Atacuri DDoS zilnice în România în 2026: ce spune DNSC și cum vă apărați

Atacuri DDoS zilnice în România în 2026: ce spune DNSC și cum vă apărați: Directoratul Național de Securitate Cibernetică a confirmat că România este ținta unor atacuri de tip DDoS aproape zilnice, asupra instituțiilor publice, a companiilor și chiar asupra DNSC, pe fondul tensiunilor geopolitice și al activității grupărilor pro-Kremlin. Dan Cîmpean, directorul DNSC, a declarat pentru Digi24 că scopul este blocarea accesului la platforme și erodarea încrederii, mai ales când sunt vizate instituții ale statului. Pentru firmele mici, consecința este că un site poate cădea ca daună colaterală (același server, același furnizor) sau ca țintă, la cost mic pentru atacator.

Articolul rezumă ce se știe public despre atacuri și despre autori, explică mecanismul pe scurt, apoi trece la ce contează pentru un proprietar de site: ce configurați dinainte, ce faceți în timpul atacului și cum raportați.

Atacuri DDoS zilnice în România în 2026: ce spune DNSC și cum vă apărați

Ce este un atac DDoS

Un flux masiv de cereri, simultan, de pe mii sau milioane de adrese, care depășește capacitatea serverului sau a rețelei țintă și îl face inaccesibil vizitatorilor legitimi. Sursele sunt rețele de dispozitive compromise (calculatoare, routere, camere) sau servere închiriate; adresele sunt prea multe și prea diverse ca să fie blocate una câte una. Atacurile durează de la minute la zile și vin în trei forme: volumetrice (inundă legătura de rețea), de protocol (epuizează conexiunile) și la nivelul aplicației (cereri „legitime” spre paginile cele mai costisitoare). Mecanismul și apărarea pe fiecare nivel sunt descrise în ghidul despre protecția DDoS pentru website-uri.

Cine atacă

Mihai Rotariu, managerul de comunicare al DNSC, a precizat că România este vizată de mai multe categorii de actori, inclusiv statali. Cea mai activă grupare în această perioadă este Noname057(16), cu legături documentate cu Kremlinul, care revendică atacurile pe canale publice și le coordonează prin voluntari cu unelte distribuite; alături de ea, grupări similare cu motivație politică, servicii de „stres” închiriate de oricine, și, în cazurile de șantaj, grupuri criminale care cer bani pentru a opri atacul. Țintele declarate sunt instituții (ministere, primării, portaluri publice), infrastructură (transport, energie, bănci) și, ca daună colaterală, orice site găzduit pe aceleași rețele.

Cine a fost vizat

Portaluri ale administrației centrale și locale, site-uri ale unor instituții financiare, platforme de transport, site-ul DNSC și, în valuri, site-uri de presă și de firme care au publicat despre atacuri. Majoritatea atacurilor au produs indisponibilități de ore, nu de zile, fiindcă țintele mari au protecție de rețea; site-urile mici, fără protecție, au căzut mai mult, de multe ori fără să știe că au fost atacate (au apărut ca „server lent” în tichetele de la găzduire).

Ce înseamnă pentru un site de firmă

• Riscul de daună colaterală: un atac asupra altui site de pe același server sau din aceeași rețea a furnizorului vă afectează; întrebați furnizorul ce protecție de rețea are și ce face cu conturile în timpul unui atac.
• Riscul de țintă: firmele care lucrează cu instituții, presa, ONG-urile, firmele cu poziții publice pe subiecte sensibile sunt vizate explicit.
• Riscul de șantaj: e-mailuri care amenință cu DDoS contra unei plăți; majoritatea sunt cacealma, iar plata invită la următoarea cerere.
• Costul: un magazin indisponibil o zi pierde vânzările zilei și încrederea; un site de servicii pierde cererile din acea zi.

Ce configurați dinainte

1. Cloudflare, planul gratuit, cu proxy activ pe înregistrările site-ului și cu adresa reală a serverului ascunsă: absoarbe atacurile volumetrice și de protocol fără limită; configurarea cu cPanel este în ghidul despre Cloudflare și cPanel.
2. Cache de pagină, ca cererile spre paginile publice să nu ruleze PHP și baza de date; un site cache-uit rezistă la de zece ori mai multe cereri.
3. Limitare de ritm pe paginile costisitoare (autentificare, căutare, filtre, coș) și dezactivarea a ce nu folosiți (XML-RPC, API pentru neautentificați).
4. Firewall-ul serverului care acceptă trafic web doar de la Cloudflare, dacă îl folosiți.
5. Monitorizare externă cu alertă, ca să aflați de la sistem, nu de la clienți.
6. Pagina de mentenanță statică pregătită, cu datele de contact, servită de Cloudflare când serverul nu răspunde.
7. Copii de siguranță curente: atacurile DDoS însoțesc uneori o tentativă de intruziune, iar copia este plasa de siguranță.

În timpul atacului

1. Confirmați din jurnale și din Resource Usage: cereri multe spre aceleași pagini, de la adrese multe, fără resurse încărcate; metoda este în ghidul despre jurnalele de erori și acces.
2. Cu Cloudflare: Under Attack Mode din pagina zonei; oprește roboții simpli în două minute. Dezactivați-l când atacul se termină.
3. Reguli de firewall pentru tiparul atacului (calea, țara, user agent-ul), dacă e clar.
4. Fără Cloudflare: blocarea adreselor din IP Deny Manager pentru atacuri mici; pentru cele mari, furnizorul, cu ora, adresele și paginile.
5. Nu plătiți răscumpărări; păstrați e-mailul de amenințare.
6. Notați totul: ora, durata, volumul, ce a funcționat; următorul atac seamănă.

Raportarea la DNSC

DNSC primește raportări de incidente prin formularul de pe site și prin adresa de contact publicată; pentru entitățile din domeniile reglementate de NIS2, raportarea este obligatorie, cu termene; pentru firme mici, este voluntară, dar utilă: informațiile despre adrese și tipare ajung în avizele pe care Directoratul le distribuie, iar dumneavoastră primiți, uneori, indicații. Includeți în raportare: domeniul, ora de început și de sfârșit, ce ați observat (volum, adrese, pagini), ce protecție aveați, dacă a existat cerere de bani. Pentru șantaj, raportați și la poliție.

Cifrele DNSC și ce spun

Directoratul a raportat, în 2025 și 2026, creșteri constante ale numărului de incidente gestionate, cu atacurile DDoS printre cele mai frecvente tipuri, alături de phishing și de compromiteri de site-uri; avertizările publice au vizat în special valurile coordonate din jurul evenimentelor politice și al deciziilor de politică externă. Pentru un proprietar de site, cifra utilă nu este numărul de atacuri din țară, ci probabilitatea ca propriul server să fie atins: mai mare la găzduirile care găzduiesc și instituții sau presă, mai mică la cele cu protecție de rețea. Întrebați furnizorul dacă a avut incidente în ultimul an și cum le-a gestionat; răspunsul spune mai mult decât orice pagină de prezentare.

Legătura cu celelalte amenințări

Atacurile DDoS sunt zgomotoase; cele periculoase pentru date sunt tăcute: phishing-ul țintit care ocolește codurile de autentificare, descris în articolul despre spear phishing în 2026, și compromiterile prin vulnerabilități neactualizate, cum s-a întâmplat la Comisia Europeană în martie 2026. Un DDoS este uneori diversiunea pentru a doua; în timpul și după atac, verificați jurnalele și pentru cereri POST suspecte și fișiere noi, după pașii din ghidul despre răspunsul la incidente de securitate.

Un atac văzut de pe un server de găzduire

Într-o marți din primăvara lui 2026, un server pe care sunt găzduite site-uri de firme mici și un site de presă locală a devenit inaccesibil timp de 40 de minute: trafic de peste 20 Gbps spre adresa serverului, din mii de surse, revendicat pe un canal public de o grupare pro-Kremlin, cu ținta declarată site-ul de presă. Furnizorul a activat filtrarea de rețea, iar site-urile din spatele Cloudflare au revenit primele, fiindcă adresa lor reală nu era expusă; cele fără proxy au rămas jos până la încheierea filtrării. Nicio firmă de pe server nu era țintă; toate au plătit indisponibilitatea. Concluzia practică: protecția o configurați pentru site-ul dumneavoastră, indiferent de ce face vecinul de server.

Întrebări frecvente

1. Cloudflare gratuit chiar oprește atacurile? Pe cele volumetrice și de protocol, da, fără limită de volum; pe cele la nivelul aplicației, cu configurare (cache, limitare, reguli).
2. Furnizorul meu spune că are „protecție DDoS”; ajunge? Întrebați ce nivel (rețea sau și aplicație), ce capacitate și ce se întâmplă cu contul în timpul unui atac; răspunsurile concrete contează.
3. Pot afla cine m-a atacat? Rar; sursele sunt dispozitive compromise. Contează tiparul și protecția, nu identitatea.
4. Un atac DDoS poate fura date? Nu direct; poate acoperi o intruziune simultană, deci verificați jurnalele după.

Lista de verificare pentru o firmă mică

1. Cloudflare activ, cu adresa serverului ascunsă.
2. Cache de pagină și limitare de ritm pe paginile costisitoare.
3. Monitorizare externă cu alertă.
4. Pagina de mentenanță și datele de contact ale furnizorului la îndemână.
5. Copii de siguranță testate.
6. Procedura de o pagină: cine face ce în prima oră; unde raportați.
7. Verificare trimestrială că nimic din listă nu s-a dezactivat.

Pentru site-urile pe care le administrăm, această listă face parte din configurarea inițială, alături de măsurile din ghidul despre securitatea contului cPanel; costul este de câteva ore o singură dată, iar diferența, între o după-amiază pierdută și un incident de o oră pe care clienții nu îl observă.

Surse

• Directoratul Național de Securitate Cibernetică: avertizările publice, formularul de raportare și rapoartele anuale privind incidentele.