Am descoperit un site public compromis care găzduia spam ilegal de tip cazinou, iar ceea ce a urmat nu a fost doar un exercițiu de raportare, ci un test al canalelor oficiale de incidente cibernetice din Moldova. Am încercat să raportez incidentul prin rutele vizibile de raportare ale statului: formularul de incidente al ASC/NCSC și portalul de criminalitate informatică al Ministerului Afacerilor Interne. Ceea ce mă așteptam să fie partea simplă s-a dovedit a fi cea mai revelatoare: nu modul în care site-ul a fost compromis, ci cât de dificil a fost să raportez acea compromitere prin mijloace oficiale.

Incidentul în sine a fost destul de simplu. Site-ul training.chamber.md, asociat Centrului de Formare Antreprenorială al Camerei de Comerț și Industrie a Republicii Moldova, a găzduit o pagină de SEO spam pentru un cazinou online ilegal timp de 49 de zile, înainte ca conținutul să fie eliminat în urma raportării mele. Pagina, publicată pe 16 aprilie 2026, promova „pokies pe bani reali” pentru piața australiană și a fost retrasă la câteva ore după raportarea din 4 iunie 2026. Acest lucru a făcut ca acest caz să fie util nu doar ca o poveste despre compromiterea unui site web, ci și ca un test în condiții reale al procesului public de raportare al statului.

Mai întâi m-am adresat canalelor oficiale de raportare, deoarece asta se presupune că trebuie să facă cetățenii. Formularul ASC/NCSC de la ncsc.md/incidents este prezentat ca o rută pentru notificarea incidentelor, în timp ce platforma MAI de la cybercrime.mai.gov.md este portalul public pentru raportarea criminalității informatice. În teorie, aceste canale ar trebui să faciliteze raportarea responsabilă. În practică, au îngreunat-o.

Prima mea îngrijorare a fost solicitarea IDNO-ului în formularul NCSC/ASC. Nu am înțeles de ce identificatorul meu național era necesar pentru a raporta un site web compromis, în special în faza inițială a raportului. Am avut senzația că formularul colecta mai multe date cu caracter personal decât părea să necesite scopul acestuia. Dacă scopul este pur și simplu de a notifica statul cu privire la un sistem suspect sau compromis, atunci instituția ar trebui să explice clar de la bun început de ce este necesară identitatea, în loc să presupună că cetățenii se vor simți confortabil să atașeze un identificator guvernamental la un raport de incident cibernetic.

Această îngrijorare contează pentru mine deoarece ține de confidențialitate, proporționalitate și încredere. Cadrul de protecție a datelor din Moldova evoluează către standarde de tip GDPR, ceea ce face ca principii precum minimizarea datelor, limitarea scopului și necesitatea să fie extrem de relevante în acest context. Dacă IDNO-ul este cu adevărat necesar, instituția ar trebui să o spună și să explice temeiul juridic, perioada de păstrare și controalele de acces. Dacă nu este necesar, atunci formularul nu ar trebui să îl solicite de la început. Am vrut să acționez responsabil și să raportez un incident de securitate, dar nu am vrut ca acel raport să fie legat de IDNO-ul meu fără o justificare convingătoare.

Portalul Ministerului Afacerilor Interne a ridicat o altă serie de preocupări. Pagina de la cybercrime.mai.gov.md/CrimeReport/Step1 avea un banner de cookie-uri și o configurare a confidențialității pe care le-am găsit dificil de navigat, în special într-un browser configurat să blocheze cookie-urile terțe și amprentarea digitală (fingerprinting). Nu exista o opțiune clară de acceptare sau respingere, ceea ce a făcut ca interfața să pară mai degrabă o barieră pusă în fața procesului de raportare decât un flux legitim de consimțământ. Pentru un portal de aplicare a legii, acest lucru este deja îngrijorător, deoarece un site public de raportare a criminalității informatice nu ar trebui să fie ostil utilizatorilor care iau măsuri de bază pentru protejarea confidențialității.

După ce am raportat problema bannerului de cookie-uri prin e-mail, pagina de la cybercrime.mai.gov.md/CrimeReport/Step1 a devenit inaccesibilă, iar pentru mine aceasta nu este o eroare minoră, ci o preocupare semnificativă pentru o platformă statală de raportare a criminalității informatice. Acest lucru ridică posibilitatea inconfortabilă ca infrastructura de raportare să depindă de comportamentul cookie-urilor terțe sau de o configurație la fel de fragilă; altfel, de ce ar fi trebuit să pice întreaga pagină în loc ca setarea de confidențialitate să fie remediată direct? Dacă problema era doar o chestiune de setări, ar fi trebuit să poată fi rezolvată fără a elimina accesul la platformă. Dezactivarea unei pagini de raportare a criminalității informatice este, în sine, o problemă de securitate, în special într-o țară care continuă să se confrunte cu presiuni cibernetice susținute și atacuri repetate asupra sistemelor guvernamentale. Nu vorbim aici despre o pagină decorativă. Vorbim despre punctul de acces al publicului pentru raportarea infracțiunilor cibernetice, iar dacă acel punct de acces devine indisponibil după o plângere privind configurarea confidențialității, atunci infrastructura merită o analiză tehnică atentă.

De aceea consider că problema depășește o experiență neplăcută de utilizare (user experience). Aceasta indică o eroare mai mare de proiectare chiar la nivelul stratului de raportare. O persoană care încearcă să raporteze un incident cibernetic nu ar trebui să fie nevoită să aleagă între divulgarea responsabilă și expunerea inutilă a identității. Și nici nu ar trebui să se lupte cu un portal ostil confidențialității, doar pentru a constata că platforma expiră (times out) complet ulterior. Dacă guvernele doresc ca cetățenii să raporteze incidentele, atunci canalele de raportare trebuie să fie proporționale, să respecte confidențialitatea și să fie sigure din punct de vedere tehnic.

Experiența a schimbat, de asemenea, modul în care privesc încrederea în sistemele oficiale de raportare. Încrederea nu se creează prin publicarea unui formular online și presupunerea că oamenii îl vor folosi. Încrederea se construiește atunci când instituțiile solicită doar datele pe care le pot justifica, explică de ce au nevoie de ele și oferă un serviciu care funcționează constant, chiar și pentru utilizatorii care au activate protecții de bază ale confidențialității. În cazul meu, procesul de raportare a devenit mai dificil decât descoperirea incidentului în sine. Este exact inversul modului în care ar trebui să funcționeze răspunsul la incidentele cibernetice.

Și mai există un motiv pentru care acest lucru contează. Instituțiile din Moldova vorbesc din ce în ce mai serios despre securitate cibernetică, reziliență, amenințări hibride și pregătire națională, iar partenerii internaționali au investit în consolidarea capacităților cibernetice ale țării. Dacă acest angajament este real, atunci infrastructura de raportare destinată publicului ar trebui să îl reflecte. Există oameni care sunt plătiți să construiască, să întrețină și să securizeze aceste sisteme. Dacă un portal de raportare a criminalității informatice devine indisponibil după o plângere legată de un banner de cookie-uri, atunci acesta este exact genul de eșec pe care ar trebui să îl investigheze cu toată seriozitatea.

Pentru mine, lecția a fost simplă. Raportarea unui incident cibernetic prin mijloace oficiale ar fi trebuit să fie partea ușoară. În schimb, a scos la iveală probleme de confidențialitate, eșecuri de utilizare și o lipsă de încredere tocmai în sistemele care ar trebui să ajute publicul să răspundă la amenințările digitale. Dacă Moldova dorește ca mai mulți cetățeni să raporteze incidentele cibernetice în mod responsabil, trebuie să facă acest proces mai sigur, mai simplu și mult mai puțin fragil decât este acum.