Publicat pe 7 octombrie 2026 · Echipa mitza.es
Pe 15 septembrie 2026, Agenția Spaniolă pentru Protecția Datelor (AEPD) a explicat pe blogul său prima încălcare a securității datelor personale care i-a fost notificată în Spania și în care un agent de inteligență artificială a executat autonom mai multe faze ale unui atac. Nici organizația afectată, nici modelul de limbaj folosit nu au fost identificate. Informația a ajuns la agenție pentru că însăși organizația a comunicat incidentul și, potrivit AEPD, mai trebuie analizată: deocamdată nu există concluzii definitive și nici sancțiune. Cazul este relatat, printre altele, de Euronews, Moncloa și MuyComputerPro (în spaniolă).
Ce s-a întâmplat, potrivit AEPD
O terță parte a folosit un agent IA, sprijinit pe un model de limbaj cunoscut, pentru a „înlănțui cu succes diferite faze ale unui atac”. Potrivit surselor care au reprodus nota agenției, agentul:
- A căutat automatizat în fișiere de uz general până a obținut credențiale de acces valide.
- S-a autentificat cu succes într-un sistem informatic al organizației.
- A continuat să exploreze aplicația pe cont propriu și a detectat defecte de securitate.
- A folosit acele defecte pentru a modifica date personale ale utilizatorilor și a accesa facturi.
AEPD precizează că folosirea unui anumit model „nu înseamnă că acel model sau infrastructura furnizorului său au fost compromise, nici că instrumentul a fost conceput pentru activități malițioase”: agentul a fost un instrument în mâinile altcuiva. Sursele nu detaliază din ce fișiere provin credențialele și nici câte persoane au fost afectate.
De ce contează chiar dacă e un caz izolat
Ce urmează este interpretarea noastră, nu o concluzie a agenției. Agentul nu a făcut nimic ce nu ar fi putut face un atacator uman: a căutat credențiale, a intrat, a explorat și a exploatat un defect. Diferența este scara și viteza. Nu mai e nevoie să dedici ore de muncă calificată fiecărei ținte, așa că afacerile mici încetează să fie „prea puțin interesante”. Atacul cibernetic asupra Renfe și Adif, pe care l-am analizat recent, indică aceeași direcție: potrivit reconstituirilor pe care le-am prezentat, un agent IA a localizat autonom vulnerabilitatea.
Și un detaliu care trece neobservat: calea de intrare au fost credențiale valide, nu un defect exotic. Asta readuce atenția la elementele de bază: parole unice, autentificare în doi pași și conturi care nu ar mai trebui să fie active.
Ce cere AEPD
Potrivit Escudo Digital și celorlalte surse citate, agenția cere operatorilor și persoanelor împuternicite să:
- Includă în mod expres atacurile asistate sau executate prin IA în analizele lor de risc.
- Consolideze controlul identităților și al credențialelor.
- Aplice principiul accesului minim.
- Dispună de instrumente de detecție și întrerupere automată capabile să răspundă în timp real.
- Și, mai general: să își cunoască prelucrările de date, să le minimizeze, să corecteze vulnerabilitățile, să controleze furnizorii și să fie pregătiți să răspundă.
Cinci măsuri concrete pentru un IMM
Sunt recomandările noastre, gândite pentru o afacere mică și aliniate cu ce cere agenția:
- Credențiale unice și autentificare în doi pași. O parolă diferită pentru fiecare serviciu, păstrată într-un manager de parole, și autentificare în doi pași la email, panoul de administrare al site-ului, facturare și banca online. Dacă una dintre parolele tale circulă deja într-o scurgere veche, un agent automatizat o va găsi înaintea unei persoane. Îți poți verifica adresele de email pe Have I Been Pwned și poți schimba ce apare.
- Acces minim. Fiecare persoană accesează doar ce îi trebuie, conturile de administrator sunt separate de cele de zi cu zi, iar conturile foștilor angajați sau colaboratori se închid.
- Verifică ce este expus. Aplicațiile web, panourile și copiile vechi accesibile de pe internet sunt primul lucru pe care îl caută un agent. Un audit de securitate web verifică exact asta: plugin-uri neactualizate, configurație, accese și copii de siguranță.
- Jurnale și alerte. Activează alerte pentru autentificări neobișnuite (țară, oră, încercări repetate) și hotărăște cine le urmărește. Un jurnal pe care nu îl citește nimeni nu detectează nimic.
- Plan de răspuns. Să știi pe cine suni, cum izolezi sistemul și când notifici. RGPD cere ca încălcările care prezintă un risc pentru persoane să fie notificate către AEPD fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință (articolul 33). O asigurare cibernetică poate acoperi o parte din costuri.
Mai mult context
AEPD nu a anunțat o sancțiune în acest caz, dar anul acesta a amendat mari companii pentru încălcarea RGPD, după cum am povestit în amenzile date Vodafone, Amadeus și Aena. Iar atacurile cu IA nu înseamnă doar agenți care intră în sisteme: phishing-ul și deepfake-urile cresc și ele. Dacă firma ta lucrează cu clienți mari, vezi și ce va cere NIS2.
Cum te putem ajuta
Dacă vrei să afli ce vede un atacator automatizat când se uită la site-ul tău, auditul nostru de securitate web verifică plugin-urile, configurația, accesele și copiile de siguranță și îți livrează un raport prioritizat după riscul real. Iar dacă site-ul este în ordine, dar nu se ocupă nimeni să îl țină la zi, avem un serviciu de mentenanță website pentru IMM-uri.