Incident informatic la POSF: Datele utilizatorilor, expuse. ANRE explică ce s-a întâmplat

Platforma POSF, sistemul informatic unic prin care se realizează schimbarea furnizorului de energie electrică și gaze naturale, a fost afectată de o eroare tehnică ce a dus la expunerea datelor personale ale utilizatorilor. Autoritatea Națională de Reglementare în domeniul Energiei (ANRE) a precizat că nu este vorba despre un atac cibernetic, ci despre o vulnerabilitate apărută în timpul unor lucrări de mentenanță efectuate de către contractantul platformei.

Cuprins:

• Cum s-a produs incidentul informatic

• Ce măsuri tehnice au fost luate imediat

• Acțiunile administrative și inter-instituționale ale ANRE

• Care este riscul real pentru utilizatori

Cum s-a produs incidentul informatic

ANRE a transmis că vulnerabilitatea a apărut în urma unor lucrări de mentenanță realizate de contractantul tehnic al POSF. O eroare a permis posibilitatea accesării neautorizate a unor date. „Nu avem niciun indiciu să considerăm că incidentul a avut intenții ostile, pentru că vulnerabilitatea a fost adusă imediat la cunoștința ANRE de către persoana care a descoperit-o”, a precizat instituția. Conform sursei citate, procesul de accesare a datelor necesita competențe tehnice ridicate, ceea ce face ca incidentul să fie considerat unul limitat.

Ce măsuri tehnice au fost luate imediat

Contractantul platformei a dezactivat mecanismul de generare automată a API-urilor neautentificate și a restricționat endpoint-urile vulnerabile. În plus, au fost aplicate patch-uri de securitate, corectate setările și efectuat un audit complet al codului și infrastructurii. Totodată, au fost implementate teste automate de penetrare și s-au planificat audituri periodice interne și externe.

Acțiunile administrative și inter-instituționale ale ANRE

Pe partea administrativă, ANRE a inițiat proceduri de analiză și a solicitat clarificări de la contractant, pregătind demersuri pentru atragerea răspunderii în cazul unui eventual prejudiciu. De asemenea, reglementatorul a notificat Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și a cerut sprijinul Directoratului Național pentru Securitate Cibernetică (DNSC) și al Institutului de Cercetare-Dezvoltare în Informatică (ICI București).

Care este riscul real pentru utilizatori

ANRE subliniază că nu există dovezi că datele expuse ar fi fost utilizate în scopuri frauduloase și că vulnerabilitatea a fost remediată la doar o oră după ce a fost semnalată. În același timp, instituția atrage atenția că informațiile vehiculate în spațiul public privind „pierderi masive de date” sunt alarmiste și neconfirmate.