Atac cibernetic la Depozitarul Central: CNP-uri, serii de buletin și coduri IBAN ale investitorilor, accesate. Ce trebuie să faci dacă ai cont

Depozitarul Central, compania din grupul Bursei de Valori București care ține evidența acționarilor și decontează tranzacțiile, a anunțat pe 16 octombrie 2026 că a fost ținta unui atac cibernetic. Ținta a fost aplicația „Servicii Online pentru Investitori”, prin care persoanele fizice își fac cont ca să-și vadă acțiunile, să-și actualizeze datele sau să voteze în adunările generale. Potrivit mesajului trimis utilizatorilor, atacatorii au putut vedea nume, CNP, seria și numărul buletinului, adresa, e-mailul, telefonul și codul IBAN. Deținerile de acțiuni și tranzacțiile nu au fost accesate, iar bursa a funcționat normal.

Ce s-a întâmplat

Atacul a avut loc pe 8 octombrie, potrivit Bursa.ro, și a fost identificat în aceeași zi. Comunicatul oficial a apărut abia opt zile mai târziu. În el, Depozitarul Central spune că a luat „imediat măsurile necesare de investigare și remediere”, că a informat autoritățile competente și că a intensificat monitorizarea sistemelor. Aplicația e indisponibilă temporar, iar serviciile ei pot fi folosite în continuare prin poștă sau la ghișeul de la sediul secundar al instituției.

Mai multe detalii au apărut în e-mailul trimis utilizatorilor aplicației și în declarațiile citate de presă. Compania a depus o plângere penală la DIICOT, a informat ANSPDCP (autoritatea pentru protecția datelor) și Directoratul Național de Securitate Cibernetică (DNSC). A angajat și o firmă specializată în securitate cibernetică pentru o analiză independentă. Nu s-a comunicat câți investitori sunt afectați și nici cum au pătruns atacatorii.

Ce date au fost văzute și ce nu

Depozitarul Central subliniază că datele au fost doar vizualizate, nu modificate. Pentru investitori, asta înseamnă, potrivit companiei, că acțiunile nu au fost atinse și că nici datele din cont, inclusiv IBAN-ul în care primesc dividendele, nu au fost schimbate. Vestea proastă e alta: combinația de date scursă e aproape completă pentru o fraudă bine țintită.

De ce contează combinația CNP + buletin + IBAN

Cu un IBAN nu se pot retrage bani din cont. Pericolul real e ingineria socială: cineva care îți știe numele, CNP-ul, adresa, numărul de telefon și faptul că deții acțiuni la bursă poate construi un mesaj foarte credibil. Te poate suna „de la Depozitarul Central”, „de la bancă” sau „de la poliție” și îți poate recita datele ca să-ți câștige încrederea. Scenariile tipice după astfel de scurgeri sunt cunoscute:

• mesaje despre „dividende neridicate” sau „actualizarea obligatorie a IBAN-ului”, cu un link către o pagină falsă care cere datele cardului sau datele de logare la bancă;
• apeluri de la „consultanți de investiții” care știu deja ce acțiuni ai și îți propun platforme de tranzacționare false;
• apeluri „de la bancă” despre o „tranzacție suspectă”, în care ești convins să instalezi o aplicație de control la distanță sau să muți banii într-un „cont sigur”;
• folosirea seriei și numărului de buletin, împreună cu CNP-ul, în încercări de a deschide conturi sau de a cere credite în numele tău, la firme care verifică superficial identitatea.

Incidentul vine în aceeași săptămână cu atacul asupra grupului care deține Mega Image și Profi, în care au fost expuse tot date ale clienților români. Fiecare astfel de scurgere face mai credibile tentativele de fraudă care vin după ea.

Ce trebuie să faci dacă ai cont în Servicii Online

1. Verifică e-mailul. Depozitarul Central a anunțat utilizatorii afectați prin e-mail. Dacă ai avut cont în aplicație, pornește de la premisa că datele tale sunt printre cele văzute.
2. Dacă ai folosit aceeași parolă și în alte locuri, schimb-o. Deși parola din aplicație nu ar fi fost accesată, compania recomandă parole unice pentru fiecare serviciu și activarea autentificării în doi pași, mai ales la e-mail și la banca online.
3. Nu da curs mesajelor nesolicitate. Instituția cere explicit investitorilor să nu acceseze linkuri suspecte și să nu răspundă la e-mailuri, SMS-uri sau apeluri care cer date personale sau de autentificare. Nicio instituție serioasă nu îți cere parola sau datele cardului la telefon.
4. Verifică pe alt canal orice cerere neobișnuită. Dacă primești un mesaj care pare de la Depozitarul Central, de la broker sau de la bancă, închide și sună tu la numărul de pe site-ul oficial.
5. Urmărește-ți conturile și istoricul de credit. Uită-te în extrasele bancare după operațiuni pe care nu le recunoști. Poți cere de la Biroul de Credit raportul cu creditele înregistrate pe numele tău, ca să vezi dacă a apărut ceva necunoscut.
6. Nu-ți publica datele personale pe rețelele sociale și în chestionare online, recomandă tot Depozitarul Central. Fiecare detaliu în plus face o fraudă mai convingătoare.

Dacă primești un mesaj suspect cu link sau cod QR, ghidul nostru despre phishingul prin coduri QR arată cum recunoști paginile false. Incidentele pot fi raportate la DNSC, la numărul 1911.

Ce nu știm încă

Depozitarul Central nu a spus câți investitori au fost afectați, cum au intrat atacatorii și când va reporni aplicația. Nici varianta „atac asupra aplicației de vot în adunările generale”, apărută în unele relatări, nu a fost lămurită: comunicatul oficial vorbește doar despre aplicația Servicii Online, prin care se fac și conturile pentru votul electronic. Revenim când apar rezultatele analizei independente.

Informațiile provin din comunicatul de presă al Depozitarului Central din 16 octombrie 2026 (roclear.ro), Bursa.ro (data atacului, plângerea la DIICOT, informarea ANSPDCP și DNSC, firma de securitate angajată, declarația BVB), Business24 (lista datelor vizualizate, parola neaccesată, recomandările către investitori) și G4Media (aplicația vizată, serviciile disponibile prin poștă și la ghișeu). Informații despre aplicația de vot electronic: pagina principală roclear.ro. Recomandările despre Biroul de Credit și scenariile de fraudă sunt ale redacției.