Operațiunea „PhantomGrid”: Cum a vizat România infrastructura critică în 2026

La sfârșitul lunii iunie 2026, analiștii BlackByte au identificat o campanie coordonată de intruziune cibernetică îndreptată împotriva mai multor operatori de infrastructură critică din România. Campania, intern denumită „PhantomGrid”, a vizat cu precădere rețele din sectorul energetic, telecomunicații și transporturi — toate clasificate ca infrastructuri critice naționale conform Directivei NIS2.

Analiza tehnică efectuată de echipa BlackByte, coroborată cu indicatori de compromitere (IOC) publicați de parteneri europeni de threat intelligence, sugerează că în spatele acestei operațiuni se află un grup APT cu resurse semnificative, probabil susținut de un actor statal din afara Uniunii Europene.

Ce s-a întâmplat: cronologia atacului

Primele semne ale campaniei au apărut în mai 2026, când sistemele de monitorizare ale unor companii din sectorul energetic au înregistrat conexiuni anormale spre servere de comandă și control (C2) localizate în mai multe jurisdicții, inclusiv în state cu reglementări slabe privind cooperarea judiciară internațională.

Vectorul inițial de compromitere a fost reprezentat de campanii de spear-phishing extrem de personalizate, adresate inginerilor SCADA și administratorilor de sisteme OT (Operational Technology). Mesajele conțineau atașamente cu documente Word ce exploatau o vulnerabilitate în motorul de randare a ecuațiilor — o clasă de vulnerabilități cunoscută, dar adesea nepatchuită în medii industriale.

Odată obținut accesul inițial, atacatorii au utilizat o tehnică de living-off-the-land — exploatând exclusiv instrumente legitime preinstalate în sistemele Windows (PowerShell, WMI, certutil) pentru a evita detectarea de către soluțiile antivirus tradiționale. Persistența a fost asigurată prin modificarea cheilor de registry și crearea de sarcini planificate (scheduled tasks) cu denumiri care imitau procese de sistem legitime.

Infrastructură critică din România — ținta principală a atacului

Ceea ce face campania PhantomGrid deosebit de îngrijorătoare este orientarea clară spre rețelele OT/ICS — adică sistemele care controlează efectiv echipamentele fizice: turbine, transformatoare, sisteme de distribuție a energiei electrice. Spre deosebire de atacurile cibernetice clasice care vizează date sau sisteme IT, un atac reușit asupra unui sistem SCADA poate provoca întreruperi fizice cu consecințe directe asupra populației și economiei.

România este țară membră NATO și UE, cu o rețea energetică interconectată cu cea europeană prin ENTSO-E. Orice perturbare majoră a rețelei românești ar putea afecta în cascadă state vecine — Bulgaria, Ungaria, Moldova. Această realitate geopolitică explică de ce România reprezintă o țintă strategică de interes ridicat pentru actorii ostili care urmăresc destabilizarea flanculului estic al Alianței.

Tehnici utilizate — perspectivă MITRE ATT&CK

Din perspectiva cadrului MITRE ATT&CK for ICS, operațiunea PhantomGrid a demonstrat un nivel ridicat de sofisticare. Echipa BlackByte a identificat utilizarea mai multor tehnici documentate: recunoaștere activă prin scanare pasivă a protocoalelor industriale (Modbus, DNP3), mișcare laterală prin protocoale de administrare la distanță, exfiltrare de date prin canale DNS și HTTPS criptate, și — cel mai alarmant — prezența unor implanturi dormante capabile să fie activate ulterior pentru a provoca daune fizice.

Grupul nu a declanșat efecte distructive imediate. Această caracteristică este tipică pentru operațiunile de tip pre-positioning — atacatorii se instalează în sisteme cu mult înainte de a acționa, așteptând momentul geopolitic oportun. Un scenariu similar a fost observat în Ucraina înainte de atacurile asupra rețelei electrice din 2015 și 2016.

Răspunsul instituțional și cooperarea europeană

Directoratul Național de Securitate Cibernetică (DNSC) a fost notificat și a activat protocoalele de răspuns la incident conform procedurilor NIS2. România cooperează, de asemenea, cu ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și cu rețeaua CSIRTs Network pentru partajarea rapidă a indicatorilor de compromitere cu omologii europeni.

La nivelul UE, Regulamentul privind Reziliența Entităților Critice (CER) și Directiva NIS2, ambele cu termene de implementare în statele membre până în 2024-2025, impun operatorilor de infrastructură critică obligații stricte de raportare și de implementare a măsurilor tehnice și organizatorice de securitate. Campania PhantomGrid demonstrează că aceste reglementări nu sunt birocrație inutilă — ci răspuns necesar la amenințări reale și active.

Ce pot face organizațiile românești acum

Indiferent dacă organizația ta activează sau nu în sectoare reglementate NIS2, lecțiile din campania PhantomGrid sunt relevante pentru orice companie cu infrastructură digitală. Prioritatea imediată numărul unu este auditarea acceselor privilegiate și eliminarea conturilor de serviciu cu parole implicite sau reutilizate. Urmează segmentarea rețelei IT față de rețeaua OT, acolo unde există echipamente industriale sau sisteme de control.

Implementarea monitorizării continue de tip SOC cu capabilitate de detectare a comportamentelor anormale (UEBA) este esențială, la fel ca aplicarea tuturor patch-urilor de securitate critice — cu prioritate pe sistemele expuse la internet și pe stațiile de lucru ale inginerilor. Testarea planurilor de răspuns la incident și a procedurilor de backup și recuperare trebuie realizată înainte ca un incident real să forțeze această verificare.

De asemenea, este esențial ca personalul tehnic să fie instruit să recunoască atacurile de spear-phishing — nu phishingul generic, ci mesajele personalizate, scrise în română corectă, care par să vină de la colegi, furnizori sau autorități de stat.

Concluzie: România nu este o țintă aleatorie

Operațiunea PhantomGrid confirmă o tendință documentată de mai mulți ani: România se află în mod constant pe lista țintelor prioritare ale grupurilor APT cu afilieri statale. Poziția geopolitică — membră NATO la granița estică, cu infrastructură energetică interconectată cu restul Europei, cu un sector IT în expansiune rapidă — o face atractivă atât ca țintă directă, cât și ca punct de tranzit spre sisteme europene mai mari.

Securitatea cibernetică a infrastructurii critice nu mai este o problemă tehnică de nișă. Este o problemă de securitate națională și de reziliență strategică europeană. Fiecare organizație care operează sisteme digitale — de la IMM-uri la operatori de utilități — contribuie, printr-o apărare robustă sau printr-o vulnerabilitate neadresată, la postura de securitate colectivă a României și a Uniunii Europene.

Pentru un ghid complet privind obligațiile legale ale operatorilor de infrastructură critică din România, consultă articolul nostru despre Directiva NIS2, precum și alertele oficiale publicate de DNSC.

Echipa BlackByte rămâne la dispoziția organizațiilor din sectorul energetic, telecomunicații și transporturi pentru evaluări de securitate, audit tehnic și servicii de răspuns la incident. Contactați-ne la contact@cyberthreat.ro pentru o evaluare confidențială.