編按:本文綜合整理自 Risky Bulletin 與 Help Net Security,並加入 Siami 編輯部觀點與分析。
事件摘要
2026 年 7 月 14 日,駭客成功入侵羅馬尼亞國家土地登記與不動產廣告機構(ANCPI),並在勒索失敗後,直接抹除了整個國家的土地登記資料庫。官方應用程式與網站已連續停機超過一週,整個羅馬尼亞的不動產交易市場完全凍結:公證人無法登記新交易,民眾也無法取得所有權證明或詳細土地紀錄。
根據 Risky Bulletin 引述的消息來源,這名駭客是用合法憑證登入的。進到內部後,他逐步摸清系統架構,然後在勒索談判破局後,同步清除了系統與備份資料。ANCPI 的電子郵件伺服器也在這次事件中停擺。
攻擊時間線與勒索流程
事發並非毫無預警。整起事件經歷了清楚的階段:
- 7 月 14 日:ANCPI 對外宣布「重大技術事件」,當日駭客開始刪除資料
- 7 月 15 日:部分 ANCPI 被竊資料(員工憑證、內部文件、IT 網路細節)被放上知名的駭客論壇兜售
- 7 月 15 日:ANCPI 確認事件為網路攻擊,在 Facebook 公告 e-Terra 系統「本週內恐怕無法恢復」
- 7 月 18 日:資安威脅情資公司 KELA 將攻擊者 ByteToBreach 公開肉搜,確認其真實身份為阿爾及利亞奧蘭市的 Zakaria Mahdjoub
- 7 月 19-20 日:ANCPI 宣布「正在從零重建整個機構網路」
攻擊者用「ByteToBreach」這個帳號操作。這個名稱在過去一年已經犯下多起重大入侵——包括瑞典的電子政府入口網站,以及多家政府機構與高知名度企業。KELA 在去年 12 月發布的威脅情資檔案中曾暗示此人可能位於阿爾及利亞,但 ANCPI 事件後已直接更新報告,明確點名是 Zakaria Mahdjoub 本人。
受害規模與連帶衝擊
ANCPI 旗下的「e-Terra」應用是羅馬尼亞不動產交易的中央系統。這次事件造成的實際衝擊包括:
- 新交易全面停擺:公證人無法登記過戶,買賣契約無法生效
- 所有權證明暫停核發:民眾無法取得土地或建物所有權的官方證明
- 內部 IT 網路需從零重建:ANCPI 公開表示正在「重新安裝並整合整個 IT 基礎架構」
- 員工與內部資料外洩:員工憑證、內部文件、IT 網路細節已在論壇兜售
「從零重建整個機構網路」這句話,是 ANCPI 在事件後對外公開聲明的核心訊息。這代表攻擊者不只是刪了資料庫,而是把整個信任基礎都打掉了——即使有離線備份,系統本身也必須重建。
值得稍微冷靜一下的是,Risky Bulletin 的報導指出 ANCPI「似乎保留了離線備份」,否則接下來幾個月羅馬尼亞的不動產市場會徹底崩盤。但 Hacker News 上有資深 IT 人提出質疑:
「離線備份通常不是每筆交易後都更新,至少會缺一週左右的土地登記紀錄。如果駭客目標是抹掉某筆特定近期交易,他們可能真的成功了。」
這個質疑相當關鍵。離線備份能救的是「資料還在」,但救不了「每一筆交易的時序連續性」。
駭客 ByteToBreach 是誰?
KELA 的威脅情資報告把這個攻擊者的手法講得很清楚:
- 入侵手段多元:已知漏洞、從資訊竊取木馬與網釣取得的憑證,加上暴力破解或設定錯誤利用
- 進來後專注外洩:員工紀錄、資料庫、備份、敏感文件,然後賣掉或公開洩漏
- 聲明通常被驗證:多起事件中的資料後來被受害組織證實,或包含可驗證的技術證據
換句話說,這不是一個會虛張聲勢的腳本小子。在 ANCPI 事件中,他聲稱已複製了 ANCPI 的 GitLab 伺服器與內含的原始碼、部署了勒索軟體,並附上了入侵時的截圖作為證據。
特別諷刺的是,Romanian 媒體報導指出 ByteToBreach 事後公開向 ANCPI 的 IT 團隊道歉,聲稱是利用了一個 2021 年就已知但未修補的漏洞。這份「歉意」當然無法彌補任何事實損害,但凸顯了政府機關在漏洞管理上的結構性問題。
為什麼這件事重要
這不是普通的資料外洩事件。三個層面值得嚴肅看待:
第一,土地登記是國家運作的底層基礎設施。一旦這個系統失靈,從房屋買賣、抵押貸款、遺產繼承到商業不動產投資,所有需要「產權證明」的活動都會卡住。這跟一般個資外洩完全不同——個資外洩影響的是個人,但土地登記系統失靈影響的是整個經濟體的產權信任。
第二,過去三年已有至少 7 個國家的土地登記機構被駭:波蘭、斯洛伐克、希臘、摩洛哥、俄羅斯、烏克蘭,再加上現在的羅馬尼亞。這已經不是單一事件,而是一個跨國趨勢。土地登記機構的特點是:資料量極大、系統老舊、國家級關鍵基礎設施屬性,加上政治敏感度高(涉及產權與領土),成為駭客的戰略目標。
第三,「合法憑證入侵」這件事本身最可怕。這代表 ANCPI 的邊界防禦並沒有失靈——是內部憑證被偷了。這指向更深層的問題:資訊竊取木馬與網釣攻擊如何讓攻擊者「合法」進入政府網路?這不是 ANCPI 獨有的問題,而是所有政府機關的共同挑戰。
數據解讀與質疑
關於這次事件,有幾個關鍵數字值得拆開來看:
-
「整個資料庫被抹除」的說法需要交叉驗證。ByteToBreach 聲稱刪除了備份,但 ANCPI 表示有離線備份。究竟破壞範圍是「完整資料庫」還是「僅線上系統」,目前尚無定論。Help Net Security 在 7 月 20 日的更新中,ANCPI 只說「正在進行廣泛的重新安裝與整合」,並未明確說明資料是否完整保存。
-
164 則 HN 留言中,絕大多數是「身份與文件重建」的延伸討論,而非直接談論這次攻擊。這反映出公眾對「數位化社會一旦失靈怎麼辦」的深層焦慮。一則留言提到 1982 年羅馬尼亞小鎮遭洪水沖毀土地登記的案例,當時靠的是「所有人的所有權證明跟證詞」重建——這種「回到類比時代」的應對,在今天數位化程度更高的社會是否還可行?
-
美國的「產權保險(title insurance)」制度被拿出來比較。有留言指出美國沒有官方保證的全國土地登記資料庫,所以靠民間產權保險來承擔不確定性。羅馬尼亞式的「國家級中央資料庫」設計理論上更先進,但一旦被攻破就完全失靈。這是一個制度取捨的問題:集中 vs 分散,效率 vs 韌性。
-
ANCPI 的「從零重建」是好事還是壞事? 好消息是攻擊者沒有辦法在重建後的系統中保留後門(假設重建過程乾淨);壞消息是「從零」代表所有歷史設定、整合、自動化流程都要重新來過,這通常需要數月才能恢復到原本的營運水準。
後續觀察重點
- ANCPI 預計何時恢復 e-Terra 服務?目前公告只說「本週內」,但「從零重建整個 IT 基礎架構」的實際時程可能要數月
- Zakaria MahdBreach(aka ByteToBreach)是否會被引渡? 跨國引渡網路犯罪者通常曠日費時,阿爾及利亞與歐盟的引渡協議也是變數
- 是否還有其他政府機構已被同一攻擊者入侵? ByteToBreach 過去一年的犯案記錄橫跨多國,其他尚未曝光的受害機構值得持續追蹤
- 歐盟是否會啟動跨國資安協調機制? 七個國家土地登記機構接連被駭,這個數字已經觸及歐盟集體安全層級
網友熱門留言 (5)