Alertă STISC: campanie de spear phishing vizează instituțiile publice din Moldova

STISC avertizează că instituțiile guvernamentale din Republica Moldova sunt ținta unei campanii de spear phishing cu arhive .7z și .zip care ascund fișiere .bat, camuflate în documente financiare.

Serviciul Tehnologia Informației și Securitate Cibernetică (STISC) a emis marți, 13 octombrie 2026, o alertă privind o campanie de atacuri de tip „spear phishing” care vizează în special instituțiile guvernamentale din Republica Moldova. Atacatorii trimit e-mailuri de pe adrese asociate domeniului @mail.ru, cu arhive periculoase în care se ascund fișiere executabile deghizate în documente financiare. Scopul declarat: furtul de parole, cookie-uri și date de sesiune — exact acele elemente care deschid ușa către rețelele interne.

Nu este o campanie generică, trimisă orbește către mii de destinatari. Tiparul descris de STISC — mesaje care imită documente contabile, expeditori cu nume aparent cunoscut, arhive cu executabile ascunse — indică o operațiune țintită, în care atacatorul a investit timp în a înțelege cui se adresează. Iar când ținta este o instituție publică, miza nu mai este doar un cont compromis, ci potențialul acces la datele cetățenilor și la sistemele care susțin servicii publice.

Ce conțin de fapt e-mailurile

Conform comunicatului STISC, mesajele malițioase sunt expediate de pe diferite adrese de e-mail asociate domeniului @mail.ru și includ fișiere atașate sub formă de arhive în formatele .7z sau .zip. În interiorul acestor arhive se află fișiere executabile de tip .bat, camuflate sub denumiri care imită documente financiare legitime, precum „Ordin de plată” sau „Facturi achitate”.

Alegerea acestor denumiri nu este întâmplătoare. Într-o instituție publică, un „ordin de plată” sau o „factură achitată” este genul de document pe care angajatul din departamentul financiar sau contabilitate îl așteaptă și pe care, instinctiv, îl deschide fără să stea pe gânduri. Atacatorul nu exploatează o vulnerabilitate tehnică, ci o rutină de lucru. Este diferența dintre a sparge un zid și a intra pe ușa din față pentru că porți o uniformă convingătoare.

Extensia .bat este, de asemenea, o alegere calculată. Fișierele batch rulează nativ pe Windows, nu necesită un interpretor suplimentar și pot lansa o suită întreagă de comenzi în câteva secunde — de la descărcarea unui payload suplimentar până la colectarea silențioasă a datelor. Iar pentru că sunt ascunse într-o arhivă, filtrul de e-mail care ar bloca un executabil direct are șanse mai mici să le oprească.

Atenție: Un fișier cu extensia .bat nu este un document. Chiar dacă numele lui conține cuvântul „factură” sau „ordin”, el este un program care se execută la dublu-clic. Extensia reală a fișierului este singurul lucru care contează.

De ce atacul e greu de observat

Unul dintre cele mai îngrijorătoare detalii din alerta STISC este că programul malițios își poate încheia activitatea fără să lase indicii evidente. Cu alte cuvinte, după ce a colectat ce avea nevoie, malware-ul poate dispărea fără să genereze erori vizibile, fără să blocheze ecranul, fără să afișeze vreun mesaj suspect. Utilizatorul nu bănuiește nimic.

Această caracteristică schimbă complet ecuația apărării. Într-un atac clasic cu ransomware, victima află că a fost compromisă în momentul în care fișierele devin inaccesibile — durere, dar și semnal de alarmă. Aici, compromiterea poate trece neobservată zile sau săptămâni întregi, timp în care atacatorul are acces la date de autentificare, la cookie-uri și la informații asociate sesiunilor active.

De ce contează cookie-urile și sesiunile? Pentru că ele ocolesc una dintre cele mai solide bariere de securitate: autentificarea cu doi factori. Dacă atacatorul fură un cookie de sesiune valid, poate prelua o sesiune deja autentificată fără să aibă nevoie de parolă sau de codul unic primit pe telefon. Este echivalentul a intra în casă pe ușa pe care proprietarul tocmai a lăsat-o descuiată, fără să fie nevoit să spargă broasca.

Important: Furtul cookie-urilor de sesiune poate anula protecția oferită de autentificarea cu doi factori. Dacă bănuiți că ați deschis un astfel de fișier, nu este suficient să schimbați parola — trebuie să invalidați toate sesiunile active și să verificați dispozitivul cu instrumente de securitate.

Anatomia unui atac care ocolește filtrele

Merită să privim lanțul de atac pas cu pas, pentru că fiecare verigă explică de ce campania reușește acolo unde altele eșuează.

Fiecare etapă este gândită să reducă șansele ca un sistem de apărare să intervină. Arhiva trece de filtrele care blochează executabilele. Numele documentului trece de rațiunea utilizatorului. Iar oprirea silențioasă trece de orice monitorizare care s-ar baza pe simptome vizibile.

Recomandările STISC, traduse în practică

Autoritățile au publicat un set de recomandări pentru prevenirea incidentelor. Sunt simple, dar fiecare dintre ele acoperă o verigă din lanțul de atac descris mai sus:

• Evitați accesarea linkurilor și a fișierelor atașate în mesajele suspecte.
• Verificați cu atenție adresa expeditorului, chiar dacă numele acestuia pare cunoscut.
• Protejați parolele, codurile de autentificare și informațiile confidențiale.
• Tratați cu prudență mesajele care solicită acțiuni urgente sau neobișnuite.
• Raportați e-mailurile suspecte către responsabilii de securitate informațională.

Ultimul punct este, poate, cel mai subestimat. Un angajat care raportează un e-mail suspect nu doar că își protejează propriul cont — el oferă echipei de securitate informația necesară pentru a bloca expeditorul, a avertiza restul instituției și a identifica dacă alți colegi au primit același mesaj. Într-o campanie de spear phishing, viteza de reacție a primei persoane care observă ceva suspect poate decide dacă incidentul rămâne un e-mail blocat sau devine o breșă de date.

Verificarea expeditorului nu este paranoia

Recomandarea de a verifica adresa expeditorului chiar și atunci când numele pare cunoscut merită o explicație suplimentară. Atacatorii pot falsifica ușor numele afișat al unui expeditor, astfel încât acesta să pară a fi un coleg sau un partener de încredere. Adresa reală, însă, este mult mai greu de falsificat complet. De aceea, diferența dintre „Ion Popescu” afișat și [email protected] este exact locul unde se ascunde atacul.

Ce înseamnă asta pentru instituțiile din Moldova

Campania descrisă de STISC nu este un incident izolat, ci un semnal despre modul în care evoluează amenințările cibernetice îndreptate împotriva sectorului public. Instituțiile guvernamentale sunt ținte atractive pentru că dețin volume mari de date sensibile, pentru că au bugete de securitate adesea limitate și pentru că un singur angajat care greșește poate deschide accesul către o rețea întreagă.

Din perspectiva unui test de penetrare, acest tip de campanie este exact scenariul pe care îl reproducem în cadrul evaluărilor de tip red team: nu atacăm doar infrastructura tehnică, ci și factorul uman, pentru că acolo se află, de cele mai multe ori, calea de acces cea mai puțin rezistivă. Iar lecția din astfel de exerciții este constantă — tehnologia singură nu oprește un atac care exploatează încrederea și rutina.

Autoritățile îndeamnă instituțiile publice, companiile și cetățenii să manifeste vigilență sporită în gestionarea corespondenței electronice, pentru a preveni furtul de date și compromiterea sistemelor informatice. Este un îndemn care sună generic, dar în contextul unei campanii active devine o instrucțiune operațională concretă: fiecare e-mail deschis cu atenție este o potențială breșă evitată.

Vestea bună este că apărarea împotriva acestui tip de atac nu necesită tehnologii exotice. Necesită proceduri clare de raportare, sesiuni de conștientizare pentru angajați, filtre de e-mail configurate să inspecteze conținutul arhivelor și, nu în ultimul rând, capacitatea de a detecta o compromitere care nu produce simptome vizibile. Pentru instituțiile care tratează securitatea ca pe un proces continuu, nu ca pe o listă de verificare bifată o dată pe an, această campanie este un test la care se poate răspunde cu succes — cu condiția ca vigilența să fie reală, nu declarativă.