Metodologie și transparență

Aici explicăm tot ce facem pentru atacuri.ro: de unde vin datele, cum le prelucrăm, ce publicăm și ce nu, cât de des le actualizăm, ce limite au cifrele și cum protejăm datele. Sub fiecare panou de pe site e indicată sursa datelor.

Cine face atacuri.ro

atacuri.ro e realizat de DominoHub, o firmă românească de securitate cibernetică. Site-ul e gratuit și rămâne gratuit. Îl folosim și ca să ne facem cunoscute serviciile: butoane precum „Cere analiza gratuită” și „Programează o discuție” duc către dominohub.info, unde oferim analiza gratuită și consultanță.

Sursele, pe scurt

Cloudflare: cererile oprite pe site-urile pe care le administrăm (harta, fluxul de evenimente și contorul).
Shodan: câte servicii de acces la distanță și baze de date se văd deschise direct pe internet în România, pe județe (culoarea județelor) și pe toată țara.
CISA KEV, catalogul agenției americane de securitate cibernetică: vulnerabilitățile adăugate în ultimele 14 zile, pentru care agenția are dovezi că sunt deja folosite în atacuri (în fluxul de evenimente).
Eurostat: cum stau firmele din România față de media Uniunii Europene la incidente și măsuri de securitate informatică (panoul „România în cifre”).
Analizele noastre pasive: nota de securitate a firmelor, pe pagina Verifică o firmă, și statisticile pe sectoare și pe județe din panoul „Ce am găsit analizând firmele din România”.
Date de referință: GeoNames (în ce județ se află orașele și localitățile mai mari), geoBoundaries (conturul județelor) și Natural Earth (poziția țărilor, pentru direcția atacurilor pe hartă).

Atacuri oprite (harta și fluxul de evenimente)

Numărăm cererile oprite de Cloudflare pe site-urile pe care le administrăm, în cele 24 de ore dinaintea ultimei actualizări (data și ora ei sunt scrise sub hartă): cereri blocate de regulile de securitate (tentative de a folosi vulnerabilități cunoscute, căutări de fișiere sensibile, încercări repetate de logare, roboți, atacuri de tip DDoS, adică de blocare a site-ului prin supraîncărcare) și cereri suspecte puse la verificare anti-robot, fără cele ale vizitatorilor care au trecut verificarea.

Sunt cereri reale, oprite pentru că se potriveau cu regulile de securitate; unele pot fi alarme false, de exemplu un vizitator real oprit din greșeală. Totodată, sunt doar un eșantion: arată ce primesc site-urile noastre, nu toate atacurile din România. Le arătăm pentru că multe vin de la roboți care încearcă automat aceleași lucruri pe foarte multe site-uri, așa că pot ajunge și la site-ul oricărei firme din România.

Țara de proveniență e țara în care Cloudflare localizează adresa IP. Atacatorii folosesc des servere închiriate sau dispozitive infectate, deci țara afișată nu e neapărat și țara atacatorului. Când țara nu se poate stabili, afișăm „țară necunoscută”, iar pentru rețeaua de anonimizare Tor, „rețeaua Tor”; aceste cazuri apar doar în flux, fără animație pe hartă.
Județul în care ajunge animația pe hartă e ilustrativ, la fel și județul din care pleacă atunci când atacul vine din România: le alegem la întâmplare, dar mai des dintre județele cu multe servicii expuse. Nu avem date despre atacurile din fiecare județ, așa că nu afișăm cifre de atacuri pe județe.
Fluxul de evenimente reia în ordine, apoi de la capăt, cele mai recente evenimente reale din aceste 24 de ore, cel mult 100 de rânduri; în zilele cu multe atacuri arată doar ultimele ore. Scanările automate de rutină ale roboților nu apar în flux (sunt incluse doar în total). Încercările de același tip venite din aceeași rețea, spre același site și în același minut, apar pe un singur rând, cu numărul lor.
Din fiecare eveniment publicăm doar data și ora, tipul atacului, țara, adresa IP mascată (de exemplu 203.0.x.x), dacă cererea a fost blocată sau pusă la verificare anti-robot, precum și domeniul principal al site-ului atacat. Numim doar site-urile noastre pe care am ales să le arătăm; celelalte apar ca „alt site monitorizat”.

Servicii expuse pe județe (Shodan)

Culoarea județelor arată câte servicii de acces la distanță (controlul unui calculator de la distanță și conexiuni vechi, fără criptare) și baze de date a găsit Shodan accesibile direct din internet; cifrele exacte apar când treci cu mouse-ul peste un județ. Accesul la distanță lăsat deschis spre internet e una dintre căile frecvente prin care intră ransomware-ul (un tip de program care blochează datele firmei și cere răscumpărare), iar o bază de date expusă poate duce la furtul sau ștergerea datelor.

Județul e stabilit după orașul în care Shodan localizează adresa IP, iar localizarea e aproximativă: multe adrese apar în orașul unde furnizorul de internet sau de găzduire își are sediul ori serverele, așa că unele județe au cifre mai mari decât în realitate. Pentru a afla în ce județ e fiecare oraș, folosim baza de date GeoNames; ce nu putem atribui unui județ nu apare pe hartă, dar intră în totalul pe țară.

Vulnerabilități exploatate activ (CISA KEV)

În fluxul de evenimente apar, printre atacuri, și cele mai recente vulnerabilități (cel mult 20) adăugate în catalogul CISA KEV în ultimele 14 zile. O vulnerabilitate ajunge în acest catalog când agenția americană are dovezi că e deja folosită în atacuri reale. Aceste rânduri din flux nu sunt atacuri asupra site-urilor noastre. Arătăm producătorul, produsul, codul public de identificare al vulnerabilității și data la care a intrat în catalog, ca firmele să știe ce trebuie actualizat urgent sau, dacă produsul nu mai primește actualizări, înlocuit.

Statistici (panourile de sub hartă)

România în cifre. Cifrele pe toată țara vin de la Shodan: câte adrese din România vede, câte servicii de acces la distanță și baze de date sunt accesibile direct din internet, câte servicii rulează programe care nu mai primesc actualizări de securitate, câte sisteme de control industrial sunt expuse, câte dispozitive arată semne că au fost deja compromise și câte servere sunt asociate cu programe malware. O cifră apare doar dacă Shodan a răspuns la ultima actualizare. Comparația cu media europeană vine de la Eurostat (statistica oficială a Uniunii Europene) și se referă la firmele cu cel puțin 10 angajați, fără sectorul financiar; anul datelor e scris sub panou.

Ce am găsit analizând firmele din România. Sunt procente calculate din analizele noastre pasive (vezi mai jos ce verificăm), pe toate firmele pe care le avem în evidență. Firmele sunt încadrate pe sector după tipul de afacere după care le-am găsit (de exemplu „cabinet stomatologic”) și pe județ după adresa lor; cele găsite altfel apar la „Alte firme”. Un sector sau un județ cu mai puțin de 10 firme analizate apare doar cu numărul de firme, fără procente, ca să nu poată fi recunoscută o firmă anume. Procentele pe județe apar când treci cu mouse-ul peste hartă.

Aceste procente descriu firmele pe care le-am analizat noi, nu toate firmele din România: am căutat mai ales anumite tipuri de afaceri (de exemplu clinici și cabinete medicale), așa că unele sectoare sunt mai bine reprezentate decât altele.

Nota de securitate a unei firme

Pe pagina Verifică o firmă poți vedea nota (de la A la F) și problemele găsite pentru domeniile pe care le-am analizat și le avem în evidență.

Ce firme apar. Site-urile pentru care cineva a cerut o verificare gratuită și site-uri de firme găsite de noi în profilurile publice ale companiilor (în principal pe Google Maps), analizate din proprie inițiativă.

Lista firmelor. Nu afișăm nicăieri o listă cu firmele analizate: vezi doar rezultatul domeniului pe care îl cauți. Notele nu sunt publicate ca fișiere: căutarea trece printr-un serviciu care răspunde doar pentru domeniul cerut și limitează numărul de căutări venite de la aceeași adresă, ca să nu poată fi verificate multe firme deodată.

Cum analizăm. Analiza e pasivă: folosim doar informații publice și nu intrăm în sistemele firmei. Verificăm:

dacă serverul la care duce adresa site-ului are deschise spre internet servicii care ar trebui să fie private (acces la distanță, baze de date, transfer de fișiere), după datele Shodan, un motor public care scanează tot internetul; dacă site-ul e găzduit pe un server folosit în comun cu alte site-uri, rezultatul se poate referi la serverul firmei de găzduire;
dacă Shodan semnalează vulnerabilități cunoscute pentru programele vizibile pe același server (semnalarea se face după versiunea afișată de program, fără confirmare din partea noastră);
dacă domeniul de email al firmei are protecțiile împotriva falsificării care se pot verifica din exterior (ca nimeni să nu poată trimite emailuri în numele ei);
dacă adresa de email folosită în analiză (cea găsită pe site-ul firmei sau cea lăsată de persoana care a cerut verificarea) apare în scurgeri de date cunoscute public (arătăm doar în câte, nu și în care);
dacă certificatul de securitate al domeniului (adresa fără „www”) e valid și când expiră; dacă la această adresă nu primim un răspuns securizat, considerăm certificatul nevalid;
dacă site-ul are protecțiile de bază recomandate de browsere;
câte adrese web ale firmei cu nume care sugerează sisteme de test, de administrare sau de acces intern (de exemplu „admin”, „test” sau „vpn”) apar în registrele publice ale certificatelor de securitate; unele pot fi vechi sau create automat de firma de găzduire.

Cum se stabilește nota. Nota depinde de câte probleme am găsit și cât de grave sunt. Un serviciu critic expus pe internet duce direct la F; o vulnerabilitate cunoscută sau un alt serviciu expus coboară nota la E sau mai jos. Fiecare problemă afișată e marcată „Critic”, „Important” sau „De îmbunătățit” și e explicată pe înțelesul tuturor. Nota mai poate scădea puțin când nu găsim semnătura digitală a emailurilor firmei; nu afișăm însă lipsa ei ca problemă, pentru că din exterior nu o putem verifica sigur.

Cât de recentă e. Lângă notă apare data ultimei actualizări a informațiilor despre firmă din evidența noastră: de obicei e data analizei, dar poate fi mai recentă. Dacă data e mai veche de 90 de zile, pagina avertizează că rezultatul poate fi depășit. Nota arată ce se vedea din exterior la momentul analizei, după sursele publice folosite (unele pot avea informații mai vechi decât analiza); nu înlocuiește un audit complet.

Corecturi. Dacă reprezinți o firmă și crezi că rezultatul e greșit sau vrei o analiză nouă, scrie-ne la [email protected]. Raportul complet, cu detaliile tehnice, nu apare pe atacuri.ro: îl primește pe email doar persoana care a cerut analiza.

Ce publicăm și ce nu

Publicăm cifre agregate pe țară, pe sectoare și pe județe; evenimente de atac, din care arătăm doar data și ora, tipul, țara, adresa IP mascată, de câte ori s-au repetat în același minut, dacă au fost blocate sau puse la verificare anti-robot, precum și domeniul principal al site-ului nostru atacat; nota și problemele generale ale unui domeniu analizat.

Nu publicăm:

adresele paginilor atacate, subdomeniile site-urilor noastre sau adrese IP complete;
detalii tehnice despre o firmă: ce servicii are deschise, ce versiuni de programe folosește, codurile vulnerabilităților, adrese IP sau nume de sisteme;
date de contact, parole sau alte date provenite din scurgeri; despre scurgeri arătăm doar în câte apare adresa verificată;
liste cu numele firmelor analizate sau ale firmelor vulnerabile.

Cum actualizăm și verificăm datele

Datele se actualizează automat în fiecare dimineață, între 6 și 8 (ora României), și de fiecare dată când publicăm o modificare a site-ului. Înainte de fiecare publicare verificăm automat că pe site nu ajung date de test și că harta nu e goală.

Dacă datele despre atacuri sau despre serviciile expuse nu pot fi colectate, harta rămâne la ultima versiune reușită, iar sub ea apare data acelei versiuni. Dacă notele firmelor nu pot fi actualizate, nu publicăm nimic în ziua respectivă și site-ul rămâne la versiunea anterioară. Dacă lista CISA nu e disponibilă, fluxul apare fără ea. Deocamdată nu păstrăm un istoric: fiecare actualizare o înlocuiește pe cea dinainte.

Cum protejăm datele

Site-ul public e format din pagini statice și un singur serviciu care caută notele: nu are bază de date, conturi de utilizator sau parole, iar noi nu salvăm nimic din ce scrii pe el.
Datele colectate pentru site sunt păstrate în spații de stocare private, fără acces public.
Cele două programe automate care adună datele au fiecare acces separat: fiecare poate folosi doar propriile chei de acces și poate salva date doar în propriul spațiu de stocare, iar din surse doar citește, fără să modifice nimic acolo.
Cheile de acces la surse nu sunt copiate niciodată în site sau în codul aplicațiilor.
Site-ul poate fi accesat doar prin rețeaua de protecție Cloudflare.

Confidențialitatea vizitatorilor

Nu folosim reclame, cookie-uri de marketing sau de analiză a traficului și nu adăugăm în site scripturi de la alte firme (mici programe care rulează în pagină). Singurele scripturi care nu sunt ale noastre sunt cele de securitate pe care Cloudflare le adaugă automat (de exemplu, cel care ascunde adresele de email de roboți), iar Cloudflare poate plasa cookie-uri strict necesare pentru securitate.
Când cauți o firmă, browserul tău transformă domeniul într-un cod din care domeniul nu poate fi citit înapoi, iar la serviciul de căutare ajunge doar acest cod; nu păstrăm un istoric al căutărilor. Domeniul căutat apare însă în adresa paginii de rezultat, așa că, la fel ca orice pagină vizitată, poate fi înregistrat temporar de furnizorii de găzduire și de protecție.
Dacă protecția Cloudflare oprește sau pune la verificare anti-robot o vizită pe unul dintre site-urile noastre, inclusiv atacuri.ro, vizita poate apărea în fluxul de evenimente, dar doar cu data și ora, tipul, țara, adresa IP mascată și site-ul vizitat.
Butoanele către dominohub.info adaugă în link mențiunea că vii de pe atacuri.ro. Ce se întâmplă cu datele tale pe dominohub.info e descris în politica de confidențialitate DominoHub.

Ce nu facem

Nu intrăm în sistemele firmelor și nu testăm activ servere care nu ne aparțin.
Nu descărcăm și nu stocăm date furate, parole sau baze de date scurse.
Nu afișăm liste cu firme vulnerabile.
Nu inventăm date: cifrele și evenimentele de pe site sunt reale. Ilustrativ e doar traseul animațiilor de pe hartă (județul în care ajunge un atac și, pentru atacurile din România, cel din care pleacă).

Cum ne citați

Datele agregate pot fi preluate liber, cu mențiunea „sursa: atacuri.ro”. Pentru întrebări despre metodologie, date suplimentare sau corecții, scrie-ne la [email protected].

Pagină actualizată pe 18 octombrie 2026.

Tot ce facem, explicat