Registro imobiliário da Romênia paralisa após ciberataque; ByteToBreach vende bases e código-fonte do e-Terra

A Romênia corre contra o tempo para restaurar o registro nacional de imóveis após um ciberataque que paralisou o mercado imobiliário do país há quase uma semana. A ANCPI, agência nacional responsável pelo cadastro, migra suas aplicações para a nuvem do governo até quarta-feira. O grupo ByteToBreach, atribuído a um cibercriminoso baseado na Argélia, reivindicou o ataque e coloca à venda no submundo bases internas e o código-fonte do sistema e-Terra.

O que aconteceu

A Agência Nacional de Cadastro e Publicidade Imobiliária da Romênia (ANCPI, na sigla em romeno) confirmou nesta segunda-feira que os sistemas digitais do registro imobiliário nacional continuam fora do ar após o ciberataque detectado na semana passada. A paralisação impede a averbação de escrituras, hipotecas e transferências, congelando efetivamente o mercado de compra e venda de imóveis em todo o país.

Em comunicado oficial, a ANCPI afirmou que as bases técnicas e jurídicas centrais — que contêm os registros cadastrais, limites de propriedade, mapas e informações de titularidade — não foram comprometidas. A prioridade agora é migrar as aplicações para a nuvem governamental romena, processo previsto para ser concluído até quarta-feira. Só depois disso o retorno gradual dos serviços será autorizado, condicionado a uma verificação completa da integridade dos sistemas.

Segundo autoridades romenas, o incidente atingiu principalmente o e-Terra, plataforma central de gestão cadastral do país. Os sistemas comprometidos serão mantidos isolados até que todas as vulnerabilidades identificadas sejam corrigidas, uma decisão que prolonga o downtime mas evita reincidência imediata.

Como o ataque funciona

O ator de ameaça que se apresenta como ByteToBreach reivindicou publicamente a responsabilidade, oferecendo para venda em fórum clandestino o que descreve como bases internas da ANCPI e o código-fonte do e-Terra. O anúncio inclui uma amostra e um preço, prática comum entre corretores de acesso inicial que buscam monetizar rapidamente antes que a vítima entenda o escopo do ataque.

De acordo com Dan Cimpean, diretor da autoridade nacional romena de cibersegurança, o ataque não teve nível avançado de sofisticação. As autoridades acreditam que o grupo é um initial access broker de motivação financeira, e não um ator estatal. A firma israelense Kela atribui o codinome ByteToBreach a Zakaria Mahdjoub, supostamente baseado em Oran, na Argélia, e descrito como vendedor prolífico de acessos ilícitos em fóruns underground.

Os investigadores dizem não ter evidência, até o momento, de vazamento de dados pessoais ou de certificados de registro imobiliário. A exfiltração confirmada inclui credenciais de usuário e trechos de código-fonte da aplicação — material sensível o suficiente para viabilizar novas invasões contra a própria ANCPI ou contra órgãos que reutilizem o mesmo código.

“Não foi um ataque muito complexo” — Dan Cimpean, diretor da autoridade nacional romena de cibersegurança.

Riscos e impacto

• Paralisação prolongada de transações imobiliárias, com prejuízo direto para compradores, vendedores, corretores e cartórios.
• Congelamento de operações de crédito imobiliário que dependem de averbação de hipoteca.
• Exposição de credenciais de administradores e desenvolvedores, exigindo rotação completa de senhas e chaves.
• Vazamento parcial de código-fonte do e-Terra, o que pode revelar novas vulnerabilidades exploráveis contra a própria plataforma.
• Risco reputacional para o governo romeno e questionamento sobre segurança de infraestruturas críticas na União Europeia.

Análise

O caso ANCPI segue um padrão que se consolidou em 2025 e 2026: initial access brokers de origem norte-africana e sul-asiática miram órgãos públicos europeus com pouca maturidade defensiva. A Romênia já vinha sofrendo com ondas de ransomware contra hospitais no ano anterior e agora vê o setor cadastral, sistema-nervoso do mercado imobiliário, sair do ar por dias. A escolha do alvo é estratégica: alto valor operacional, alta pressão política para restaurar rapidamente e baixa capacidade histórica de resposta.

É importante notar que a estratégia de migração para nuvem governamental como resposta a incidente traz benefícios e riscos. Do lado positivo, ganha-se controle centralizado, telemetria unificada e possibilidade de patches mais rápidos. Do lado negativo, migrações emergenciais tendem a herdar configurações vulneráveis do ambiente antigo e a introduzir novas superfícies de ataque se a segregação de rede não for reprojetada. O tempo para verificação de integridade que a ANCPI mencionou não é opcional: é o momento em que o defensor tem chance de sair do incidente mais forte do que entrou.

Do ponto de vista brasileiro, o episódio é uma prévia útil. O Serpro, o Registro Civil Nacional e cartórios eletrônicos operam ativos comparáveis em criticidade. A lição que a Romênia paga em prejuízo econômico é a mesma que precisamos internalizar antes: registros civis e imobiliários são infraestrutura crítica e merecem tratamento de nível OT/ICS em termos de continuidade, backup offline e simulação de recuperação.

Recomendações práticas

• Órgãos públicos: mapear ativos críticos com potencial paralisar mercados (registros, cadastros, sistemas de identidade) e testar planos de recuperação com métrica de RTO real.
• Rotacionar imediatamente credenciais de sistemas cuja arquitetura tenha semelhança com o e-Terra e revisar acesso privilegiado.
• Adotar segmentação de rede rigorosa entre camadas de aplicação e bancos de dados de cadastro, com bastion hosts monitorados.
• Manter backups imutáveis e testados fora do domínio administrativo primário, para permitir restauração sem depender do sistema atacado.
• Monitorar fóruns underground para identificar anúncios de acesso ou dados vinculados ao próprio órgão — brokers como ByteToBreach costumam sinalizar publicamente antes de vender.
• Estabelecer canal de comunicação claro com a autoridade nacional de cibersegurança (no Brasil, o GSI/DSI e o CTIR Gov) antes do incidente acontecer.

Fonte: The Record