Atac la Depozitarul Central: ce faci dacă ai cont de investitor

Depozitarul Central, instituția din grupul Bursei de Valori București care ține registrul acțiunilor, a anunțat vineri, 16 octombrie 2026, că aplicația sa pentru investitori a fost ținta unui atac cibernetic. Atacatorii au văzut datele personale ale utilizatorilor, inclusiv CNP-ul, seria buletinului și codul IBAN.

Instituția spune că parolele, deținerile de acțiuni și tranzacțiile nu au fost atinse. Pentru cei afectați, pericolul imediat nu este pierderea acțiunilor, ci valul de tentative de fraudă care folosește astfel de date pentru a părea credibil.

Ce s-a întâmplat la Depozitarul Central?

Atacul a vizat aplicația „Servicii Online pentru Investitori”. Este sistemul prin care persoanele fizice din România își creează un cont pentru a folosi online serviciile Depozitarului. Incidentul a fost descoperit în aceeași zi în care s-a produs, iar aplicația a fost scoasă temporar din funcțiune.

În mesajul transmis utilizatorilor, instituția recunoaște că „au fost vizualizate date cu caracter personal ale utilizatorilor noștri”. Este vorba despre datele furnizate la înrolare și la crearea contului. Depozitarul susține că acestea nu au fost modificate.

Comunicatul oficial precizează că atacul nu a afectat decontarea și registrul, adică funcțiile critice ale pieței de capital. Instituția a chemat o echipă de specialiști, a informat autoritățile competente și a sesizat Directoratul Național de Securitate Cibernetică (DNSC). Tranzacțiile făcute prin brokeri au continuat normal.

Cine este afectat de atacul asupra aplicației?

Nu toți românii care au acțiuni sunt în pericol în aceeași măsură. Depozitarul ține evidența deținătorilor de acțiuni, inclusiv a celor care au primit acțiuni prin privatizarea în masă din anii ’90. Datele vizualizate sunt însă cele din conturile aplicației online.

Așadar, vizați direct sunt investitorii care au trecut prin procesul de înrolare digitală. Aici intră cei care și-au actualizat online datele de identificare sau contul bancar înregistrat la Depozitar. Cine nu și-a făcut niciodată cont rămâne, potrivit informațiilor de până acum, în afara incidentului.

Până la noi clarificări, cei care au cont trebuie să trateze datele ca expuse.

Ce pot face atacatorii cu CNP-ul și IBAN-ul tău?

IBAN-ul nu le permite, singur, să scoată bani din cont. Este un cod pe care îl dai oricui trebuie să-ți facă o plată. Pericolul vine din combinația de date.

Un escroc care îți știe numele, adresa, CNP-ul, banca și numărul de telefon poate suna drept „angajat al băncii”, „consultant al Bursei” sau „inspector ANAF”. Recitarea datelor tale exacte este tehnica prin care câștigă încrederea. De acolo urmează cererea de a instala o aplicație de control la distanță, de a confirma un cod primit prin SMS sau de a muta banii „într-un cont sigur”.

Momentul contează. Tot vineri, ANAF a avertizat asupra unor site-uri false care folosesc numele instituției. Acestea cer CNP-ul, adresa, e-mailul, datele bancare, soldurile și veniturile lunare. Cineva care are deja o parte din aceste date poate construi mesaje mult mai convingătoare. Am văzut același tipar după atacul asupra Mega Image și Profi și expunerea datelor clienților.

Ce trebuie să faci dacă ai cont în aplicația Depozitarului Central?

Pașii de mai jos sunt verificați pe 16 octombrie 2026 în mesajul Depozitarului Central, în comunicatul ANAF și pe site-ul DNSC.

Primul pas este parola. Dacă ai folosit aceeași parolă și pe alte servicii, schimb-o acolo cât mai repede, chiar dacă instituția spune că parola aplicației nu a fost accesată. Activează autentificarea în doi pași la e-mail, la banca online și la contul de broker.

Al doilea pas este prudența la telefon. Nu continua o discuție doar pentru că apelantul îți spune corect CNP-ul sau IBAN-ul. Închide și sună tu la numărul oficial al băncii sau al instituției, luat de pe site-ul acesteia. Depozitarul Central amintește că poate fi contactat prin poștă și la ghișeul de la sediul secundar, nu prin linkuri trimise la întâmplare.

Al treilea pas privește aplicațiile. Nu instala programe de acces la distanță la cererea cuiva care te sună. ANAF a cerut explicit același lucru pentru apelurile făcute în numele său. Comunicarea oficială cu fiscul se face prin Spațiul Privat Virtual.

Dacă ai completat deja date pe un site suspect sau ai pierdut bani, anunță imediat banca și Poliția. Incidentul cibernetic poate fi raportat la DNSC, la numărul 1911 sau prin platforma pnrisc.dnsc.ro. Pe telefon, merită să activezi și protecțiile anti-fraudă noi din Android care ajung în România.

Cum recunoști un mesaj fals în numele Bursei sau al ANAF?

Semnalul principal este graba. Mesajele false anunță dividende neîncasate, conturi blocate sau amenzi care trebuie plătite azi. Instituțiile reale nu cer parole sau coduri prin telefon.

Verifică adresa site-ului înainte să introduci orice dată. Pentru Depozitarul Central, informațiile oficiale apar pe roclear.ro, iar pentru fisc pe anaf.ro. Un link primit prin SMS trebuie tratat cu suspiciune, chiar dacă pagina arată ca originalul.

Apelurile insistente pot fi filtrate. Ghidul nostru despre blocarea apelurilor spam pe iPhone și Android explică ce setări reduc numărul acestor tentative.

Ce urmează după atacul asupra Depozitarului Central?

Potrivit GDPR, operatorul datelor trebuie să anunțe autoritatea de protecție a datelor și, când riscul e ridicat, chiar persoanele vizate. Rămân deschise mai multe întrebări. Nu se știe câți investitori sunt vizați, cum au intrat atacatorii și când va fi repusă online aplicația.

Pentru investitorii obișnuiți, concluzia practică e simplă. Acțiunile sunt în siguranță, potrivit Depozitarului, dar datele personale trebuie considerate compromise.