Servere expuse la internet: nu dacă, ci când

Fă un exercițiu rapid: enumeră tot ce răspunde acum, din firma ta, la o cerere venită de pe internet. Firewall-ul. Concentratorul de VPN. Serverul de mail. Panoul web al ERP-ului. Gateway-ul de RDP deschis „temporar" în 2021 pentru cineva care lucra de acasă. Serverul de test rămas pornit după un proiect încheiat. Dacă lista ți-a luat mai mult de două minute, sau dacă nu ești sigur că e completă, ai deja jumătate din răspunsul acestui articol.

Nimeni nu te-a atacat astăzi pentru cine ești. Rețelele de senzori care ascultă traficul de scanare de pe internet au înregistrat în ianuarie 2026 aproximativ 218 milioane de evenimente, venite de la 248.608 hosturi unice — cu 32% mai multe decât în luna precedentă, din care 113 milioane de tentative îndreptate doar către servere de baze de date MSSQL. Sunt tentative automate și trafic de scanare, nu breșe reușite; distincția contează. Dar la volumul acesta, expunerea încetează să fie o chestiune de probabilitate. Nu e dacă, ci când — iar variabila care contează cu adevărat e ce se întâmplă în orele de după.

Ce e expus, de fapt, la internet în firma ta

Cele mai multe firme mici și mijlocii nu pot răspunde la această întrebare într-o zi de lucru. Nu pentru că sunt neglijente, ci pentru că lista nu există nicăieri: trăiește în capul unui administrator care a plecat acum doi ani, într-o configurație de firewall pe care nimeni n-a mai citit-o de când a fost scrisă, și în memoria colectivă a trei oameni care își amintesc lucruri diferite. Iar ceea ce nu apare pe nicio listă nu apare nici în niciun plan de patching.

• Panouri de administrare web accesibile public — într-un studiu pe 3.000 de suprafețe de atac, 60% aveau astfel de panouri expuse.
• Porturi riscante deschise direct către internet — 49% în același studiu.
• Baze de date accesibile din exterior — 42%; exact categoria către care se îndreptau cele 113 milioane de tentative din ianuarie.
• Echipamente de perimetru (firewall, VPN, gateway) tratate ca hardware „care merge", nu ca software care trebuie actualizat.
• Servere de test, demo sau staging uitate pornite, încă prezente în DNS, fără niciun proprietar desemnat.
• Nimeni nu deține lista: inventarul nu e un document versionat, e o amintire.

Tiparul nu este un server prost configurat. Este că suprafața de atac crește cu fiecare proiect nou și nu scade niciodată, pentru că nimeni nu are sarcina explicită de a o micșora. Fiecare integrare, fiecare furnizor cu acces, fiecare „lăsăm deschis până săptămâna viitoare" adaugă ceva ce nu se mai închide. Nu poți apăra ce nu poți enumera — iar partea incomodă e că atacatorul îți enumeră infrastructura săptămânal, automat și gratuit.

Exploatarea vulnerabilităților a devenit poarta principală

Raportul Verizon DBIR pe 2026 a consemnat o schimbare care se pregătea de ani buni: exploatarea vulnerabilităților a depășit credențialele furate și a devenit vectorul numărul unu de acces inițial, pentru prima dată în cei 19 ani de existență ai raportului. Vorbim de 31% din vectorii de acces inițial analizați, în creștere de la 20% în anul precedent — un salt de 55% de la an la an. Cifra nu înseamnă că 31% dintre firme au fost atacate așa; înseamnă că, dintre intrările reușite pe care le-au analizat cercetătorii, aproape una din trei a venit prin exploatarea unei vulnerabilități, nu prin parole furate sau phishing.

Unde aterizează aceste exploatări este partea care ar trebui să te intereseze cel mai mult. Tot în DBIR 2026, echipamentele de perimetru și VPN-urile au urcat de la 3% la 22% din breșele produse prin exploatare — de șapte ori într-un singur an. Analizele Mandiant merg în aceeași direcție: în perioada analizată, primele patru vulnerabilități cel mai frecvent exploatate erau toate în echipamente de perimetru (Palo Alto PAN-OS, Ivanti Connect Secure, Ivanti Policy Secure și Fortinet FortiClient EMS). Cu alte cuvinte, exact cutia pe care ai cumpărat-o ca să aperi perimetrul a devenit lucrul cel mai atacat de pe el.

Ce face AI-ul, de fapt, de partea atacatorului

Aici merită să fim preciși, pentru că povestea publică s-a fixat pe emailuri de phishing scrise impecabil. Aceea este partea vizibilă și, sincer, cea mai puțin interesantă. Schimbarea reală nu e la începutul lanțului de atac, ci la mijlocul lui: AI-ul a scos omul din etapele care înainte consumau ore de operator calificat.

Dovezile au început să apară public. În noiembrie 2025, Anthropic a făcut publică o campanie de spionaj cibernetic atribuită unui actor cu legături în China, urmărită sub numele GTG-1002 și înregistrată ca MITRE ATT&CK Campaign C0062: desfășurată în septembrie 2025 împotriva a aproximativ 30 de ținte, este considerată prima campanie orchestrată în mare parte autonom de un agent AI, care a executat estimativ 80-90% din sarcinile operaționale — recunoaștere, descoperire de vulnerabilități, exploatare, mișcare laterală, colectare de credențiale și exfiltrare. Separat, în mai 2026 a fost documentat în sălbăticie primul atac de post-exploatare complet autonom condus de un model de limbaj, finalizat în mai puțin de o oră.

Consecința e economică, nu tehnologică. Selecția țintei era, până acum, o decizie umană: cineva te alegea și își petrecea o după-amiază pe tine, iar costul acelor ore era, de fapt, protecția ta. A fi mic chiar era o apărare. Când scanarea, trierea, exploatarea și mișcarea laterală devin o singură conductă automatizată în loc de patru sarcini umane, „nu merităm efortul nimănui" încetează să fie o categorie — pentru că nu se mai consumă efortul nimănui.

Nu mai ești ales ca țintă. Ești doar enumerat.

Cele trei ceasuri

Dacă ajungi sau nu să fii spart este, la bază, o cursă între trei cronometre. Cele mai multe firme se uită doar la unul dintre ele, și de obicei nu la cel pe care îl pot influența.

1. 1Ceasul atacatorului — timpul de la publicarea unei vulnerabilități până la existența unui exploit folosit în realitate. A scăzut de la peste 700 de zile în 2020 la aproximativ 44 de zile în 2025, iar rapoartele Mandiant din 2026 arată că 28,3% dintre vulnerabilitățile publicate sunt exploatate în primele 24 de ore. Pentru vulnerabilitățile critice noi din echipamentele de perimetru, intervalul median până la exploatarea în masă a fost zero zile: exploatarea începe practic simultan cu publicarea, uneori chiar înaintea remediului.
2. 2Ceasul tău — timpul de la publicare până când tu chiar ai aplicat remediul. Mediana a urcat de la 32 la 43 de zile, în timp ce organizațiile au de gestionat cu 50% mai multe vulnerabilități din catalogul KEV decât acum un an. Ceasul tău încetinește exact în perioada în care volumul de muncă crește.
3. 3Ceasul de detecție și răspuns — cât îți ia să observi că ceva e în neregulă și să acționezi. Este singurul dintre cele trei pe care îl poți schimba în luni, nu în ani, și singurul care depinde aproape integral de tine, nu de calendarul unui producător.

Pune primele două ceasuri unul lângă altul și obții aritmetica întregului articol: nu poți repara în 43 de zile ceva care este exploatat în zero. Nu e o problemă de disciplină — nicio echipă IT, oricât de bună, nu câștigă o cursă cu acest handicap. Este o problemă structurală. Prevenția perfectă a încetat să mai fie un plan complet pentru orice se află pe perimetru.

Ideea nu este să vindem frică, ci proporție. „Nu dacă, ci când" nu e o formulă de marketing, e rezultatul unei scăderi pe care o poate face oricine. Iar concluzia ei practică e liniștitoare, nu apăsătoare: dacă nu poți câștiga cursa de patching, atunci contează alte două lucruri, și pe amândouă le controlezi. Câte ceasuri pornesc deloc — adică ce anume e expus — și cât de repede afli că unul a sunat.

Ce faci concret: reduci suprafața, scurtezi ceasul

Nu este un program de securitate, este o secvență. Primii doi pași nu costă nimic în afară de atenție și pot începe luni dimineață.

1. 1Fă inventarul real al expunerii. Nu lista din capul cuiva, ci ce răspunde efectiv la o interogare din exterior: adrese IP publice, subdomenii, porturi deschise, panouri de administrare, servicii uitate. Rezultatul trebuie să fie un document versionat, cu un proprietar numit, nu un email.
2. 2Închide tot ce nu are un motiv de business să fie public. Panouri de administrare, RDP, baze de date, interfețe de management — mutate în spatele VPN-ului sau restricționate pe adrese IP. Aici dispare de obicei cea mai mare parte a suprafeței de atac, fără niciun buget.
3. 3Tratează perimetrul ca software critic, nu ca hardware. Abonează-te la avizele de securitate ale producătorilor de firewall, VPN și gateway și desemnează pe cineva care le citește. Acestea sunt echipamentele din vârful topurilor de exploatare, nu serverele tale de aplicație.
4. 4Ține două calendare de patching, nu unul. Unul lunar, pentru infrastructura internă. Unul de urgență, măsurat în ore, pentru orice este expus la internet și apare în catalogul KEV. Al doilea calendar există exclusiv pentru că ceasul atacatorului e la zero pe perimetru.
5. 5Scanează recurent, nu anual. Suprafața se schimbă la fiecare proiect nou, la fiecare integrare, la fiecare furnizor adăugat. O scanare de acum șase luni descrie o firmă care nu mai există.
6. 6Instrumentează detecția pe activele expuse. Scopul e simplu și verificabil: să afli despre o anomalie dintr-o alertă, nu de la un client care nu poate plasa o comandă sau de la un angajat care sună că „merge greu".
7. 7Scrie și exersează răspunsul, înainte să ai nevoie de el. Cine decide izolarea unui sistem, cine anunță conducerea, cine vorbește cu clienții, în cât timp. Un exercițiu de două ore pe masă valorează mai mult decât un plan de 40 de pagini pe care nu l-a citit nimeni. Recuperarea și backup-ul testat vin după acest strat, nu în locul lui.

Cum arată asta cu un partener extern

Primii doi pași îi poți face intern într-o săptămână, și merită să-i faci chiar dacă nu lucrezi cu nimeni din exterior. Pașii de la 3 la 7 eșuează însă aproape întotdeauna din același motiv: nu au recurență și nu au proprietar. Nu e o problemă de competență, ci de atenție continuă într-o firmă în care toată lumea are deja o normă întreagă. Exact acest strat îl acoperim noi, ca parte din practica de securitate cibernetică.

• Scanare lunară externă și internă, cu raport prioritizat pe scor CVSS, recomandări concrete de remediere și retest după corecție — pachetul Vulnerability Scanning Lunar, dimensionat pe numărul de hosturi.
• Monitorizare 24/7 și alertare în timp real pe Zabbix și Grafana, cu dashboard-uri pentru conducere și raport lunar de disponibilitate și incidente. Din experiența proiectelor noastre, în jur de 80% dintre incidente sunt detectabile proactiv, înainte să sune cineva.
• Plan de răspuns la incidente cu playbook-uri pentru ransomware, exfiltrare de date și compromiterea emailului de business, plus exerciții de tip tabletop cu conducerea — pentru ca deciziile grele să fie luate înainte, nu în prima oră de criză.
• Un responsabil, chiar dacă nu e angajatul tău: CISO as a Service, pentru firmele care au nevoie de o strategie și de un interlocutor pentru autorități, dar nu justifică un specialist full-time.

Dimensionarea se face pe numărul de hosturi și echipamente, iar amploarea reală se decide după primul inventar — de multe ori suprafața e mai mică decât teama și mai mare decât lista pe care o avea firma la început.

Concluzie

Expunerea la internet nu este o greșeală, este consecința firească a faptului că faci business online. Ce s-a schimbat este că automatizarea a eliminat costul selecției pentru atacator, iar aritmetica dintre ceasul lui și al tău nu se va inversa la loc. Diferența dintre un incident și o criză rămâne, aproape întotdeauna, cât de mică e suprafața ta și cât de repede afli. Dacă nu poți spune acum, în două minute, ce anume din firma ta răspunde la o scanare venită de pe internet, de acolo începem — hai să discutăm 30 de minute și pleci cu lista, indiferent ce decizi după.