrisă de clasificare a incidentelor, cu o persoană numită care decide, nu un comitet care se convoacă
- ▸Testează restaurarea din backup, nu doar existența backupului — ransomware-ul lovește frecvent și copiile de siguranță accesibile din rețea
- ▸Presupune exfiltrare până la proba contrarie; planul de comunicare către persoanele vizate e altul dacă datele au ieșit
- ▸Sesizează DNSC devreme: asistența e disponibilă și e mai utilă în primele ore decât după o săptămână
- ▸Igiena de patchuire rămâne prima linie — majoritatea campaniilor de ransomware intră prin vulnerabilități cunoscute, nu prin zero-day
Ce nu știm și nu presupunem
Nu știm cum a intrat atacatorul. Nu știm ce grupare e implicată. Nu știm dacă s-a plătit ceva, dacă au fost afectate date de clienți sau dacă au existat întreruperi de serviciu.
Nu am găsit nicio comunicare publică a băncii la momentul scrierii, nici o poziție a Băncii Naționale a României pe acest caz.
Când apar detalii confirmate, ele schimbă analiza. Până atunci, singurul lucru cinstit e să tratăm incidentul ca pe un memento operațional, nu ca pe un studiu de caz.
Prima linie rămâne igiena de patchuire
Majoritatea campaniilor de ransomware intră prin vulnerabilități cunoscute. Awarely Monitor agregă NVD, CISA KEV, EUVD și GitHub și te alertează pe versiunile tale.