Ești atacat cibernetic și pierzi datele clienților? Trei firme din România au luat amenzi de peste 120.000 de lei într-o lună

Într-o singură lună, trei firme din România au primit amenzi de peste 120.000 de lei după ce au fost atacate informatic, potrivit deciziilor publicate de autoritatea pentru protecția datelor (ANSPDCP). Niciuna nu a fost sancționată pentru atacul în sine, ci pentru ce lipsea înainte de el: un dealer auto din Ploiești nu își instruise angajații să recunoască un e-mail de phishing, o firmă cu magazin online folosea o platformă care nu era la versiunea oficială a producătorului, iar un producător de cosmetice cu 48 de angajați nu putea arăta cine intrase în sistemele sale și când. La ultimul, controlul a pornit chiar de la notificarea pe care firma a depus-o singură, așa cum o obligă legea.

Cine a fost amendat și cu cât

Între 31 iulie și 28 august, autoritatea pentru protecția datelor a sancționat trei firme din România care fuseseră atacate informatic. Amenzile pentru încălcarea Regulamentului general privind protecția datelor (GDPR) însumează 120.534,50 lei, iar temeiul este același în toate cele trei cazuri, articolul 32, cel care cere măsuri de securitate adecvate riscului.

Homelux SRL, 31 iulie, 78.570 de lei (aproximativ 15.000 de euro), plus 30.000 de lei pe Legea 506/2004. Sancțiunea a venit pentru art. 32 alin. (1) lit. d) și alin. (2) din GDPR. La momentul incidentului, platforma site-ului nu corespundea tehnic versiunii oficiale lansate de producător, iar cerințele de complexitate pentru parole erau slabe și au rămas așa și după incident, potrivit comunicatului autorității. Datele afectate au inclus nume, prenume, adrese, e-mailuri și parole. Amenda separată, de 30.000 de lei, a venit pentru art. 4 alin. (5) din Legea 506/2004, fiindcă pe site se stocau cookie-uri de urmărire fără consimțământul vizitatorilor. Măsurile corective dispuse: testarea și evaluarea periodică a sistemelor, cerințe de complexitate pentru parole și autentificare multifactor pentru conturile de administrator, plus o soluție de protecție a aplicației web.

Poliserv JG SRL, 19 august, 15.728 de lei (aproximativ 3.000 de euro), pentru art. 32 alin. (1) lit. b) și alin. (2). Atacatorii au folosit credențialele unui cont de utilizator cu drepturi de administrator, obținute printr-un atac de phishing, potrivit comunicatului din 19 august. Au fost expuse numele și prenumele unor clienți. Măsurile corective dispuse: verificarea periodică a procedurilor privind protecția datelor și instruirea personalului cu privire la riscuri, inclusiv identificarea mesajelor de tip phishing.

Gerocossen SRL, 28 august, 26.236,50 lei (aproximativ 5.000 de euro), pentru art. 32 alin. (1) lit. b) și alin. (2). Un atac asupra infrastructurii informatice a dus la divulgarea sau accesarea neautorizată a unor date de identificare și de contact, potrivit comunicatului din 28 august. Producătorul român de cosmetice are 48 de angajați, potrivit datelor din registrul comerțului. Autoritatea a dispus implementarea unui sistem de monitorizare și jurnalizare a accesului în infrastructura IT, păstrarea jurnalelor minimum 30 de zile și copii de siguranță ale acestor jurnale.

De ce primești amendă GDPR chiar dacă tu ai fost victima atacului

Articolul 32 din GDPR cere măsuri de securitate potrivite riscului, implementate înainte de incident. Obligația nu este să oprești orice atac. Verificarea autorității se uită la ce aveai pregătit în momentul în care s-a produs.

Faptul că atacatorul comite o infracțiune nu anulează obligația firmei care deține datele. În toate cele trei decizii apare aceeași constatare, că operatorul nu implementase măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului.

Tiparul nu este nou. În februarie 2025, producătorul de cosmetice Farmec a primit o amendă de 5.000 de euro după un atac care a expus o bază de date cu utilizatori, nume, e-mailuri și parole criptate, tot pentru lipsa unor măsuri de securitate și pentru sisteme neactualizate, potrivit relatării HotNews.

Ce se întâmplă după ce anunți autoritatea că ai fost atacat

În cazul Gerocossen, investigația a pornit chiar de la notificarea depusă de firmă, conform art. 33 din GDPR, iar autoritatea a finalizat-o în iulie. Controlul a venit, așadar, după ce operatorul își îndeplinise obligația de a raporta incidentul.

Notificarea rămâne obligatorie. Raportarea către ANSPDCP se face în 72 de ore atunci când breșa poate genera un risc pentru drepturile persoanelor, iar nenotificarea unui incident care trebuia raportat este ea însăși o încălcare a art. 33. Amenda nu a venit fiindcă firma a anunțat, ci pentru ce a arătat verificarea de după, adică măsuri care lipseau deja înainte de atac.

Pentru o firmă mică, consecința practică este că măsurile de bază trebuie să existe acum, nu după incident, fiindcă notificarea deschide automat discuția despre ce aveai pregătit.

Câte atacuri s-au raportat în România în 2025

În 2025 s-au raportat în România 4.975 de incidente de phishing și 1.125 de conturi compromise, în creștere pe toate palierele față de anul precedent, potrivit raportului anual al Directoratului Național de Securitate Cibernetică (DNSC).

• Phishing: 4.975 de incidente, față de 2.917 în 2024, o creștere de 70,6%.
• Conturi compromise: 1.125 de incidente, față de 248 în anul precedent, de peste patru ori și jumătate mai multe.
• Ransomware: 256 de incidente majore, o creștere de 153%, care au afectat 119 firme, 115 persoane fizice și 22 de instituții publice.
• Sectoare vizate: domeniul bancar a concentrat 71% dintre incidente, iar serviciile poștale și de curierat 10,8%.

Cât de pregătite sunt firmele din România să facă față acestor atacuri am analizat separat, pe datele a trei studii publicate în ultima lună, în Starea securității cibernetice în IMM-uri. Doar 27% dintre companiile din România ar fi pregătite de un atac.

Cazul unei firme mici: un e-mail fals de la „CECCAR", un dispozitiv blocat

Dasco Grup SRL, firmă de instalații electrice, a primit un e-mail care părea să vină de la CECCAR, corpul contabililor. Un angajat a deschis atașamentul, iar programul instalat a criptat datele cu BitLocker și a blocat accesul la ele.

Atacatorii au cerut inițial 12.000 de lei, apoi au ridicat suma la 15.000 de lei. Firma nu a plătit și a recuperat informațiile dintr-un backup vechi de aproximativ două luni, potrivit raportului DNSC.

Ce le face pe firmele mici o țintă

Organizațiile fără personal IT dedicat au cel mai mic scor de pregătire dintre toate modelele analizate în studiul citat mai sus, 33 de puncte din 100. Fără departament IT, fără proceduri scrise și de multe ori fără o persoană responsabilă clar de securitate, o firmă mică opune mai puțină rezistență. În plus, atacatorii țintesc profesiile care ating banii altor firme. Numai în 2025, DNSC a transmis 1.799 de avertizări individuale către firme care oferă servicii de contabilitate.

Ce le-a lipsit celor trei firme amendate

Lipsurile sancționate au fost, în toate cele trei cazuri, de bază. O platformă neactualizată, angajați neinstruiți și absența jurnalelor de acces. Niciuna nu presupunea un departament IT sau un buget mare.

• Homelux: platforma site-ului nu era pe versiunea oficială a producătorului, iar cerințele pentru parole erau slabe. Deci actualizări la zi și o politică de parole serioasă, cu autentificare multifactor pe conturile de administrator.
• Poliserv JG: personalul nu era instruit să recunoască un e-mail de phishing, iar procedurile nu erau verificate periodic. Deci instruire și verificări repetate.
• Gerocossen: lipsea monitorizarea și jurnalizarea accesului în infrastructura IT. Deci să poți spune, după un incident, cine a intrat, când și de unde.

Cele nouă măsuri de securitate pe care eAfacerea le-a extras din ghidul pentru comerț online al Protecției Consumatorilor (ANPC) acoperă exact aceste puncte, într-o formă în care le poți verifica una câte una.

Ce ai de făcut, începând de azi

1. Activează autentificarea în doi pași la e-mail, la contul de administrator al site-ului și la orice cont bancar sau de contabilitate online.
2. Fă un backup și testează-l. Nu doar salvezi o copie, ci verifici o dată la câteva luni că poți recupera efectiv datele din ea.
3. Vorbește cu angajații despre e-mailurile care cer urgent o parolă, un cod sau un atașament „important".
4. Limitează cine are drepturi de administrator pe site și în sistemele firmei.
5. Ține platforma site-ului la zi, pe versiunea oficială a producătorului, inclusiv modulele și extensiile instalate.
6. Verifică dacă ai jurnale de acces și dacă se păstrează cel puțin 30 de zile, cu o copie de siguranță separată.

Lista completă de verificat se află în 9 măsuri de securitate pentru magazinul tău online, plus cine e obligat să raporteze incidentele și în 18 reguli obligatorii pentru magazinele online în 2026. Obligațiile GDPR pentru un magazin online sunt detaliate în Respectă magazinul tău online GDPR-ul? Amenzile pot ajunge până la 20.700 de euro, iar partea de cookie-uri, pentru care Homelux a primit amenda separată, în Este valid bannerul de cookie-uri de pe magazinul tău online? Amenzile pot ajunge până la 30.000 de lei.

Acest articol are caracter informativ și nu reprezintă consultanță juridică.