Binance a pierdut 6,3 miliarde de dolari printr-un singur laptop. Igiena cibernetică vă protejează firma în 2027?

Nu, un antivirus nu vă protejează firma, oricât ar costa licența. Pe 29 octombrie 2026, Binance, cea mai mare platformă de tranzacționare a bitcoinului și a celorlalte criptomonede, a pierdut în aproximativ 20 de minute circa 6,3 miliarde de dolari, după propria estimare, iar punctul de plecare a fost laptopul compromis al unui inginer. Igiena cibernetică este exact disciplina care s-a rupt acolo: cine are acces la ce, de pe ce dispozitiv, cu ce fel de autentificare și cine verifică înainte ca o operațiune să devină ireversibilă. Despre asta sunt și cursurile Auditor Securitate Cibernetică și Membri CSIRT de la Centrul de Formare APSAP, autorizate de Directoratul Național de Securitate Cibernetică.

Documentare: 30 octombrie 2026.

Am scris acest text la o zi după atac, pe baza declarației oficiale a Binance și a analizelor publicate de firmele de securitate. Binance a anunțat un raport tehnic complet după încheierea investigației. Ce nu se va schimba este lecția: atacatorii nu au spart criptografia, au intrat pe ușa unui om.

Ce s-a întâmplat la Binance pe 29 octombrie 2026?

Binance a confirmat că un atacator a ajuns, prin laptopul compromis al unui inginer DevOps, la un container de servicii care avea dreptul să ceară retrageri și a trimis tranzacții de retragere neautorizate din portofelele operaționale ale platformei. În declarația publicată pe 30 octombrie 2026, compania estimează impactul la circa 6,3 miliarde de dolari, spune că nu există dovezi că vreo cheie privată ar fi fost furată, anunță aproximativ 3 miliarde de dolari înghețate împreună cu emitenții de stablecoin și cu rețelele partenere și confirmă suspendarea retragerilor până la refacerea serviciului. Firmele de analiză a blockchainului au descris furtul drept cel mai mare din istoria criptomonedelor, de circa patru ori mai mare decât cel suferit de Bybit în februarie 2025.

Binance a anunțat că acoperă pierderile din fondul propriu de asigurare și din banii companiei și că utilizatorii nu vor suporta impactul financiar. Raportată la activele de circa 144 de miliarde de dolari pe care le administra, pierderea înseamnă aproximativ 4%. TRM Labs și Chainalysis au atribuit atacul, cu grade diferite de certitudine, grupării nord-coreene cunoscute drept TraderTraitor, aceeași care a lovit Bybit; atribuirea aparține deocamdată firmelor private de analiză, iar ancheta oficială este în curs.

Rețineți un singur lucru din toată povestea: o companie cu peste 300 de milioane de utilizatori înregistrați, care cheltuiește pe securitate la o scară pe care nicio firmă din România nu o atinge, a fost golită prin dispozitivul unui singur angajat, folosit într-o sesiune legitimă, cu unelte legitime. Antivirusul de pe acel laptop nu avea ce să prindă.

Dacă Binance a fost atacată, vă protejează un simplu antivirus?

Un antivirus recunoaște fișiere deja cunoscute ca periculoase. Atacurile din 2025-2026 nu arată așa. La Bybit, în februarie 2025, laptopul unui dezvoltator al furnizorului Safe{Wallet} a fost compromis după ce a rulat un proiect Python primit de la un presupus recrutor; atacatorii i-au furat apoi sesiunile deschise în cloud, au ocolit autentificarea în doi pași pentru că sesiunea era deja autentificată, au modificat un singur fișier al interfeței și i-au făcut pe semnatarii Bybit să aprobe un transfer de 1,5 miliarde de dolari care arăta corect pe ecran. Bitget a pierdut, în septembrie 2026, circa 388 de milioane de dolari printr-o vulnerabilitate necunoscută public din două produse de securitate ale unor terți.

Cifrele spun același lucru la scară largă. Verizon Data Breach Investigations Report 2026, construit pe peste 22.000 de breșe confirmate, găsește elementul uman în 62% dintre ele și un terț implicat în 48%, iar la firmele mici în 55%. Sophos a întrebat în 2026 peste 2.000 de responsabili IT din organizații lovite de ransomware: 79% dintre atacuri au pornit de la identități compromise, iar autentificarea în doi pași exista în 97% dintre aceste cazuri. CrowdStrike a măsurat în 2025 un interval mediu de 29 de minute între primul acces și mișcarea laterală în rețea, cu un record de 27 de secunde.

În opinia mea, antivirusul a ajuns să fie lacătul de la poartă pentru un hoț care intră cu cheia angajatului: obligatoriu, util și complet insuficient. Atacatorii folosesc PowerShell, conturi reale și sesiuni reale, iar unele grupări de ransomware vin cu un instrument dedicat care oprește produsele a 14 producători de securitate înainte să cripteze ceva. Întrebarea corectă nu este ce produs aveți, ci ce se întâmplă în firma dumneavoastră atunci când produsul nu vede nimic.

Ce este igiena cibernetică și de ce contează mai mult decât produsele?

Igiena cibernetică este suma obiceiurilor verificabile care reduc șansa ca un singur om, un singur dispozitiv sau un singur furnizor să vă coste firma: autentificare rezistentă la phishing pentru e-mail, administratori și plăți; actualizări aplicate în zile, nu în luni; drepturi de acces minime și separate pentru administrare; jurnale păstrate în altă parte decât pe mașina care poate fi compromisă; copii de siguranță offline, testate periodic; și o regulă simplă pentru orice operațiune ireversibilă, de la un transfer bancar la ștergerea unei baze de date: aprobare de la doi oameni, pe două canale diferite.

Dovezile există și sunt incomode pentru cei care vând produse. Un studiu Microsoft pe conturi reale a măsurat că autentificarea în doi pași reduce riscul de compromitere cu 99,22%, însă aceeași autentificare nu oprește phishingul prin servere intermediare, care fură sesiunea deja deschisă; soluția măsurată de Google a fost cheia fizică de securitate, cu zero victime în rândul utilizatorilor care foloseau exclusiv astfel de chei. Peticirea merge prost peste tot: după Verizon, doar 26% dintre vulnerabilitățile exploatate activ au fost remediate complet în 2025, cu un termen median de 43 de zile.

Instruirea clasică anti-phishing are, surprinzător, cele mai slabe dovezi. Un studiu pe 19.789 de angajați ai unui sistem spitalicesc american, publicat în 2025, nu a găsit nicio legătură semnificativă între instruirea anuală și rata de click, iar 56% dintre angajați au dat click pe cel puțin o momeală în opt luni. Concluzia autorilor: banii merg mai bine în autentificare rezistentă la phishing și în manageri de parole. Aceasta este igiena cibernetică reală și tocmai de aceea se învață ca disciplină de audit, cu dovezi și liste de verificare, iar nu ca prezentare de 20 de minute la angajare.

Ce trebuie să știți: cum arată atacurile în România în 2026

Raportul anual de activitate al Directoratului Național de Securitate Cibernetică pentru 2025, publicat pe 14 august 2026, numără 4.975 de incidente de phishing (cu 70,6% mai multe decât în 2024), 3.937 de fraude și tentative de fraudă (plus 91%), 1.125 de compromiteri de conturi (plus 353%) și 256 de incidente ransomware majore (plus 153%), în care au fost sprijinite 22 de instituții publice, 119 persoane juridice și 115 persoane fizice. Nota de fundamentare a bugetului suplimentar, citată în septembrie 2026, vorbea de aproape 23.500 de incidente în 2026, aproape dublu față de 2025, gestionate de o autoritate care funcționează cu circa 20% din personalul prevăzut de lege.

Lista victimelor din ultimul an: Administrația Națională „Apele Române” (circa 1.000 de sisteme blocate, decembrie 2025), Complexul Energetic Oltenia (ransomware, 26 decembrie 2025), Agenția Națională de Cadastru și Publicitate Imobiliară (toate sistemele oprite din 14 iulie 2026), Administrația Națională a Penitenciarelor (29 iulie 2026), Depozitarul Central (date ale investitorilor vizualizate de persoane neautorizate, 8 octombrie 2026) și Radiocom (19 octombrie 2026). Pe 29 septembrie 2026 a venit și prima amendă pentru nenotificarea unui incident în termen: 50.000 de lei.

Pentru companii, cadrul este Ordonanța de urgență nr. 155/2024, aprobată prin Legea nr. 124/2025: entitățile esențiale și importante trimit o avertizare timpurie în cel mult 24 de ore de la aflarea incidentului semnificativ, notificarea în 72 de ore și raportul final într-o lună, se supun auditului de securitate cibernetică, își instruiesc conducerea și personalul, iar amenzile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri mondială. Până la finalul lui 2025 erau înregistrate 644 de entități esențiale și 34 importante; autoritatea estima peste 3.000 în 2026. Dacă livrați unei astfel de entități, cerințele ajung la dumneavoastră prin contract.

Ce trebuie să faceți imediat dacă bănuiți un atac?

Prima oră decide cât veți pierde. Ghidul agenției americane CISA pentru victimele ransomware, pe care îl consider cel mai clar text operațional disponibil gratuit, începe cu izolarea: deconectați sistemele afectate de la rețea, la nivel de switch dacă sunt mai multe, scoateți cablul sau opriți Wi-Fi-ul dacă nu puteți altfel, dar nu închideți calculatoarele, pentru că memoria lor conține probele. Vorbiți prin telefon sau pe un canal din afara rețelei, ca atacatorul să nu afle că l-ați văzut.

Apoi: păstrați jurnalele, imaginile de sistem și mostrele înainte de orice curățare; nu resetați parolele până nu ați reconstruit sistemele curate, altfel atacatorul le citește și pe cele noi; restaurați din copii de siguranță offline, nu din cele conectate la rețea; anunțați conducerea, asigurătorul și autoritățile. Ghidul DNSC privind politica de răspuns la încălcarea securității datelor, prezentat pe 31 iulie 2026, adaugă secvența românească: dacă sunteți entitate reglementată, alertați Directoratul în cel mult 24 de ore prin numărul 1911 sau prin platforma PNRISC de pe dnsc.ro; dacă au fost afectate date personale, notificați Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în cel mult 72 de ore; plata unei răscumpărări nu anulează niciuna dintre obligații.

Pentru persoanele fizice sau firmele mici păcălite să transfere bani, ordinea recomandată de autorități este Poliția, banca și abia apoi 1911. Dacă nu știți nimic din toate acestea înainte de incident, le veți învăța în timpul lui, pe banii dumneavoastră. Exact pentru momentul acela a fost gândit cursul pentru membrii echipelor CSIRT.

Ce învățați despre igiena cibernetică la cursurile Auditor Securitate Cibernetică și Membri CSIRT?

Cele două programe acoperă cele două momente ale poveștii Binance: înainte și după. Auditorul de securitate cibernetică verifică din exterior, înainte de incident, dacă regulile de igienă cibernetică există și sunt respectate: cine are drepturi de administrare și de pe ce dispozitive, cum sunt protejate conturile privilegiate, cât de repede se aplică actualizările, unde stau jurnalele, dacă furnizorii sunt evaluați, dacă există plan de răspuns și copii de siguranță testate. La cursul de Auditor Securitate Cibernetică, în 60 de ore, se lucrează pe planificarea misiunii de audit, pe controalele tehnice și organizatorice cu reperele ISO/IEC 27001 și NIST, pe colectarea dovezilor și pe redactarea raportului cu planul de remediere.

Membrul echipei CSIRT intră în scenă când alerta sună: triază, izolează, păstrează probele, coordonează recuperarea și scrie notificările către autoritate în termenele de 24 și 72 de ore. Programul Membri CSIRT, de 30 de ore, parcurge cu studii de caz și simulări cadrul legal, analiza incidentelor și a artefactelor digitale, gestionarea vulnerabilităților, continuitatea operațională, platformele de schimb de informații precum MISP și evaluarea impactului după Ordinul DNSC nr. 2/2025; reperele sunt ISO/IEC 27035, NIST SP 800-61 și MITRE ATT&CK. Ce înseamnă o echipă CSIRT în România, în Uniunea Europeană și în Statele Unite am explicat separat.

Citiți lista de mai sus în paralel cu cronologia Binance și veți vedea că fiecare punct corespunde unui control care a lipsit sau a cedat: un laptop cu acces privilegiat tratat ca orice alt laptop, un serviciu care putea cere singur retrageri, o detecție venită când banii erau deja în mișcare. Igiena cibernetică nu este teorie; este lista de verificare pe care o completați dumneavoastră înainte să o completeze altcineva în locul dumneavoastră.

De ce să participați în 2027 la aceste cursuri?

Pentru că 2027 este anul în care legea se aplică pe scară largă. Aplicarea efectivă a Ordonanței de urgență nr. 155/2024 a pornit în august 2025, înregistrările duc numărul entităților spre 3.000, prima amendă a venit în septembrie 2026, iar auditurile, cursurile pentru conducere și instruirea personalului desemnat sunt următoarele pe listă. O firmă care intră sub lege are nevoie fie de oameni proprii care știu ce verifică un auditor și ce face o echipă de răspuns, fie de furnizori; în ambele cazuri cineva din interior trebuie să înțeleagă ce cumpără, ce semnează și cum arată igiena cibernetică în propria firmă.

Pentru că piața nu are oameni. Analiza DNSC a pieței muncii în securitate cibernetică, publicată în 2026, estimează 12.000-13.000 de specialiști în România și un deficit imediat de 2.200-2.500. Un contabil, un jurist, un administrator de rețea sau un manager IT care adaugă în 2027 competența de audit sau de răspuns la incidente intră pe o piață care plătește lipsa, nu abundența.

Și pentru că atacurile nu așteaptă bugetul de anul viitor. Mandiant a măsurat în 2025 un interval median de 22 de secunde între accesul inițial obținut de un grup criminal și predarea accesului către al doilea grup, cel care duce atacul mai departe. Dacă Binance, cu resursele ei, a avut nevoie de șase ore ca să explice public ce s-a întâmplat, o firmă fără oameni instruiți nu are nicio șansă să afle la timp. Ambele cursuri se desfășoară online, cu sesiuni live pe Zoom și cu platforma de e-learning APSAP; calendarul este pe paginile cursurilor.

Ce garanție vă oferă cursurile Centrului de Formare APSAP?

Garanția este instituțională, nu de marketing. Centrul de Formare APSAP este furnizor autorizat de Directoratul Național de Securitate Cibernetică pentru programul Auditor Securitate Cibernetică prin Autorizația seria EFS nr. 7010 din 16.09.2024, valabilă până la 15.09.2027, și pentru programul Membri CSIRT prin Autorizația seria EFE nr. 9005 din 13.05.2026, valabilă până la 12.05.2029. Programele sunt construite pe tematica stabilită de autoritate și se actualizează când autoritatea schimbă regulile de autorizare a furnizorilor de formare.

Formatorii sunt practicieni autorizați și selectați de DNSC pentru aceste programe: Cătălin Opran, inginer de sistem și administrator de rețea în structura de securitate a Regiei Autonome Monetăria Statului, după 20 de ani în domeniu; Sorin Mureșan, consilier în departamentul IT al Consiliului Concurenței, cu peste 25 de ani în IT; Crina Negoescu, auditor de securitate cibernetică atestat DNSC, cu 20 de ani în IT&C, consultant pe ISO 27001 și managementul riscului. Examenul se susține online, în fața unei comisii din partea DNSC: la auditori, un test grilă de 18 întrebări și un proiect de audit prezentat comisiei; la CSIRT, un test grilă și un studiu de caz care simulează un incident și modul corect de reacție și raportare.

La final primiți certificatul de specializare emis de DNSC, documentul oficial care confirmă absolvirea unui program autorizat de autoritatea competentă. O precizare pe care o facem și pe pagina cursului: pentru a efectua audituri reglementate, auditorul are nevoie și de atestatul individual DNSC, valabil trei ani, obținut printr-o procedură distinctă după curs; cursul este pregătirea pentru acel drum. Ce au spus participanții se poate citi în analizele formularelor de evaluare: 367 de formulare la Auditor Securitate Cibernetică, cu media 4,76 din 5, și 54 de formulare la Membri CSIRT, cu media 4,82.

Cine este Centrul de Formare APSAP și cum verificați un furnizor de formare?

Cele două programe DNSC fac parte din categoria de cursuri de securitate cibernetică a Centrului de Formare APSAP, furnizor de formare profesională pentru companii, organizații, profesioniști și persoane fizice, cu circa 85% din activitate în zona privată. Fundația, înființată în 2014 pe experiența unei echipe active din 2006, deține 27 de autorizări și recunoașteri oficiale, a pregătit peste 250.000 de participanți, lucrează cu peste 75 de formatori, dintre care peste 60 au profil public pe site, și are o platformă proprie de e-learning cu peste 500 de ore de lecții. Recenziile Google au nota 5 din 5 la peste 15.500 de recenzii.

Verificați orice furnizor de formare la fel cum un auditor verifică igiena cibernetică a unei firme: după dovezi, nu după promisiuni. Cum se face asta am scris în pagina cu cele 12 lucruri verificabile despre Centrul de Formare APSAP, iar diferența dintre un curs „acreditat” și unul autorizat în ghidul despre cursurile acreditate sau autorizate. Mai multe despre echipă găsiți pe pagina Despre APSAP și pe pagina mea de autor, iar pentru înscrieri de grup sau întrebări despre programe ne puteți scrie prin pagina de contact.

„Binance nu a fost spartă de un geniu al criptografiei, ci printr-un laptop lăsat să facă singur ceea ce ar fi trebuit să ceară doi oameni. Igiena cibernetică este disciplina de a nu lăsa niciodată un singur punct să decidă totul.”

Bogdan-Costin FÂRȘIROTU, Președinte, Centrul de Formare APSAP

Întrebări frecvente despre igiena cibernetică și cursurile autorizate DNSC

Este suficient un antivirus pentru a proteja o firmă mică?

Nu. Antivirusul oprește fișiere deja cunoscute ca periculoase, iar atacurile actuale folosesc conturi reale, sesiuni deja autentificate și unelte legitime ale sistemului de operare. Atacul asupra Binance din 29 octombrie 2026 a pornit de la laptopul unui inginer, iar cel asupra Bybit din 2025 de la laptopul unui dezvoltator al unui furnizor. Pentru firma dumneavoastră, antivirusul rămâne obligatoriu, dar protecția reală vine din igiena cibernetică: autentificare rezistentă la phishing, actualizări rapide, drepturi minime, copii de siguranță offline și un plan de răspuns pe care cineva din firmă îl cunoaște înainte de incident.

Ce înseamnă igiena cibernetică pentru o companie?

Igiena cibernetică înseamnă obiceiuri verificabile, repetate zilnic, care reduc șansa ca un singur om, dispozitiv sau furnizor să compromită întreaga organizație. În practică: fiecare cont important are autentificare în doi pași rezistentă la phishing, actualizările critice se aplică în câteva zile, nimeni nu lucrează curent cu drepturi de administrator, jurnalele sunt păstrate în afara mașinilor care pot fi compromise, copiile de siguranță sunt offline și testate, iar orice operațiune ireversibilă cere aprobarea a doi oameni. Un audit de securitate cibernetică verifică exact dacă aceste obiceiuri există în firma dumneavoastră sau doar în proceduri.

Ce fac în prima oră după ce descopăr un atac cibernetic?

Izolați sistemele afectate de rețea fără să le închideți, pentru că memoria lor păstrează probele; comunicați prin telefon sau pe un canal din afara rețelei, ca atacatorul să nu afle că a fost descoperit; păstrați jurnalele și imaginile de sistem înainte de orice curățare; nu resetați parolele până nu ați reconstruit sistemele curate; restaurați numai din copii de siguranță offline. Anunțați conducerea, asigurătorul și, dacă este cazul, Directoratul Național de Securitate Cibernetică prin 1911. Dacă ați fost păcăliți să transferați bani, ordinea recomandată este Poliția, banca și apoi 1911.

Cine trebuie să notifice DNSC și în ce termen?

Entitățile esențiale și importante înregistrate potrivit Ordonanței de urgență nr. 155/2024 trimit o avertizare timpurie în cel mult 24 de ore de la momentul în care au luat cunoștință de un incident semnificativ, o notificare a incidentului în cel mult 72 de ore și un raport final în cel mult o lună, prin platforma PNRISC. Separat, orice operator care prelucrează date personale notifică Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în cel mult 72 de ore. Plata unei răscumpărări nu vă scutește de niciuna dintre aceste obligații, iar prima amendă pentru notificare întârziată a fost aplicată în septembrie 2026.

Ce diferență este între cursul Auditor Securitate Cibernetică și cursul Membri CSIRT?

Auditorul lucrează înainte de incident: verifică din exterior dacă măsurile de securitate există și funcționează, colectează dovezi și scrie raportul cu planul de remediere. Membrul echipei CSIRT lucrează în timpul și după incident: triază alertele, izolează sistemele, păstrează probele, coordonează recuperarea și întocmește notificările către autoritate. Dacă dumneavoastră răspundeți de conformitatea firmei sau oferiți servicii de verificare, alegeți programul de auditor; dacă sunteți în echipa IT sau de securitate care intervine efectiv, alegeți programul CSIRT. Multe organizații au nevoie de ambele roluri, ocupate de persoane diferite.

Ce certificat primesc la cursurile autorizate DNSC de la Centrul de Formare APSAP?

La absolvire primiți certificatul de specializare emis de Directoratul Național de Securitate Cibernetică, după un examen susținut online în fața unei comisii din partea autorității. Centrul de Formare APSAP este furnizor autorizat prin Autorizația seria EFS nr. 7010 pentru programul Auditor Securitate Cibernetică și prin Autorizația seria EFE nr. 9005 pentru programul Membri CSIRT. Certificatul confirmă absolvirea programului autorizat; pentru a efectua audituri reglementate, auditorul parcurge separat, după curs, procedura de atestare individuală la DNSC, atestatul fiind valabil trei ani.

Pot participa la aceste cursuri fără o pregătire tehnică?

Da. Condiția de acces la ambele programe este diploma de licență, în orice domeniu, fără certificări prealabile. Tematica este construită astfel încât un jurist, un contabil, un manager sau un responsabil cu protecția datelor să o poată parcurge alături de administratorii de rețea, iar sesiunile live pe Zoom și platforma de e-learning vă permit să puneți întrebări formatorilor pe parcurs. Partea tehnică este explicată de la noțiuni de bază, cu studii de caz și simulări, iar examenul verifică înțelegerea procedurilor și a legislației, nu abilități de programare.