Ești atacat cibernetic și pierzi datele clienților? Riști o amendă, chiar dacă ești victimă

Atacurile ransomware au crescut cu peste 153% în România în 2025. Phishingul a devenit principalul tip de atac cibernetic raportat, cu aproape o treime din toate incidentele, potrivit raportului anual al Directoratului Național de Securitate Cibernetică (DNSC). Printre victimele documentate direct în raport se numără și o firmă mică de instalații electrice, al cărei sistem a fost blocat printr-un email fals trimis în numele Corpului Experților Contabili și Contabililor Autorizați din România (CECCAR). Dacă firma ta e atacată fără să fi avut măsuri de securitate minime, riști o amendă chiar și atunci când ești victimă, așa cum a pățit, în iulie 2026, un dealer auto din Ploiești, sancționat cu 3.000 de euro de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Ce spune raportul DNSC, în cifre simple

DNSC a publicat raportul anual de activitate pe 2025, aprobat pe 7 august 2026. Comparativ cu 2024, trei tipuri de atac au crescut abrupt:

• Phishing (emailuri sau mesaje care te păcălesc să dai o parolă sau un cod): 4.975 de incidente în 2025, față de 2.917 în 2024, o creștere de 70,6%. Este cel mai des întâlnit tip de atac, aproape 4 din 10 incidente raportate.
• Compromitere de cont: 1.125 de incidente, față de 248 în 2024, de 4,5 ori mai multe. Aici intră conturile de email, de WhatsApp sau de rețele sociale la care atacatorii ajung prin șiretlic, nu prin spargere tehnică.
• Ransomware (programe care îți criptează datele și cer bani pentru recuperare): 256 de incidente majore, o creștere de peste 153%, care au afectat 119 firme, 115 persoane fizice și 22 de instituții publice.

Sectorul bancar rămâne cel mai vizat (71% din incidente), urmat de poștă și curierat (10,8%). Dar asta nu înseamnă că firmele mici sunt ferite: DNSC documentează în același raport mai multe cazuri de firme mici lovite direct, cu nume și detalii.

Cazul unei firme mici: un email fals de la „CECCAR", un dispozitiv blocat

Printre incidentele descrise în raport e și cel al Dasco Grup SRL, o firmă de instalații electrice, genul de companie fără departament IT, fără specialist în securitate, exact ca multe dintre firmele care citesc acest articol.

Un angajat a primit un email care părea trimis de CECCAR și a deschis atașamentul. În spatele lui era un program care a criptat un dispozitiv al companiei cu BitLocker, iar datele au devenit inaccesibile. Atacatorii au cerut inițial 12.000 de lei răscumpărare, apoi au urcat pretenția la 15.000 de lei.

Compania nu a plătit. A putut să-și restaureze sistemul de operare și datele dintr-o copie de siguranță (backup) făcută cu aproximativ două luni înainte de atac. Fără acel backup, ar fi avut de ales între a plăti 15.000 de lei unor infractori sau a pierde datele definitiv.

De ce ajung și firmele mici pe lista atacatorilor

Firmele mici ajung ținte tocmai pentru că, spre deosebire de bănci, rareori au un departament IT sau pe cineva dedicat securității, iar atacatorii aleg calea cu cea mai mică rezistență. Raportul DNSC confirmă asta cu o cifră concretă: doar în 2025, DNSC a observat o intensificare a atacurilor de tip phishing îndreptate direct către firme și angajați din domeniul serviciilor de contabilitate, motiv pentru care a transmis 1.799 de avertizări individuale către firme de servicii de contabilitate, cu recomandări tehnice concrete pentru a evita astfel de atacuri.

Cazul Dasco Grup arată cealaltă față a aceleiași probleme: firma nu era o firmă de contabilitate, dar a fost atacată tocmai prin ideea de a se da drept una: un email fals „de la CECCAR". Fie că ești tu ținta directă, fie că cineva se dă drept contabilul tău ca să te păcălească, mesajul e același: orice email care cere urgent o parolă sau un atașament din partea contabilității merită verificat înainte să fie deschis.

Când ești victimă și tot primești o amendă GDPR

Dacă firma ta e atacată și nu aveai măsuri de securitate de bază, poți fi sancționat chiar dacă ești victimă, nu vinovat.

Așa s-a întâmplat cu Poliserv JG SRL, un dealer auto din Ploiești. Un angajat a deschis un email de tip phishing și a dezvăluit, fără să știe, parola unui cont cu drepturi de administrator din sistemul informatic al firmei. Atacatorii au ajuns astfel la datele unor clienți (nume și prenume). ANSPDCP a amendat firma cu 15.728 de lei (echivalentul a 3.000 de euro), în baza articolului 32 din GDPR, care obligă orice operator să aibă măsuri tehnice și organizatorice adecvate și să le testeze periodic, conform unui comunicat al instituției. Firma nu a fost sancționată pentru că a fost atacată, ci pentru că nu avea aceste măsuri.

Legea nu te scutește de răspundere doar pentru că infractorul e altcineva: dacă păstrezi date despre clienți (nume, adrese, emailuri, iar aproape orice magazin sau firmă cu clienți o face), ești obligat să ai măsuri minime de protecție. Am detaliat obligațiile astea, cu un alt caz concret, în ghidul GDPR pentru magazine online.

Ce faci concret, începând de azi

Nu ai nevoie de un departament IT ca să reduci semnificativ riscul. Patru lucruri, în ordinea în care merită făcute:

1. Activează autentificarea în doi pași la email, la contul de administrator al site-ului și la orice cont bancar sau de contabilitate online. Este gratuită și oprește majoritatea atacurilor de tip „am aflat parola".
2. Fă un backup și testează-l: nu doar salvează o copie, ci verifică o dată la câteva luni că poți chiar recupera datele din ea. Exact asta a salvat-o pe Dasco Grup.
3. Vorbește cu angajații despre emailurile care cer urgent o parolă, un cod sau un atașament „important", mai ales dacă par trimise de contabilitate, bancă sau un furnizor cunoscut. Cinci minute de discuție, o dată la câteva luni, contează mai mult decât orice soft.
4. Limitează cine are drepturi de administrator pe site și în sistemele firmei: cu cât mai puțini oameni au acces complet, cu atât mai mic e riscul ca o singură greșeală să compromită tot.

Dacă ai un magazin online, lista completă de măsuri tehnice recomandate de Autoritatea Națională pentru Protecția Consumatorilor (ANPC) și DNSC e în cele 9 măsuri de securitate pentru magazinul tău online. Iar dacă vrei tot ce trebuie verificat dintr-o privire, ai checklistul cu cele 18 reguli obligatorii pentru magazinele online în 2026.