Nu ești atacat direct. Ești atacat prin furnizorii în care ai încredere.

Am urmărit Zero Day pe Netflix — serialul cu Robert De Niro despre un atac cibernetic care oprește America un minut întreg.

Trenuri deraiate. Avioane fără navigație. Spitale deconectate.

Prima reacție: cinematografic. Exagerat.

A doua reacție, după ce am stat să mă gândesc: mecanismul din spatele lui este real. Și s-a întâmplat deja.

Ce face serialul diferit față de abordarea clasică

În loc de hackeri cu glugă care sparg servere în timp real, Zero Day prezintă un alt tip de atac: o aplicație mobilă instalată pe 80% din telefoanele americane distribuie malware prin actualizări automate.

Sistemele nu sunt sparte direct. Sunt infectate prin ceva în care toată lumea avea încredere.

Ficțiunea este în amploare și în dramaturgie. Vectorul atacului este o tehnică documentată, cu un nume precis: Supply Chain Attack — atac prin lanțul de furnizori.

SolarWinds, 2020. Nu serial. Dosar de securitate națională.

SolarWinds producea un software de monitorizare IT folosit de 18.000 de organizații: agenții guvernamentale americane, NASA, Microsoft și companii din Fortune 500.

Atacatorii nu au spart niciuna dintre ele direct.

Au intrat în SolarWinds, au injectat cod malițios în actualizările automate ale produsului și au așteptat. Timp de 9 luni, backdoor-ul s-a răspândit tăcut în rețelele tuturor celor 18.000 de clienți.

Nimeni nu a observat nimic până când era deja prea târziu.

Investigațiile ulterioare au atribuit atacul unui grup susținut de un stat. Pagubele — financiare, de securitate națională și de reputație — nu au fost cuantificate complet nici astăzi.

NotPetya, 2017. A pornit de la un software de contabilitate.

Un furnizor de software de contabilitate din Ucraina a trimis o actualizare automată clienților săi. Actualizarea conținea malware.

În câteva ore, infecția s-a răspândit la nivel global.

Impactul asupra companiilor

• Maersk: 45.000 de PC-uri reinstalate manual și 4.000 de servere reconstruite
• Pierderi estimate: 300 milioane USD
• Merck: aproximativ 870 milioane USD pierderi
• Impact global estimat: peste 10 miliarde USD

Totul pornind de la o actualizare automată a unui software de contabilitate.

Hipocrate, România. Cazul pe care îl știm de acasă.

Același mecanism, la noi.

Un singur furnizor de software medical compromis. 26 de spitale românești infectate simultan cu ransomware. Sisteme blocate, pacienți mutați manual și date medicale criptate.

Nu a fost un atac sofisticat îndreptat individual împotriva fiecărui spital.

A fost un singur punct de intrare multiplicat automat la toți clienții furnizorului.

Directorul DNSC a menționat explicit acest caz la ZF Cyber Security Trends 2026, tocmai pentru că ilustrează un risc pe care majoritatea organizațiilor îl ignoră complet.

Nu ești atacat direct. Ești atacat prin furnizorii în care ai încredere.

Furnizorul tău de software de contabilitate.

Firma de externalizare IT.

Aplicația de HR pe care o folosești de ani de zile.

Platforma de facturare.

Tool-ul de project management.

Toate primesc actualizări automate. Toate au acces în sistemele tale. Niciunul nu este, probabil, în perimetrul tău de securitate.

Câteva întrebări concrete

• Ai o listă actualizată cu toți furnizorii care au acces tehnic în rețeaua ta?
• Contractele semnate cu ei includ obligații de securitate cibernetică sau drept de audit?
• Știi cine, din fiecare furnizor, are acces la datele tale și cu ce nivel de permisiuni?

Dacă nu ai răspunsuri clare la cel puțin una dintre ele, nu ești singurul. Dar ești expus.

Ce face NIS2 diferit față de tot ce a fost înainte

Directiva NIS2, transpusă în România prin OUG 155/2024, introduce explicit obligații privind securitatea lanțului de furnizori.

Nu mai este suficient să îți securizezi infrastructura internă.

Ești responsabil și pentru riscurile introduse de furnizorii tăi.

Pentru multe organizații, acest lucru înseamnă că un audit NIS2 va include și întrebări despre furnizorii de IT, cloud și software.

Răspunsul:

„Lucrăm cu ei de 10 ani și avem încredere în ei.”

nu va mai fi suficient.

Concluzie

Zero Day este un serial bun.

Dar cel mai îngrijorător lucru din el nu este ficțiunea.

Este faptul că mecanismul există deja.

S-a întâmplat deja.

Și în România.

Diferența dintre tine și victimele unui astfel de atac nu este norocul.

Este dacă ai pus întrebările corecte furnizorilor tăi înainte să fie nevoie.