Starea amenințărilor în România — august 2026

De curând avem pe site o hartă live a amenințărilor, alimentată din datele Cloudflare Radar. Am zis să facem un obicei din a ne uita împreună la ea: ce arată cifrele acum, la mijloc de august, și — mai important — ce înseamnă ele pentru o firmă din România care nu are un analist de amenințări pe statul de plată.

Un cuvânt de onestitate înainte de cifre: Cloudflare vede doar traficul care trece prin rețeaua Cloudflare. E o felie mare de internet, dar tot o felie — datele sunt parțiale, însă indicative. Le citim ca pe un barometru, nu ca pe un recensământ.

Cifrele zilei

Din datele Cloudflare Radar, 12 august 2026 (fereastră de 24 de ore):

• România atrage circa 0,28% din atacurile globale observate în rețea. Sună a puțin — și, la scara internetului, chiar suntem o țintă periferică. Dar procentul mic e o medie pe țară, nu o poliță de asigurare pentru firma ta: atacurile automate nu aleg „România”, aleg orice server care răspunde.
• De unde vin atacurile către România: aproximativ 49% din traficul de atac are originea în infrastructură din Statele Unite, urmată de Singapore (~9%), China (~4,7%), România însăși (~4,7%) și Olanda (~3,7%). Atenție la citire: „origine” înseamnă unde stau serverele din care pleacă atacul — de regulă mașini virtuale închiriate sau echipamente compromise — nu pașaportul atacatorului. Da, și România exportă atacuri: dispozitive de la noi, sparte și înrolate în rețelele altora.
• Cu ce se atacă, la nivel global: circa 53% din traficul de atac blocat e pe partea de aplicații web (WAF), circa 41% e DDoS, iar restul de vreo 5% se împarte între reputație de IP, reguli de acces și management de boți.

Ce înseamnă categoriile astea, pe limba firmelor

Atacuri pe aplicații web (felia de ~53%) înseamnă că cineva încearcă ușile aplicațiilor tale expuse la internet: site-ul, magazinul online, portalul de clienți, interfața de administrare uitată deschisă. Nu e cineva care „te-a ales” — sunt scanere care încearcă aceleași vulnerabilități cunoscute pe milioane de adrese, non-stop. Dacă ai o aplicație nepeticită la vedere, va fi găsită; singura întrebare e când.

DDoS (felia de ~41%) înseamnă volum: cineva îți inundă serviciul până nu mai răspunde. Pentru majoritatea firmelor medii, riscul nu e „ne atacă pe noi anume”, ci efectul colateral — furnizorul tău de găzduire sau un serviciu de care depinzi e lovit, iar tu stai. Lecția e de continuitate, nu de eroism tehnic.

Boții și reputația de IP (restul) sunt zgomotul de fond: încercări automate de autentificare cu parole scurse, răzuit de conținut, fraudă de formulare. Procent mic în statistici, dar el umple logurile zi de zi.

Contextul verii, la noi

Vara asta a livrat României și o lecție care nu vine din statistici: incidentul ANCPI, cu cadastrul țării picat săptămâni la rând. Nu o repovestim — am despărțit deja ce se știe sigur de ce e speculație — dar reținem un singur fir pentru discuția de azi: atacul a exploatat vulnerabilități notificate dinainte. Exact categoria de „uși încercate automat” din felia WAF de mai sus. Statisticile globale și incidentul local spun, de fapt, aceeași poveste.

Ce vedem noi în practică

La evaluările pe care le facem, aceleași trei teme revin aproape indiferent de domeniu:

1. Patch-uri întârziate pe sistemele expuse. Actualizările există, dar nimeni nu are sarcina explicită de a le aplica pe serverele care se văd din internet — se aplică „la ocazie”. Ocazia vine, de obicei, sub formă de incident.
2. Expunere web nemonitorizată. Aplicații și interfețe publicate pe internet despre care firma a uitat: un subdomeniu de test, un panou de administrare, un VPN vechi. Nu le vede nimeni din interior — dar scanerele din statistica de mai sus le văd.
3. Lipsă de vizibilitate. Când întrebăm „ați ști dacă cineva încearcă chiar acum?”, răspunsul sincer e de multe ori „nu”. Fără loguri centralizate sau alerte de bază, diferența dintre o zi liniștită și una foarte proastă e doar că în a doua sună un client.

Niciuna dintre cele trei nu se rezolvă cu un produs scump. Se rezolvă cu o listă a ceea ce ai expus, un responsabil pentru patch-uri și un minim de alertare.

Uită-te singur la date

Harta e publică și se reîmprospătează din oră în oră: clearsecurity.vision/ro/amenintari — cine atacă, de unde și cu ce. Dacă vrei să treci de la barometru la diagnostic pentru firma ta, autoevaluarea gratuită îți dă un scor onest în vreo 10 minute, iar la serviciile ClearSecurity găsești evaluările și testele cu care mergem apoi în profunzime — de la expunerea web până la planul de continuitate.

Sursa datelor: Cloudflare Radar, 12 august 2026, fereastră 24h. Procentele sunt rotunjite; datele acoperă traficul observat în rețeaua Cloudflare.