In Rumänien steht der Immobilienmarkt seit Mitte Juli still. Grund ist eine Cyberattacke auf die Nationale Agentur für Grundkataster und Immobilienverlautbarung ANCPI (Agenția Națională de Cadastru și Publicitate Imobiliară). Laut dem Newsletter- und Podcastportal Risky Business mit Schwerpunkt Cybersicherheit hatte der Angreifer zunächst versucht, die Behörde zu erpressen. Als das fehlschlug, sicherte er sich die Daten und löschte das komplette System. Eindringen konnte der Hacker demnach wohl mit gültigen Zugangsdaten.Wie das IT-Sicherheitsportal Cybernews berichtet, soll der Akteur unter dem Darknet-Handle „ByteToBreach“ seine Beute in einem Darknet-Forum für Hacker zum Verkauf angeboten und Folgendes geschrieben haben: „[RO] Dein Hintern wird versohlt werden, Rumänien! [ANCPI]“. Er habe „zusätzlich zu den Daten rumänischer Bürger – gesammelt in mehreren Datenbanken des ANCPI-Netzwerkes – auch Zugriff auf den Quellcode“ der gesamten behördlichen Systeme.Der Aufbau der notwendigen Strukturen beginnt wieder bei nullDer ANCPI ist es inzwischen zumindest gelungen, ihre Website in einer rudimentären Version wieder in Betrieb zu nehmen. In einer dort veröffentlichten Pressemitteilung erklärt die Behörde, die zunächst nur von „technischen Problemen“ sprach und den „Cybersicherheitsvorfall“ erst später offenlegte, dass sie ihre Systeme und Anwendungen wieder in die Regierungscloud überführt. Dieser Prozess sollte am Mittwoch abgeschlossen werden. Nun sollen die Anwendungen überprüft, ein Systemstatus ermittelt und ein Zeitplan für die Wiederaufnahme der Onlinedienste erstellt werden. Im Klartext heißt das, es gab wohl ein offline abgelegtes System-Back-up. Der Aufbau der dafür notwendigen Strukturen beginnt allerdings wieder bei null.Die Behörde weist zudem darauf hin, „dass öffentlich kursierende Informationen über die angeblichen Folgen des Cyberangriffs nicht aus offiziellen Quellen stammen und weder der Realität noch dem aktuellen Stand der Untersuchungen entsprechen“.Zurzeit haben weder Bürger noch Notare Zugriff auf Grundbuchdaten, sodass detaillierte Grundstücksinformationen oder Besitznachweise nicht ausgegeben respektive erbracht werden können. In vielen Artikeln wird nun das „Jurnalul de Arges“ zitiert, in dem eine Notarin erklärt, sie könne „nicht auf Grundbucheinträge zugreifen, einen Kauf abwickeln oder eine Hypothek eintragen“.Höchst unglückliches TimingIn Foren, die den Vorfall thematisieren, und in Berichten rumänischer Medien wird darauf hingewiesen, dass das Timing der Attacke tückisch ist. Demnach soll von August an die Steuer auf Immobilien auf mehr als das Doppelte (von neun Prozent auf 21 Prozent) angehoben werden. Viele Bauherren und Immobilienkäufer hatten demnach geplant, ihre Geschäfte vor dem Stichtag abzuschließen.Unterdessen wächst die Kritik an der ANCPI: Zu spät und zu wenig – so lautet der Befund bezüglich der Cybersicherheitsmaßnahmen der Behörde. Wie rumänische Medien berichten, hat sich nun auch die Behörde für IT-Sicherheit (National Cyber Security Directorate, DNSC) in Person ihres Leiters Dan Cîmpean zu Wort gemeldet. Er erklärte, die Attacke hätte verhindert werden können, zumal Schwachstellen ausgenutzt worden seien, auf die Cîmpeans Behörde die Nationale Immobilienagentur zuvor hingewiesen habe.Das Cybersicherheitsunternehmen KELA will den Hacker, der hinter der Attacke steckt, bereits identifiziert haben: In einem Bericht vom 17. Juli erklärt KELA, es handele sich bei dem Hacker mit dem Handle ByteToBreach um einen „pfiffigen Cyberkriminellen“ namens Zakaria Mahdjoub, der von der algerischen Stadt Oran aus agiere. Auch der Angriff Mitte März 2026 auf ein Unternehmen, das in Schweden die Online-IDs verwaltet, wird Mahdjoub zugerechnet. Die Annahme fußt auf Daten, die von Geräten stammen, die der Hacker infiziert hatte, sowie Browser-Cookies. Ein Profil des Akteurs bestehe bereits seit Ende des Jahres 2025.Im Profil heiße es, der besagte Akteur betreibe eine „weitläufige, plattformübergreifende Operation, die hohes technisches Know-how mit aggressiver Selbstbewerbung und Monetarisierung“ verbinde. Mahdjoub vermarkte sich auf Hacker-Foren wie „DarkForums“ (gestartet im Jahr 2022 als „DARK4RMY Forums“), einschlägigen Telegram-Kanälen wie „Dread“ sowie einer eigenen Wordpress-Seite, wo er erbeutete Daten großer Unternehmen, Universitäten, Behörden oder Fluglinien anbiete. Die zum Kauf angebotenen Daten zeigten, dass der Kriminelle eine hohe Präferenz für Hochrisikobereiche hat, die viel Aufmerksamkeit erregen.