Peretas menghapus basis data pendaftaran tanah Rumania

• Peretas menyusup ke ANCPI dan, setelah upaya pemerasan gagal, menghapus basis data pendaftaran tanah serta cadangannya sehingga pasar properti Rumania praktis terhenti selama seminggu
• Penyerang masuk menggunakan kredensial yang valid, memetakan sistem internal, lalu menghapus data; server email ANCPI serta aplikasi dan situs web resminya juga ikut lumpuh
• Notaris tidak dapat mendaftarkan transaksi properti baru, dan warga tidak bisa memperoleh sertifikat kepemilikan serta catatan tanah terperinci
• Insiden ini diungkap pada 14 Juli bersamaan dengan penghapusan data, dan keesokan harinya kredensial pegawai, dokumen internal, serta informasi jaringan TI mulai dijual di forum peretasan
• ANCPI telah memulihkan situs webnya dan sedang membangun ulang seluruh jaringan dari nol; terlepas dari klaim penyerang, mereka kemungkinan masih memiliki salinan cadangan offline

---

Penyusupan dan penghapusan data

• Peretas menyusup ke ANCPI, lembaga kadaster dan pendaftaran properti Rumania, lalu menghapus basis data pendaftaran tanah nasional setelah gagal memeras uang
• Menurut sumber, penyerang masuk dengan kredensial sah, lalu memetakan sistem internal dan menghapus sistem beserta cadangannya
• Server email ANCPI juga lumpuh akibat insiden ini

Pasar properti yang terhenti

• Aplikasi dan situs web resmi offline selama seminggu, membuat seluruh pasar properti Rumania terhenti
  • Notaris tidak dapat mendaftarkan transaksi baru
  • Warga tidak bisa mendapatkan sertifikat kepemilikan maupun catatan tanah terperinci

Data yang bocor dan pelaku serangan

• Insiden ini diungkap pada 14 Juli saat peretas mulai menghapus data, dan keesokan harinya sebagian data curian mulai dijual di forum peretasan
• Materi yang diposting mencakup kredensial pegawai, dokumen internal, dan detail jaringan TI lembaga
• Data tersebut diposting oleh akun bernama ByteToBreach
  • ByteToBreach dikenal sebagai peretas yang pada tahun yang sama membobol sejumlah lembaga pemerintah dan perusahaan besar, termasuk portal e-government Swedia
  • Perusahaan keamanan KELA pada Desember 2025 mengindikasikan bahwa orang ini mungkin berada di Aljazair, lalu setelah insiden ANCPI memperbarui profilnya dan mengungkap identitasnya sebagai Zakaria Mahdjoub asal Oran, Aljazair

Pemulihan dan pembangunan ulang total

• ANCPI mengumumkan bahwa setelah memulihkan situs webnya, mereka sedang membangun ulang seluruh jaringan dari nol
• Penyerang mengklaim telah menghapus cadangan juga, tetapi tampaknya ANCPI memiliki salinan offline

Serangan yang menargetkan lembaga pendaftaran tanah di berbagai negara

• Selain Rumania, dalam tiga tahun terakhir lembaga pendaftaran tanah di Polandia, Slovakia, Yunani, Maroko, Rusia, dan Ukraina juga diretas

[tribela]

Saya jadi teringat Mr. Robot season 1. Di sana bahkan backup offline pun dibuat rusak total.

[loblue]

Di Hacker News, insiden kebakaran di pusat data pemerintah Korea juga sempat disebut ya wkwk

[GN⁺]

Komentar Hacker News

• Setelah peretasan, pihak berwenang mengumumkan akan memulihkan situs web dan membangun ulang seluruh jaringan lembaga dari nol. Peretas mengklaim telah menghapus cadangan, tetapi tampaknya ada salinan offline, jadi sepertinya tidak semuanya hilang
  Ada kekhawatiran tentang dampak sosial jika kepemilikan tanah tidak bisa dibuktikan, tetapi tampaknya skenario terburuk bisa dihindari

  • Bahkan di kota berpenduduk sekitar 50 ribu orang, kampung halaman ayah saya, dokumen catatan tanah pernah hilang akibat banjir besar tahun 1982. Menurut ayah saya yang seorang pengacara, data dibangun ulang berdasarkan bukti kepemilikan dan kesaksian warga
    Mula-mula bukti langsung diterapkan, lalu digunakan kesaksian dan masa pengajuan keberatan. Tidak mungkin pulih 100% dan pasti ada beberapa klaim palsu, tetapi di kota kecil tempat para tetangga saling mengenal, itu adalah solusi terbaik mengingat skala bencananya
  • Kita perlu mengingat kasus lama kesalahan pemindaian Xerox, saat dokumen resmi hasil pemindaian menjadi tidak sah. Kita sudah hidup di dunia di mana bahkan keabsahan dokumen hasil pindai bisa diperdebatkan secara hukum
  • Mengingat kondisi jaringannya, ada kemungkinan besar salinan offline itu juga jauh dari kondisi terbaru, jadi masih ada potensi kekacauan besar
  • Jika yang tersisa hanya cadangan offline, kecil kemungkinan pencadangan dilakukan setelah setiap transaksi, jadi kemungkinan besar setidaknya sekitar seminggu transaksi pendaftaran tanah hilang
    Jika tujuannya adalah menghapus transaksi terbaru tertentu, itu mungkin berhasil, dan dengan menghapus banyak catatan lain sekaligus, penyangkalan yang masuk akal dalam sengketa kepemilikan setelahnya juga menjadi mungkin. Jika hanya menghapus catatannya sendiri, lingkup tersangka akan sangat sempit ketika manipulasi itu terdeteksi
  • Saat bekerja di tempat kerja yang sangat penuh stres, saya khawatir bukan hanya soal kerusakan sistem kontrol versi tetapi juga kemungkinan mantan karyawan merusak sesuatu saat keluar. Jadi setiap bulan saya menyalin kode dan menyimpan media bertuliskan “promotion” di meja
    Kalau ada yang mengobrak-abrik meja saya, mereka mungkin mengira itu bahan pemerasan lalu kecewa saat melihat ternyata cuma kode

• ANCPI mengumumkan telah mulai memindahkan aplikasi ke Romania Government Cloud, dengan koordinasi dari Special Telecommunications Service(STS), dan ditargetkan selesai paling lambat Rabu, 22 Juli
  Setelah pemindahan, lembaga berwenang akan memeriksa aplikasi dan data, menyusun laporan tentang kondisi sistem dan langkah tambahan yang diperlukan, lalu berdasarkan itu mengumumkan perkiraan tanggal pemulihan. Layanan akan dipulihkan kembali secara bertahap sesuai prioritas operasional
  ANCPI menyatakan sedang membangun ulang basis data dari cadangan yang disimpan di beberapa lokasi, dan bahwa berkat banyak lokasi penyimpanan mereka memiliki redundansi serta kemampuan pemulihan setelah insiden keamanan siber. Sistem yang terdampak diisolasi sampai semua kerentanan ditangani, dan penyelidikan pidana sedang dilakukan bersama otoritas terkait, tetapi mereka mengatakan belum bisa mengungkapkan kesimpulan resmi

  • Seorang mantan rekan kerja dulu mengeluarkan disk cadangan setiap minggu dari pusat data aman milik perusahaan logistik properti komersial lalu membawanya ke safe deposit box bank
    Tetapi bank itu hanya berjarak dua blok dari pusat data, dan hanya sekitar 6~8 blok dari kantor, jadi bencana besar bisa saja menimpa ketiga lokasi sekaligus. Hanya salinan kedua yang disimpan di rumah pemilik yang benar-benar terpisah secara geografis
  • Ketika lembaga pemerintah mengumumkan akan menyelesaikan masalah dengan bermigrasi ke Government Cloud, justru terasa tidak ada harapan. Itu pada dasarnya berarti mereka akan memperbaiki masalah dengan mengulangi kesalahan yang sama
    Mereka harus mengakui kesalahan, membekukan sistem, lalu meminta bantuan pakar independen. Semoga beruntung bagi mereka yang baru-baru ini menjual atau membeli tanah di Rumania

• Dari yang saya dengar dari kenalan di Rumania, akar masalahnya adalah korupsi dan kontrak berdasarkan koneksi. Pemerintah memberikan kontrak TI dan data kepada orang dekat, dan mereka tidak melakukan pekerjaan keamanan yang sesungguhnya, sehingga terjadilah hal seperti ini

  • Di Rumania, korupsi umumnya terjadi lewat kontrak yang disesuaikan agar hanya perusahaan tertentu yang bisa memenuhi, atau lewat pengurasan dana yang terang-terangan. Dalam kasus ini, kemungkinan yang terlibat adalah pegawai bergaji rendah dan paling banter keponakan seseorang yang tidak kompeten
    Sama sekali tidak ada alasan menaruh file .authorized_keys di web root situs, tetapi itu tetap dilakukan. Kontrak yang disesuaikan adalah cara menetapkan syarat yang terlalu spesifik sehingga hanya satu perusahaan yang bisa memenuhinya. Pernah ada pemerintah daerah yang membeli bus dengan menetapkan panjang maksimum lebih pendek daripada model umum, dan kebetulan kerabat pengambil keputusan mengimpor kendaraan dengan spesifikasi yang persis sama
  • Hal seperti ini juga merajalela di negara-negara Eropa Timur lainnya. Saya penasaran apakah ada cara yang realistis bagi orang-orang yang peduli pada kepentingan publik untuk memperbaikinya
  • Berdasarkan informasi insiden yang dipublikasikan secara online, seseorang membuat dashboard penjelas: https://ancpi-atac.mariuscomper.uk/en/
  • Ini bukan hanya masalah korupsi. Kerabat dekat saya bertanggung jawab membangun aplikasi baru di sebuah lembaga pemerintah beranggotakan ribuan orang, tetapi di seluruh organisasi tidak ada orang yang bisa menulis kebutuhan sistem atau menangani desain, pengujian, dan penerapan
    Gaji beberapa pegawai negeri memang lumayan, tetapi di bidang TI sektor swasta membayar jauh lebih tinggi, jadi siapa pun yang sedikit kompeten biasanya pindah ke swasta. Akhirnya semua urusan kontrak dan masalah terkait ditangani orang non-TI, dan hasilnya pun buruk. Padahal proyek itu bisa dilakukan dengan benar dalam jadwal yang sama hanya dengan sekitar 10% dari anggarannya
    Proyek TI pemerintah Rumania lain yang diikuti kenalan saya menelan biaya 5~10 kali nilai sebenarnya dan melalui beberapa lapis subkontrak. Tenaga yang benar-benar kompeten bahkan tidak sampai 10 orang, tetapi perusahaan pemenang tender menagihkan biaya untuk lebih dari 100 orang, dan jumlah orang yang benar-benar bekerja pun paling banyak sekitar 70 orang untuk waktu singkat. Penyebab utamanya adalah kurangnya tenaga kompeten terutama pada posisi pengambil keputusan
  • Menurut artikel itu, sumber-sumber mengatakan peretas masuk menggunakan kredensial yang valid

• Perusahaan keamanan KELA mengungkap identitas peretas sebagai Zakaria Mahdjoub dari Oran, Aljazair
  Kalau benar peretas jahat, rasanya dia akan memilih target hanya di negara yang bermusuhan dengan negaranya sendiri atau yang tidak memiliki perjanjian ekstradisi, seperti para peretas Rusia, tetapi antara Aljazair dan Rumania ada perjanjian ekstradisi: https://periodicos.processus.com.br/index.php/egjf/article/v...

  • Atau cukup menjaga operational security (OpSec) dengan benar

• Ini mengingatkan pada insiden pusat data pemerintah Korea Selatan ketika kebakaran baterai menghapus pusat data sekitar 900TB tanpa cadangan
  Tanpa cadangan eksternal, menyambung kembali fungsi yang hilang pasti lebih mirip arkeologi forensik daripada pemulihan data. Terakhir yang saya dengar, sekitar seperempat layanan dan data yang hilang sudah berhasil dipulihkan
  [1] https://www.intermediagroup.org/south-korea-data-loss/

• Basis data pendaftaran tanah Serbia juga sudah tidak berfungsi selama dua bulan. Selain pemberitahuan gangguan sistem umum dari tim dukungan LRD, sama sekali tidak ada pernyataan dari pemerintah, jadi semoga saja mereka tidak terkena serangan yang sama

• Jika cadangan terhapus bersama sistemnya, itu berarti cadangan tersebut bisa diakses dari jaringan yang sama. Cadangan yang bisa diakses penyerang bukanlah cadangan
  Syukurlah ada salinan offline, tetapi untuk sistem sepenting ini, jangan bergantung pada keberuntungan dan seharusnya lakukan pencadangan offline secara berkala

  • Meskipun bukan istilah yang didefinisikan secara ketat, itu sulit dianggap sebagai cadangan. Syukurlah memang ada cadangan offline yang nyata, tetapi fakta itu justru makin memperjelas bahwa cadangan palsu tersebut sama sekali tidak berguna dan bahkan tidak layak dicantumkan dalam catatan insiden
  • Dengan menggunakan sistem cadangan append-only, penghapusan cadangan yang sudah ada bisa dicegah bahkan di lingkungan yang dapat diakses penyerang

• Praktik dan kebijakan kata sandi yang longgar, serta tidak adanya autentikasi dua faktor atau token fisik, tampaknya berkontribusi pada pelanggaran ini. Dalam unggahan dan tangkapan layar yang diunggah oleh orang yang diduga penyerang, terlihat kata sandi yang sudah sangat dikenal dan mudah ditebak seperti P@ssw0rd
  <https://spear.cx/Thread-Selling-RO-Thy-arss-shall-be-spanked...>
  <https://drive.google.com/file/d/1iZc93XfViOk7izusgIG1ni7Kmsx...>
  Awalnya ExoticPearTree menyampaikannya di sini tanpa dasar: <https://news.ycombinator.com/item?id=48978836>. Jika ingin mengkritik praktik yang begitu klise hingga terasa bodoh, bukti yang cukup perlu disajikan agar tidak terlihat seperti tuduhan klise yang tidak berdasar

  • Perangkat autentikasi dua faktor pertama saya diberikan di tempat kerja, tetapi bagi teman-teman saya itu adalah untuk World of Warcraft, dan butuh beberapa tahun lagi sampai bank mulai menyediakannya. Setiap kali ada insiden pelanggaran, saya selalu teringat hal ini
    Blizzard membagikan token perangkat keras kepada semua peserta acara tahunannya. Setelah itu autentikasi lewat smartphone menjadi memungkinkan, dan meskipun Blizzard tidak mewajibkannya, hampir semua guild memintanya digunakan, terutama oleh para pengurus

• Dalam sistem pendaftaran Torrens di Australia, dokumen kertas tidak lagi menjadi salinan otoritatif. Jika sertifikat hak atas warisan milik almarhum diserahkan ke kantor pendaftaran, mereka memperbarui basis data lalu menyimpan dokumennya, dan jika diminta dikembalikan, mereka mengembalikannya setelah membubuhkan cap bahwa dokumen itu tidak lagi berlaku
  Saya tahu karena pernah menjalani prosedur ini sendiri. Sekarang tinggal menunggu orang yang akan meneriakkan “3, 2, 1”

• Hal yang sama juga terjadi baru-baru ini di Slovakia

  • Pada Januari 2025, kantor pendaftaran tanah Slovakia diretas dan penyerang tak dikenal mengenkripsi basis datanya serta menuntut uang tebusan bernilai 7 digit yang tidak diungkapkan
    Pasar properti nasional lumpuh selama sekitar satu bulan, dan butuh beberapa bulan sampai semuanya dipulihkan dari cadangan dan dokumen kertas lalu operasi normal dimulai kembali. Ini adalah serangan siber terbesar dalam sejarah Slovakia, tetapi pelakunya masih belum diungkap dan penyelidikan masih berlangsung. Pejabat pemerintah, termasuk perdana menteri, sangat bersemangat langsung menunjuk Ukraina tanpa bukti
  • Siaran pers saat itu adalah sebagai berikut
    “1T+ in assets are frozen as Slovakia's Land Registry faces ransomware attack” <https://spectator.sme.sk/politics-and-society/c/news-digest-...> (9 Januari 2025), diskusi HN: <https://news.ycombinator.com/item?id=42650343>
    “Ransomware Attack Paralyzes Slovakian Land Registry, Souring Slovakia-Ukraine Relations” <https://dailysecurityreview.com/security-spotlight/slovakian...> (14 Januari 2025)
    “Slovakia Hit by Historic Cyber-Attack on Land Registry” <https://www.infosecurity-magazine.com/news/slovakia-hit-by-l...> (10 Januari 2025)
    Insiden ini tampaknya terkait dengan Ukraina
  • Saya penasaran bagaimana mereka menyelesaikannya