Atacul cibernetic și datele asociate cu 750.000 de IDNP-uri: pot fi contractate credite în numele persoanelor afectate?

Analiză juridică | 30 octombrie 2026

Extragerea neautorizată de informații personale din sisteme publice ridică întrebări care depășesc securitatea informatică: cum pot fi prevenite fraudele de identitate, ce se întâmplă dacă cineva încearcă să încheie un contract în numele altei persoane și în ce condiții trebuie informați cetățenii?

Ce au confirmat autoritățile

Potrivit comunicării Agenției de Guvernare Electronică (AGE) din 27 octombrie 2026 ^[1], în perioada 19–23 octombrie au fost interogate aproximativ un milion de IDNP-uri, iar, conform estimărilor preliminare, au fost extrase neautorizat seturi de date asociate cu circa 750.000 de IDNP-uri. Nu înseamnă că pentru fiecare IDNP au fost expuse toate informațiile posibile. Printre categoriile menționate de AGE se află date de identificare, informații despre familie, asigurare medicală, pensii și prestații sociale, fotografie, bunuri și societăți comerciale, coduri IBAN, datorii fiscale și istoricul plăților MPay.

Instituția a anunțat oprirea extragerii pe 23 octombrie, verificarea a 82 de servicii digitale și măsuri de deconectare preventivă. AGE a precizat și că datele cardurilor bancare nu au fost afectate, simpla cunoaștere a unui IBAN nepermițând transferuri din cont, iar investigațiile nu au identificat modificări neautorizate în registrele de stat. Aceste clarificări sunt importante, dar nu înlătură riscurile utilizării frauduloase a datelor de identificare.

Pe 30 octombrie, presa din Republica Moldova a relatat că Procuratura municipiului Chișinău a început urmărirea penală în legătură cu incidentul. Ancheta și evaluarea întinderii prejudiciului se află în desfășurare.

Confirmare a autorității de supraveghere: Centrul Național pentru Protecția Datelor cu Caracter Personal a comunicat că AGE l-a notificat despre incident. Centrul precizează că estimările sunt preliminare, că informațiile expuse pot genera riscuri de fraudă și că persoanele care consideră că au fost vizate pot cere clarificări operatorului relevant. ^[2]

Întrebarea esențială: pot fi utilizate semnăturile electronice ale altor persoane?

La data acestei analize nu există, în sursele publice consultate, o confirmare că atacatorii ar fi obținut chei private, coduri PIN sau control asupra dispozitivelor și mecanismelor necesare aplicării semnăturilor electronice. Prin urmare, extragerea unui nume, a unui IDNP sau chiar a unei fotografii nu dovedește posibilitatea semnării electronice în locul titularului. ^[4]

Trebuie făcută distincția între date de identitate și mijloacele de semnare. În Republica Moldova, semnătura electronică calificată poate fi utilizată prin cartea de identitate cu funcție electronică, printr-un dispozitiv criptografic de tip USB-token ori prin servicii de semnătură mobilă, în condițiile mecanismului respectiv. Utilizarea legitimă presupune controale tehnice și de autentificare; cunoașterea IDNP-ului nu substituie cheia privată sau autorizarea necesară.

Potrivit art. 21 alin. (2) din Legea nr. 124/2022 ^[8], semnătura electronică calificată are aceeași valoare juridică precum semnătura olografă. Tocmai de aceea, în cazul unei suspiciuni concrete de folosire neautorizată, sunt relevante validarea certificatului, istoricul autentificărilor, identificarea dispozitivului sau a metodei folosite, data operațiunii și verificarea consimțământului efectiv al persoanei.

La 28 octombrie 2026, AGE a informat că a dezactivat temporar autentificarea prin doi pași și prin EVOSign în MPass ^[3], ca măsură preventivă. Această decizie nu trebuie confundată cu o dovadă că semnăturile electronice calificate ar fi fost compromise.

Riscul contractării frauduloase a creditelor și împrumuturilor

Chiar fără acces la o semnătură electronică calificată, datele personale obținute ilicit pot fi utilizate pentru tentative de furt de identitate, cereri de credit sub identitate falsă, înșelăciuni telefonice sau compromiterea etapelor de verificare la distanță. Comisia Națională a Pieței Financiare avertizează, în mod expres, că datele și documentele personale expuse online pot fi folosite în fraude de creditare. ^[5]

Acest risc nu înseamnă că o persoană care figurează printre IDNP-urile afectate a contractat deja un credit și nici că orice creditor ar accepta o cerere doar în baza unui IDNP. Contractarea efectivă depinde de procedurile de identificare, autentificare și verificare a consimțământului aplicate de creditor; existența unei fraude trebuie demonstrată în fiecare caz.

Dacă un contract de credit apare în numele unei persoane care nu l-a solicitat, se ridică întrebări juridice privind existența și exprimarea consimțământului, autenticitatea semnăturii, respectarea obligațiilor de identificare de către creditor, sarcina probei și eventualele prejudicii. Simpla înscriere a numelui ori a IDNP-ului într-un document nu poate ține locul unei analize a acestor elemente.

Cine trebuie să informeze persoanele afectate?

Legea nr. 195/2024 privind protecția datelor cu caracter personal ^[7], în vigoare din 23 august 2026, stabilește, la art. 34 alin. (1), că operatorul informează fără întârzieri nejustificate persoana vizată atunci când încălcarea securității datelor este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile sale. Informația trebuie formulată clar și să explice natura incidentului, consecințele probabile, contactul relevant și măsurile luate sau recomandate.

Totuși, art. 34 alin. (3) prevede excepții: de exemplu, când datele erau protejate prin măsuri care le-au făcut neinteligibile, când riscul ridicat nu mai este susceptibil să se materializeze sau când informarea individuală ar presupune un efort disproporționat. În ultimul caz, legea permite o informare publică ori o măsură similară la fel de eficace. Prin urmare, nu orice comunicat de presă este suficient ^[6], dar nici nu se poate susține, fără evaluarea condițiilor concrete, că notificarea individuală este absolut obligatorie pentru fiecare dintre cele 750.000 de IDNP-uri.

Obligația revine operatorului ori operatorilor de date relevanți, care trebuie identificați în funcție de sistemele și prelucrările afectate. AGE a anunțat că persoanele afectate vor fi informate. Rămâne esențial ca cetățenii să poată afla, prin mijloace sigure, dacă și ce categorii de date ale lor au fost expuse și ce măsuri de protecție sunt recomandate.

Ce poate face fiecare cetățean

• Nu divulgați coduri PIN, parole, coduri de unică folosință, coduri pentru semnătura electronică și nu confirmați operațiuni solicitate prin apeluri sau mesaje neașteptate.
• Verificați direct la bancă sau la instituția invocată orice notificare suspectă, folosind exclusiv datele de contact oficiale. ^[9]
• Consultați periodic istoricul de credit la birourile istoriilor de credit și contestați imediat înscrierile pe care nu le recunoașteți. Legea permite solicitarea unui raport gratuit o dată pe an de la fiecare birou care vă deține istoria.
• Dacă bănuiți compromiterea dispozitivului, a cheii private sau a codurilor de semnătură, contactați imediat prestatorul semnăturii pentru suspendarea sau revocarea certificatului, după caz. Simpla apariție a IDNP-ului în incident nu constituie, de una singură, dovada compromiterii certificatului.
• Dacă apare un credit sau un contract necunoscut, contestați-l fără întârziere în scris la creditor, solicitați copia contractului și probele de identificare și semnare, păstrați dovezile, sesizați Poliția și analizați, cu asistență juridică, mijloacele de apărare civilă și de protecție a datelor.

Concluzie

O breșă de securitate nu trebuie evaluată doar după numărul de înregistrări extrase. Miza juridică este dacă informațiile pot fi folosite pentru a crea aparența unui consimțământ care nu a existat: o semnătură electronică atribuită greșit, o cerere de împrumut, o obligație financiară sau un alt act încheiat în numele unei persoane fără știrea acesteia.

Nu există, deocamdată, temei să afirmăm că atacatorii pot folosi semnăturile electronice ale titularilor; există însă motive serioase să cerem verificări transparente privind această posibilitate și prevenirea fraudelor de identitate. Protecția cetățenilor presupune atât securizarea sistemelor, cât și informare efectivă, proceduri de autentificare solide și remedii juridice accesibile.

Material informativ și de analiză juridică, întocmit pe baza informațiilor publice disponibile la 30 octombrie 2026. Nu atribuie unei persoane sau instituții o răspundere juridică definitiv stabilită și nu substituie evaluarea fiecărui caz concret.

Cabinetul Avocatului „MARCO DUMITRU” — Asistență juridică și mediere în Republica Moldova. Pentru o situație concretă, puteți utiliza pagina Contact de pe site.

Vezi și: Avocat în drept bancar și financiar în Chișinău · Avocat civil și contracte în Chișinău

Surse oficiale și temeiuri juridice

Sursele de mai jos provin de la instituții publice ale Republicii Moldova sau din baza oficială a actelor normative. Sunt indicate separat de interpretările juridice ale autorului. Consultate la 30 octombrie 2026.

1. Agenția de Guvernare Electronică (AGE), 27.10.2026 — Comunicat despre incident, aproximativ 750.000 de IDNP-uri, categorii de date și măsuri.
2. Centrul Național pentru Protecția Datelor cu Caracter Personal — Informații preliminare și recomandări pentru cetățeni privind incidentul.
3. Agenția de Guvernare Electronică (AGE), 28.10.2026 — Dezactivarea temporară a autentificării prin doi pași și EVOSign în MPass.
4. Agenția Servicii Publice (ASP) — Cartea de identitate: certificat calificat, funcționalitatea electronică și condiții de eliberare.
5. Comisia Națională a Pieței Financiare (CNPF) — Atenționări: „Fraudele la creditare – cine îți folosește identitatea?”.
6. Centrul Național pentru Protecția Datelor cu Caracter Personal — Securitatea datelor: obligațiile de notificare și informare.
7. Legea nr. 195 din 25.07.2024 privind protecția datelor cu caracter personal, art. 33–34 — text oficial, legis.md (PDF).
8. Legea nr. 124 din 19.05.2022 privind identificarea electronică și serviciile de încredere, art. 21 alin. (2) — text oficial, legis.md (PDF).
9. Banca Națională a Moldovei, 14.05.2026 — Avertizare privind tentativele de fraudă prin folosirea abuzivă a identității instituției.

Relatare de presă, utilizată numai pentru informația privind începerea urmăririi penale: MOLDPRES, 30 octombrie 2026. Nu este un comunicat oficial al Procuraturii.

Precizare: cifrele și constatările tehnice sunt preliminare. Sursele publice citate nu confirmă compromiterea cheilor private, a codurilor PIN ori a dispozitivelor de semnătură electronică și nici existența unor credite contractate fraudulos ca urmare a acestui incident.