Studiu de caz · Răspuns la incident · 2026
Platformă SaaS de e-mail marketing, compromisă. Raport DFIR acceptat de DNSC, platformă repusă online și protejată.
Client: furnizor românesc de servicii de e-mail marketing, cu clienți business activi în toată țara. Numele clientului și detaliile tehnice sensibile sunt omise din acest material.
Situația
Un atac care a oprit platforma și a blocat accesul clienților
Platforma, folosită de clienți pentru campanii de e-mail către propriile baze de contacte, a devenit indisponibilă în urma unui atac cibernetic. Operatorul nu avea echipă de securitate internă și nici proceduri de răspuns. Erau în joc disponibilitatea serviciului, datele personale din bazele de contacte ale clienților și obligațiile de notificare către DNSC și ANSPDCP, cu termene care curgeau din prima oră.
NIW a fost chemat ca echipă externă de răspuns. Am început lucrul înainte de semnarea contractului, pe baza ofertei, pentru că termenele legale nu așteaptă.
Mandatul
Două componente, clar separate
Componenta A: investigație, oprirea atacului, raportare. Conservarea probelor, analiza forensic, identificarea vectorului și a întinderii compromiterii, raportul DFIR și notificările legale.
Componenta B: remediere și securizare. Planul de revenire online, întărirea platformei, protecția perimetrală și suportul pentru reconectarea clienților.
Prețul a fost stabilit la limita de jos a pieței, pe baza unui studiu de piață pentru servicii DFIR din România.
Cronologia intervenției
Cinci faze, trei fronturi în paralel
Triaj
Mobilizare și izolare
Conectare în afara programului, evaluarea întinderii, izolarea sistemelor afectate fără a distruge probele. Instrucțiuni clare pentru client: ce să nu atingă, ce să nu repornească.
Probe
Conservare și achiziție forensic
Imagini ale sistemelor, export de loguri de sistem, aplicație și acces, instantanee ale configurațiilor. Lanț de custodie documentat pentru fiecare artefact.
Analiză
Reconstituirea atacului
Cronologia evenimentelor, vectorul inițial de acces, conturile și sistemele compromise, datele accesate. Concluziile au fundamentat atât raportul DFIR, cât și evaluarea impactului asupra datelor personale pentru ANSPDCP.
Raportare
DNSC și ANSPDCP
Raport DFIR redactat în formatul așteptat de DNSC, însoțit de planul de securizare și revenire online. DNSC a acceptat integral raportul și planul, fără cerințe suplimentare. Notificarea către ANSPDCP a fost depusă în termen; dosarul este în analiză la autoritate.
Revenire
Securizare, repunere online, suport
Platforma a fost repusă în funcțiune în spatele unei protecții WAF și anti-DDoS configurate și administrate de NIW. Modificările de securitate au afectat autentificarea clienților existenți, așa că NIW a preluat linia de suport pentru reconectare, cu intervenții zilnice până la stabilizare.
Capabilități demonstrate
Ce a trebuit să știm face, toate în același timp
| Domeniu | Capabilitate | Cum s-a văzut în acest incident |
|---|---|---|
| Răspuns la incidente | Mobilizare și triaj în afara programului | Peste jumătate din cele 400+ ore au fost în regim de urgență sau în afara programului |
| Forensic digital | Conservare probe, lanț de custodie, analiză loguri și imagini | Reconstituirea completă a cronologiei și a vectorului de atac |
| Raportare legală | Raport DFIR în format DNSC | Acceptat integral, fără cerințe suplimentare |
| Conformitate | Notificări OUG 155/2024 și GDPR art. 33 | Depuse în termen către DNSC și ANSPDCP |
| Arhitectură de securitate | Plan de securizare și revenire online | Acceptat de DNSC odată cu raportul |
| Protecție perimetrală | WAF, anti-DDoS, DNS/CDN administrat | Configurat de NIW, administrat în continuare de NIW |
| Operare platformă | Administrare tehnică a unei platforme SaaS moștenite | Stabilizare, suport zilnic pentru reconectarea clienților |
| Management de criză | Comunicare cu conducerea, acționarii și clienții platformei | Rapoarte intermediare, ore documentate prin jurnale de acces |
Lecții
Ce ar fi redus costul incidentului la o fracțiune
- MFA pe toate accesele administrative și pe panoul de control al platformei.
- Colectare centralizată de loguri cu retenție suficientă: fără ea, reconstituirea atacului durează de câteva ori mai mult.
- Protecție WAF / anti-DDoS înainte, nu după.
- Backup verificat, separat de infrastructura de producție.
- O procedură de răspuns la incidente scrisă, cu un contact extern deja contractat.