de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
168.000 de dolari.
Suma nu ar cumpăra un apartament decent în orașul de care aparții. Nu ar acoperi salariul anual al unui director de departament IT dintr-o multinațională mijlocie. Nu ar reprezenta nici măcar o săptămână de operare pentru o companie de dimensiuni medii.
Dar aceiași 168.000 de dolari, 1,5 Bitcoin, au fost, în august 2025, prețul cerut pentru a nu paraliza administrația publică a unei țări europene.
Nu prin atacul unei bănci centrale. Nu prin căderea unui sistem guvernamental de talia platformelor românești tip Ghișeul.ro sau Hipocrate. Prin atacul unei singure companii private de software HR, cu aproximativ 30 de angajați, dintr-un oraș mediu.
Miljödata. Un nume pe care 99% dintre suedezi nu-l cunoscuseră niciodată. Până în dimineața de duminică, 24 august 2025, când 200 din cele 290 de municipalități suedeze, 80% din administrația țării s-au trezit fără acces la sistemele care gestionau concediile medicale, certificatele de sănătate și rapoartele de accidente de muncă ale sutelor de mii de angajați publici.
Iar cifra reală de care ar trebui să ne uimim nu este 168.000 de dolari. Este disproporția dintre această sumă și paguba economică pe care a produs-o. E în acea disproporție că se ascunde adevărata poveste a ransomware-ului modern.
Cronologia scurtă a unui atac ieftin
Weekend, 22-23 august 2025 – atacatorii, autoidentificați drept „datacarry”, intră în sistemele Miljödata. Grup mic, oportunist, nu unul dintre marii jucători din industria ransomware.
25 august – CEO-ul Erik Hallén confirmă public. Cifrele sunt deja alarmante: în jur de 200 de municipalități suedeze afectate simultan, plus 21 de regiuni.
Cererea de răscumpărare: 1,5 Bitcoin, aproximativ 168.000 de dolari. O sumă modestă pentru un incident de această amploare, semn clar că nu vorbim de LockBit sau ALPHV/BlackCat, ci de un jucător mai mic care „ținește” pentru profitul de o singură zi.
14 septembrie 2025 – datele sunt publicate pe dark web. Ce nimeni nu voia să se întâmple, s-a întâmplat.
15 septembrie – procurorii suedezi confirmă oficial: peste 1,5 milioane de persoane afectate. O cincime din populația țării. Nu doar angajați actuali. Și foști angajați din urmă cu zece, cincisprezece ani, oameni ale căror dosare rămăseseră pe serverele Miljödata cu mult după plecarea din administrație.
Aici trebuie să ne oprim și să facem un calcul.
„Bine, dar 168.000 de dolari e o sumă mică. E o infracțiune ratată?”
Aici e capcana. Aici e modelul de business.
Ransomware-ul modern nu mai este o infracțiune izolată. Este o industrie. O industrie cu regulă de profit, cu piețe secundare, cu specializări interne, cu sisteme de calitate. O industrie ale cărei plăți totale conform raportului Chainalysis 2026 privind criminalitatea cripto au ajuns la 820 de milioane de dolari în 2025.
În 2024, media plăților a fost de aproximativ 2 milioane de dolari per incident, cu o mediană de 200.000 de dolari. Iar în trimestrul al treilea din 2025, mediana a scăzut la 140.000 de dolari. Ceea ce înseamnă că 168.000 de dolari, suma cerută pentru Miljödata, este exact în intervalul „standard” al pieței. Nu e o sumă modestă din perspectiva atacatorilor. Este suma-țintă pentru care presiunea funcționează, negocierea reușește, procesul se închide rapid.
Iar suma cerută este doar prima sursă de venit dintr-un lanț mai lung. Materialele de specialitate folosite în programele universitare de criminalitate cibernetică descriu, cu documentație extensivă, cel puțin patru fluxuri de venit paralele într-un atac modern:
Primul – răscumpărarea directă. Ce încearcă atacatorii să obțină imediat, pentru a debloca sistemele sau a nu publica datele.
Al doilea – vânzarea datelor pe dark web. Chiar dacă victima plătește, o parte din date se scurge oricum către forumuri secundare. Prețul per persoană variază enorm în funcție de tipul de date: de la 5-10 dolari pentru un email cu parolă, la 200-500 de dolari pentru pachetul complet de identitate (nume, adresă, cont bancar, numere de identificare, date medicale). În cazul Miljödata, datele expuse includeau exact tipul cel mai valoros, informații medicale legate de concedii, reabilitare, accidente de muncă. Pe piața neagră, aceste categorii se vând între cele mai scumpe.
Al treilea – vânzarea accesului rămas („Initial Access Broker”). Materialele de specialitate din programele universitare numesc această categorie „lăcătușii lumii cibernetice”. Odată intrat într-un sistem, atacatorul poate păstra o „ușă din spate” pe care nu o folosește el, ci o vinde altui grup pentru un al doilea atac. Prețurile pentru astfel de acces în 2025 au variat, conform Rapid7, între 5 dolari (loguri unice de tip stealer) și peste 113.000 de dolari (accese corporate premium).
Al patrulea – exploatarea directă a datelor. Frauda cu identitate, phishing țintit pe cei afectați, extorsiunea individuală a persoanelor cu informații medicale sensibile. Fiecare dintre 1,5 milioane de suedezi devine, în lunile următoare, o oportunitate potențială de câștig — nu pentru grupul care a atacat Miljödata, ci pentru toate rețelele care cumpără segmente de date.
Cum funcționează economia unui atac
Ceea ce transformă un atac de tip Miljödata dintr-un incident izolat într-o afacere replicabilă este un model de business relativ nou, dar deja dominant: Ransomware-as-a-Service (RaaS). Practic, „ransomware la abonament”.
În acest model, atacul nu mai este realizat de o singură persoană sau grup. Este o structură în etaje:
La bază – dezvoltatorii de ransomware. Ei nu atacă niciodată direct. Ei scriu codul, întrețin infrastructura, gestionează plățile în cripto și mențin „portalul de negociere”. Funcționează exact ca o companie de software, cu actualizări periodice, suport tehnic, chiar și dashbord-uri pentru afiliați.
La mijloc – afiliații. Oameni cu abilități tehnice moderate care „închiriază” instrumentele dezvoltatorilor. Ei aleg țintele, execută atacul, negociază cu victima. În schimb, primesc 60-80% din răscumpărarea încasată; dezvoltatorii primesc restul.
La vârf – brokerii de acces (Initial Access Brokers). Nu atacă nimic ei înșiși. Vând doar informații: liste de instituții cu vulnerabilități cunoscute, credențiale furate, „uși deschise” în sisteme.
Rezultatul: pentru a executa un atac de tip Miljödata, nu ai nevoie de o echipă de hackeri geniali. Ai nevoie de un abonament la un portal RaaS (câteva mii de dolari pe lună), de o listă de acces de la un IAB (5-100.000 de dolari, în funcție de țintă) și de câteva săptămâni de răbdare.
Randamentul acestei „investiții”: la o rată de succes de 5-10% pe atacurile lansate, un afiliat mediu poate avea profituri de sute de mii sau milioane de dolari anual. Iar rata generală de plată, deși în scădere accentuată în 2025 (23% față de 85% în 2019), rămâne suficient de mare încât modelul să fie profitabil.
Cu alte cuvinte: ransomware-ul modern funcționează ca un start-up tehnologic. Are produs, are clienți (afiliați), are piață secundară (dark web), are servicii de suport, are chiar și „responsabilitate corporativă” (unele grupuri refuză să atace spitale sau infrastructură vitală, pentru a-și proteja reputația între ceilalți criminali).
Iar când citim „168.000 de dolari” pentru un atac care afectează 1,5 milioane de oameni, ceea ce vedem nu este o infracțiune ratată. Vedem prețul optim de negociere, calculat de o industrie matură.
„Bine, dar pe mine cum mă atinge asta?”
Aici e conexiunea care lipsește din majoritatea articolelor despre cybersecurity.
Atacurile de tip Miljödata nu sunt un fenomen scandinav. Sunt un fenomen european. Raportul Black Kite din august 2026 documentează o creștere de 55,1% a atacurilor ransomware asupra organizațiilor europene în primele patru luni ale anului 2026, 684 de incidente doar în patru luni. Iar 70% dintre atacuri sunt concentrate în cinci țări: Germania, Marea Britanie, Franța, Italia, Spania.
România încă nu apare între țările fruntașe pe această listă. Dar tendința economică internă este clară: fiecare atac reușit împotriva unui furnizor de software care deservește simultan multe instituții este, pentru atacatori, o afacere cu marjă de profit extraordinar de bună. Iar atacatorii nu sunt limitați geografic. Ei aleg țintele pe baza raportului dintre efortul depus și rezultatul obținut — nu pe baza pașaportului victimei.
Pentru un cetățean român, două lucruri concrete decurg din această realitate.
Primul lucru – legea îți spune că răspunderea există. Prin Ordonanța de Urgență 155/2024 și Legea 124/2025, care transpun Directiva europeană NIS2, orice companie sau instituție din sectoarele considerate esențiale sau importante, administrație publică, sănătate, servicii financiare, servicii digitale, furnizori de infrastructură critică, dar și furnizori mai mici care deservesc aceste sectoare, are obligații legale stricte: analiza riscurilor inclusiv la nivelul furnizorilor, politici documentate de securitate, notificarea incidentelor în termene stricte. Sancțiunile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri anuală. Dacă ești antreprenor mic sau mediu în aceste sectoare, aceste obligații te vizează. Dacă ești cetățean, ele reprezintă cadrul legal în care trebuie să te aștepți să opereze instituțiile pe care te bazezi.
Al doilea lucru: economia dark web-ului nu îți cere permisiunea. Odată ce datele tale ajung într-o scurgere, ele intră într-un circuit economic care nu se închide niciodată. Ele sunt vândute, revândute, agregate cu alte scurgeri, folosite pentru phishing țintit, pentru atacuri repetate, pentru fraudă cu identitate, ani întregi după momentul zero al scurgerii. Verificarea propriei expuneri este singura măsură activă pe care o poți lua. Serviciul internațional haveibeenpwned.com, operat de expertul de securitate Troy Hunt, indexează majoritatea marilor scurgeri publice. Îți spune, în câteva secunde, dacă adresa ta de email figurează într-o scurgere documentată. Dacă apare, reacția utilă nu este panica, este schimbarea parolelor implicate, activarea autentificării în doi pași pe conturile importante și înlocuirea, unde este posibil, a SMS-ului cu aplicații de autentificare precum Google Authenticator sau Microsoft Authenticator.
Nu poți controla dacă un furnizor de software cu care nici nu ai știut că interacționezi va fi atacat. Poți controla cât de mult timp și câte conturi rămân apoi vulnerabile în viața ta digitală.
Educația financiară nu mai înseamnă doar să compari dobânzi și să-ți planifici bugetul.
Înseamnă și să înțelegi că, în 2026, criminalitatea cibernetică nu mai este o serie de infracțiuni izolate este o industrie cu regulă de profit, cu piețe, cu specializări interne, cu modele de business standardizate. O industrie ale cărei venituri anuale, la nivel global, sunt estimate în trilioane de dolari.
O industrie în care atacul asupra unei companii de software HR dintr-un oraș suedez, cerând 168.000 de dolari, nu este o infracțiune stângace. Este un model matematic — calibrat exact la punctul de intersecție dintre suma pe care victima o poate plăti rapid și paguba pe care refuzul de a plăti ar produce-o.
Cifrele cu adevărat impresionante nu sunt cele din titlu, 168.000 de dolari, 1,5 milioane de persoane. Cifrele cu adevărat impresionante sunt cele care nu apar în presa generalistă: 820 de milioane de dolari plăți totale anuale, 5-500 de dolari valoare per persoană pe dark web, 60-80% comision pentru afiliații RaaS. Ele descriu o economie paralelă cu economia legală la fel de structurată, la fel de matematică, la fel de rentabilă.
Iar Suedia a plătit, la 168.000 de dolari, prețul unei zile de servicii publice suspendate. Cetățenii ei, cei 1,5 milioane ale căror date se scurg de atunci, plătesc, în luni și ani, un preț mult mai mare, în valuta invizibilă a expunerii digitale permanente.
Data viitoare când citești despre „un atac ransomware modest”, întrebarea utilă nu mai e „ce sumă au cerut?”.
E: „ce industrie tocmai a mai închis o tranzacție?”
