de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
Cumperi o asigurare de viață. Sau una pentru locuință. Sau, mai serios, o poliță de asigurare privată pentru pensie. Compania îți prezintă o ofertă. Prețul ți se pare corect, condițiile clare. Semnezi.
În spatele acelui preț, la care te-ai uitat câteva secunde înainte să semnezi, stă un lanț lung de decizii pe care nu le vezi și nu le poți controla. Compania de asigurări are un rating de bonitate – dat de o agenție internațională, cel mai probabil Moody’s, S&P, Fitch sau Kroll (KBRA). Acel rating determină cât capital de rezervă e obligată compania să dețină. Cât capital deține, cât de solidă e financiar. Cât de solidă e, cât de mult te poate costa polița ta. Și, în cazul unui eveniment major, cât de sigur e că vei fi despăgubit.
Iar acele ratinguri, la rândul lor, ajung la reglementatorii care determină regulile jocului prin intermediul unui organism american numit Asociația Comisarilor de Asigurări din Statele Unite (NAIC).
Pe 18 iunie 2026, NAIC a anunțat că suspendă operațiuni. Din cauza unui atac cibernetic care a compromis exact lanțul acesta.
Iată ce s-a întâmplat și de ce te privește.
Cronologia unei luni fără precedent
Pe 27 mai 2026, grupul de hackeri cunoscut sub numele de ShinyHunters a început să exploateze o vulnerabilitate zero-day (adică o slăbiciune necunoscută anterior producătorului) în Oracle PeopleSoft — un software folosit de mii de organizații mari din lume pentru gestiunea internă a rapoartelor financiare, resurselor umane și proceselor administrative.
Timp de 14 zile, atacatorii au avut acces liber. Doar pe 10 iunie, Oracle a lansat un patch de urgență, catalogat oficial ca CVE-2026-35273 o vulnerabilitate critică de execuție de cod la distanță, fără autentificare, cu scor CVSS 9.8 din 10.
Prea târziu. Conform analizei publicate de unitatea Mandiant a Google, campania afectase deja peste 100 de organizații și 300 de instanțe individuale la nivel mondial. Printre victime: Amazon One Medical (serviciul medical al Amazon), Consiliul Europei, Kodak, DentaQuest și cea mai importantă pentru contextul nostru, NAIC, regulatorul american al asigurărilor.
Pe 11 iunie, NAIC a detectat accesul neautorizat. Pe 17 iunie, l-a confirmat public. Pe 18 iunie, ShinyHunters a revendicat atacul, cerând răscumpărare. NAIC a refuzat. Pe 25-26 iunie, atacatorii au publicat 3,1 terabyți de date pe dark web.
Aici a intrat în scenă miza reală.
„Bine, dar e o problemă americană. Pe mine cum mă atinge?”
Aici e conexiunea pe care majoritatea cetățenilor nu o văd.
Datele publicate de ShinyHunters includ, printre altele, aproximativ 45.000 de fișiere de la agențiile de rating internaționale Moody’s, Fitch, S&P, Kroll (KBRA), DBRS (Morningstar), AM Best, Egan-Jones, HR Ratings. Fișierele conțin informații de rating încă nepublicate, plus identificatori financiari internaționali (CUSIP și ISIN, codurile care identifică unic instrumentele financiare la nivel global).
Consecința directă: agențiile de rating și-au oprit fluxurile de date către NAIC, ca măsură de precauție. Ceea ce a forțat NAIC să suspende oficial, începând cu 18 iunie 2026, atribuirea de ratinguri de investiții pentru companiile de asigurări. Practic, pentru câteva săptămâni, regulatorul american al asigurărilor a rămas fără mecanismul principal prin care determină cât capital de rezervă trebuie să dețină o companie de asigurări.
E ca și cum, brusc, cântarul cu care se cântăresc mașinile la vamă nu ar mai funcționa. Camioanele trec în continuare, dar nimeni nu mai știe exact ce au încărcat.
Iar aceste ratinguri, deși emise de agenții americane, sunt folosite la nivel global. Ele determină prețul obligațiunilor emise de guverne europene, evaluarea polițelor de reasigurare pe care se sprijină industria de asigurări din UE și, indirect, prețul pe care îl plătești tu la ghișeu pentru o poliță în România.
Sistemul financiar mondial e mai interconectat decât pare la prima vedere. Un regulator american care pierde 14 zile din calendarul operațional creează unde care ajung, cu întârziere, până la noi.
Cum funcționează atacul care schimbă totul
Ceea ce face acest incident semnificativ nu e amploarea (deși e semnificativă), ci modelul. Ne aflăm în fața tipului de atac care, în 2026, a devenit dominant: atacul prin lanțul de furnizori.
În vechiul model, atacatorii încercau să spargă direct ținta finală, o bancă, o companie de asigurări, un guvern. Ținta finală investea masiv în securitate, iar atacurile directe erau grele, costisitoare, cu rate mari de eșec.
În noul model, atacatorii identifică un furnizor comun, un software, un serviciu, o infrastructură, folosit de sute sau mii de organizații simultan. Sparg acel furnizor. Și, printr-o singură intrare, obțin acces la toate victimele care depind de el.
Cazul Oracle PeopleSoft e exemplu de manual. O singură vulnerabilitate. Un singur exploit. Peste 100 de organizații compromise, fără ca atacatorii să fi trebuit să atace individual pe fiecare.
Materialele de specialitate folosite în programele universitare de cybersecurity descriu acest fenomen cu doi termeni tehnici. Primul: „supply chain attack”, atacul prin lanțul de aprovizionare. Al doilea: „single point of failure”, punctul unic de eșec. Atunci când mii de organizații depind de aceeași piesă de software, orice vulnerabilitate în acea piesă devine sistemică, nu locală.
Iar tendința se accelerează. Conform raportului Black Kite pentru sectorul financiar 2026, în primul trimestru al anului 2026 s-au înregistrat 65 de incidente în sectorul financiar, o creștere de 76% față de aceeași perioadă din 2025. Ransomware-ul în sectorul financiar a urcat de la 156 de incidente în 2024 la 202 în 2025 și trendul continuă. Iar tot mai multe atacuri nu mai vin prin uși, ci prin ferestre furnizate de terți.
Un caz relevant citat în același raport: Korean Leaks o campanie în care grupul Qilin a compromis un singur furnizor de servicii IT (GJTec) și a ajuns, prin el, în 32 de instituții financiare sud-coreene simultan, exfiltrând peste 2 terabyți de date. Fără să atace direct nici măcar una dintre aceste instituții.
Ce înseamnă asta concret pentru tine
Nu ai un mecanism direct de a te apăra de un incident global la un furnizor de software Oracle. Ce poți face este să înțelegi mai bine în ce sistem operează instituțiile cu care lucrezi și cum se apreciază sănătatea lor financiară.
Primul lucru: verifică sub ce reglementator operează instituția cu care lucrezi.
Uniunea Europeană a implementat, începând cu ianuarie 2025, Regulamentul privind Reziliența Operațională Digitală (DORA). Acest regulament obligă toate instituțiile financiare din UE (bănci, asigurători, fonduri de pensii, firme de investiții) să își auditeze constant furnizorii terți de tehnologie, să dețină planuri de continuitate testate periodic și să raporteze incidentele majore în termeni stricți către autoritățile naționale de supraveghere. În România, autoritatea competentă pentru asigurări, fonduri de pensii și piața de capital este Autoritatea de Supraveghere Financiară (ASF), iar băncile sunt supravegheate suplimentar de Banca Națională a României.
Pentru cetățeanul român, alegerea unui asigurător sau a unei bănci care operează sub reglementare europeană nu doar cu prezență comercială, ci cu obligații DORA reale, e o formă de protecție indirectă. Instituția respectivă e obligată prin lege să reziste la exact tipul de incident care s-a întâmplat în iunie 2026. Nu e o garanție absolută. E, însă, un cadru mai bun decât absența oricărui cadru.
Cum verifici concret: pe site-ul ASF, la secțiunea Registru public, poți verifica dacă asigurătorul sau firma de investiții cu care lucrezi e autorizată și supravegheată. Pentru bănci, aceeași verificare se face pe site-ul BNR.
Al doilea lucru: învață să citești ratingul unei instituții financiare.
Cei mai mulți cetățeni citesc oferta unei companii de asigurări, a unei bănci sau a unui fond de investiții și se opresc la dobândă, la prima de risc, la clauze. Practic nimeni nu se uită la ratingul de bonitate al instituției deși e afișat public, în rapoartele anuale, în prospectele produselor, adesea pe site-ul propriu al companiei.
Ratingurile sunt „notele” pe care agențiile internaționale (Moody’s, S&P, Fitch și altele) le acordă instituțiilor financiare, evaluând probabilitatea ca acestea să-și onoreze obligațiile. Fiecare agenție folosește o scală proprie, dar principiul e același: cu cât nota e mai apropiată de „A” sau „AA”, cu atât instituția e apreciată drept mai solidă. Cu cât coboară spre „B” sau „C”, cu atât riscul crește.
O primă „grilă” simplă de citit, valabilă pe scala Standard & Poor’s: AAA și AA înseamnă capacitate foarte mare de plată; A înseamnă capacitate mare, dar cu vulnerabilitate ceva mai crescută la condiții economice adverse; BBB înseamnă în continuare grad investițional, dar cu sensibilitate mai mare la ciclul economic; sub BBB intrăm în categoria „speculativă” (uneori numită „junk”). Fiecare agenție folosește notații ușor diferite, dar corespondența e directă între ele.
Nu trebuie să devii analist financiar. Dar când semnezi o poliță pe zeci de ani sau alegi un fond de pensii, un simplu gest să întrebi „care e ratingul companiei și cine îl acordă?” te repoziționează. Îți spune, într-o clipă, dacă banii tăi ajung la o instituție solidă sau la una cu vulnerabilități semnificative. Iar în contextul unui iunie 2026 în care mecanismul global de acordare a acestor ratinguri a fost, temporar, sub atac devine cu atât mai relevant să știi ce număr te uiți.
Ce se schimbă la nivel european și în România
Reacția instituțională la evenimentele din iunie 2026 va fi lentă, așa cum e mereu. Dar direcția e clară.
Autoritățile europene de supraveghere financiară au început, încă din 2025, să impună audituri stricte ale furnizorilor terți în cadrul DORA. Autoritatea Bancară Europeană (EBA) coordonează, împreună cu autoritățile naționale, monitorizarea „furnizorilor critici de tehnologie” categorie în care intră companii precum Oracle, Microsoft, SAP, IBM, Amazon Web Services, Google Cloud. Aceste companii vor fi supuse, începând cu 2026-2027, obligațiilor de raportare directă către reglementatorii europeni, chiar dacă nu sunt companii europene.
Această logică s-a tradus deja în legislație concretă și în România. Prin Ordonanța de Urgență 155/2024 și Legea 124/2025, care transpun Directiva europeană NIS2, orice companie sau instituție din sectoarele considerate esențiale sau importante, energie, transporturi, sănătate, servicii financiare, servicii digitale, administrație publică, curierat, chimie, industrie alimentară, între altele are obligații stricte de a-și analiza riscurile cibernetice, inclusiv cele care provin din partea furnizorilor și a lanțului de aprovizionare, de a implementa politici de securitate documentate și de a notifica incidentele majore în termene stricte: 24 de ore pentru alerta inițială, 72 de ore pentru raportul intermediar, o lună pentru raportul complet. Sancțiunile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală.
Cu alte cuvinte, ceea ce s-a întâmplat cu NAIC nu mai e doar o poveste din Statele Unite. E exact tipul de scenariu pe care legislația română, aliniată la standardele europene, îl consideră astăzi risc reglementat atât pentru marile companii, cât și pentru firmele mai mici din sectoarele afectate. Auditul furnizorilor, evaluarea lanțului de aprovizionare, planurile de continuitate nu mai sunt bune practici opționale. Sunt obligații legale, cu sancțiuni.
În paralel, la nivelul politicii publice, tot mai multe state europene discută necesitatea de „cloud suveran” infrastructură tehnologică critică operată sub jurisdicție europeană, nu americană sau asiatică tocmai pentru a reduce concentrarea de risc la câțiva mari furnizori globali.
Reglementarea funcționează însă în ritmul propriu. Tehnologia, și atacatorii, se mișcă mult mai repede.
Educația financiară nu mai înseamnă doar să compari dobânzi și să-ți planifici bugetul.
Înseamnă și să înțelegi că, în 2026, prețul pe care îl plătești la ghișeul unei companii de asigurări din București e legat, printr-un fir subțire, de un rating emis de o agenție americană, de un regulator din Kansas City și, mai adânc, de un patch software lansat cu 14 zile prea târziu. Sistemul financiar mondial e o rețea densă de dependențe pe care nu le vezi până în momentul în care una dintre ele cedează.
Vestea bună e că nici tu nu ești complet neputincios în fața ei. Cea mai bună apărare a cetățeanului educat financiar în 2026 nu mai e doar să-și verifice extrasul de cont. E să înțeleagă în ce sistem operează instituțiile cu care lucrează, cine le reglementează, cum sunt evaluate, ce ratinguri au și să-și pună întrebările potrivite înainte de a semna, nu după.
Iunie 2026 va rămâne, cel mai probabil, o notă de subsol în istoria cybersecurity o lună în care un patch software lansat prea târziu a forțat regulatorul american al asigurărilor să oprească, temporar, unul dintre cele mai importante mecanisme ale sistemului financiar mondial.
Data viitoare când semnezi o poliță, o obligațiune sau un contract cu un instrument financiar, întrebarea utilă nu mai e doar „la ce dobândă?”.
E: „ce rating are instituția asta, și cine îl acordă?
