Securitatea EDI în retailul românesc: lecții după valul de atacuri ransomware din ultimul an

Securitatea EDI în retailul românesc: lecții după valul de atacuri ransomware din ultimul an

Digitalizarea accelerată a lanțurilor de retail din România – de la integrarea facturării electronice RO e-Factura la schimbul electronic de documente (EDI) cu zeci de mii de furnizori – a extins vizibil suprafața de atac. În ultimele 12 luni, campaniile ransomware și valurile de phishing orientate pe zona de facturare electronică au pus presiune pe operațiuni, conform alertelor repetate ale Directoratului Național de Securitate Cibernetică (DNSC) din toamna lui 2025 și începutul lui 2026. Pentru un sector în care orele de indisponibilitate înseamnă cozi la casă, retururi întârziate și rafturi neaprovizionate, securitatea EDI a devenit subiect de board, nu doar de IT.

Context: când facturarea electronică și EDI întâlnesc ransomware

Din 2024, generalizarea RO e-Factura a adus un val de integrare între ERP-urile comercianților și sistemele ANAF, fie prin canale API, fie prin gateway-uri EDI. Marile rețele de retail precum Carrefour România, Kaufland România, Mega Image (Ahold Delhaize), Auchan, Profi, dar și jucători din bricolaj precum Dedeman și marile marketplace-uri ca eMAG și Altex au orchestrat conectări cu mii de parteneri comerciali. În paralel, furnizori EDI globali (Comarch, OpenText, SAP Ariba, Basware, SPS Commerce, IBM Sterling, Cleo) și integratori locali au extins infrastructura pentru ASN-uri, comenzi, avize de expediție, confirmări de livrare și reconciliere.

Acolo unde date tranzacționale critice circulă la scară, atacatorii urmăresc cel mai slab verigă: portalurile de furnizori expuse pe internet, tunelurile AS2/SFTP administrate precar, certificate criptografice neverificate, conturi de serviciu fără MFA, actualizări întârziate la gateway-urile EDI și – mai ales – lanțul de email. DNSC a semnalat în ultimele luni intensificarea campaniilor de phishing ce abuzează pretextul „RO e-Factura”, distribuind atașamente sau link-uri către arhive/malware, vizând atât contabilii furnizorilor, cât și echipele AP/AR ale retailerilor. Odată obținut un cap de pod (inițial acces), actorii ransomware pivotau spre servere de fișiere, sisteme de back-office și, în unele cazuri, către nodurile EDI.

Incidente cu ecou și consecințele operaționale

Chiar dacă multe companii nu își detaliază public incidentele, precedentul rămâne grăitor. Atacul asupra Metro AG din 2022 a afectat la nivel european funcțiile POS și aprovizionarea, inclusiv în România, arătând cum o compromitere IT produce șocuri până la casele de marcat și depozite. În 2023, rețeaua Profi a raportat o perturbare IT majoră cu impact operațional, o reamintire că atacurile asupra retailului pun la încercare inclusiv procesele de back-up și planurile de continuitate. Iar în 2025, mai multe grupări ransomware au revenit în forță la nivel european, pivotând către lanțul de aprovizionare: curieri, procesatori de plăți, furnizori de software sau integratori – verigi care susțin zilnic operațiunile retailerilor români precum Fan Courier, Sameday sau Cargus.

Chiar fără cifre publice, tabloul ultimului an e clar: downtime-ul EDI blochează recepțiile în depozite, avizele de expediție, clearing-ul facturilor și reconcilierea, împingând la soluții manuale scumpe și erori. În vârf de sezon, un atac poate însemna pierderi semnificative de vânzări, penalități contractuale și deteriorarea relației cu furnizorii.

De ce EDI e țintă și ce se exploatează cel mai des

• Portaluri B2B expuse: autentificare slabă, parole reciclate, lipsa MFA/FIDO2, sesiuni persistente.
• AS2/SFTP „uitate”: certificate expirate, semnături/hash depășite (ex. SHA1), chei ne-rotite, MDN nesemnat.
• Gateway-uri EDI neactualizate: vulnerabilități cunoscute în servere de transfer fișiere sau în middleware (on-prem) fără patching.
• Lanț de email: spear-phishing pe fluxuri AP/AR (ex. „actualizare IBAN furnizor” sau „corecție e-Factura”), ducând la malware și exfiltrare de credențiale.
• Integrare API spre e-Factura: token-uri/chei stocate nesecurizat în pipeline-uri de integrare sau în scripturi legacy.

NIS2, e-Factura și presiunea de conformitate în 2026

Directiva NIS2, aflată în curs de transpunere și operaționalizare la nivel național, extinde cerințele de management al riscurilor cibernetice și raportare de incidente pentru entitățile din lanțurile critice. Distribuția de alimente și componente majore ale comerțului modern intră în sfera „entităților importante”, iar retailerii mari vor trebui să demonstreze controale robuste pe terți, segmentare, jurnalizare, răspuns la incidente și reziliență operațională. În plus, maturizarea proiectelor e-Factura și e-Transport aduce controale fiscale digitale care cer alinieri continue între IT, financiar și furnizori – orice întrerupere EDI poate deveni și o problemă de conformitate.

Ce funcționează: bune practici observate în piață

• Hardening pentru canale EDI: AS2 cu semnătură și criptare end-to-end, MDN semnat, rotația cheilor la 6–12 luni, eliminarea TLS vechi (1.0/1.1), politici stricte de cifrare (TLS 1.2+/ECDHE).
• Zero trust la nivel de portal furnizor: MFA obligatoriu (ideal FIDO2), IP allowlist pentru parteneri critici, rate limiting, protecție bot și monitorizare anomalii de logare.
• Segregare strictă: infrastructură EDI în VLAN-uri dedicate, acces cu „just-in-time” și bastion hosts, backup-uri imutabile (WORM) și teste periodice de restaurare a fluxurilor EDI critice (PO, DESADV, INVOIC).
• Patch/upgrade pentru gateway-uri și MFT: cicluri „safe by default” cu ferestre de mentenanță, inventar clar al componentelor on-prem vs. SaaS, și abonare la buletinele de securitate ale vendorilor (IBM Sterling, OpenText, Cleo, etc.).
• Validation la frontieră: reguli pentru respingerea EDI neconform (schema/semnătură), sandbox pentru fișiere suspecte, verificare reputație IP/ASN, și „quarantine lane” pentru conținut atipic.
• „Human firewall” pentru AP/AR: instruire trimestrială anti-phishing cu simulări pe tema e-Factura, proceduri clare pentru schimbări de IBAN/condiții comerciale și dublă verificare out-of-band.
• Observabilitate și răspuns: integrarea log-urilor EDI în SIEM, playbook-uri SOAR pentru blocare rapidă de conexiuni suspecte, și planuri de continuitate EDI testate cu furnizori-cheie.
• Due diligence pe terți: evaluări de securitate pentru integratori EDI, SLA-uri cu RTO/RPO specifice fluxurilor critice, audituri periodice și drept de penetrare controlată.

Decizii de board în următoarele 90 de zile

• Mandatați MFA/FIDO2 pe toate portalurile de furnizori și accesul la gateway-urile EDI. Eliminați conturile partajate; treceți la identități de serviciu cu rotație automată a secretelor.
• Faceți un „red team” pe scenariu EDI: compromitere email + pivot spre MFT/gateway. Măsurați timpul până la detecție/izolare și recuperare.
• Cartografiați dependențele critice: ce se întâmplă dacă AS2 cu un furnizor strategic cade 48 de ore? Stabiliți fallback-uri (ex. SFTP alternativ, VAN secundar, schimb controlat prin portal cu semnături digitale).
• Aliniați NIS2: definiți proprietarul de risc pentru EDI, proceduri de raportare în 24/72h, testele de continuitate minim semestriale și KPIs de reziliență (procent mesaje EDI procesate în ferestre de criză).
• Bugetați segmentarea și back-up-urile imutabile: fără izolare și copii curate, negocierile cu orice grupare ransomware pornesc cu un handicap major.

Rolul partenerilor: dincolo de „conectivitate”

Furnizorii de EDI și integratorii nu mai pot fi evaluați doar pe timp de onboarding sau preț per mesaj. Board-urile cer vizibilitate în timp real (monitorizare 24/7), suport în incidente, rapoarte de conformitate (ISO 27001, SOC 2), actualizări prompte la protocol și, acolo unde este cazul, canale AS4/Peppol pentru B2G transfrontalier. Retailerii locali au început să solicite explicit dovezi de reziliență (DR testat, centre de date redundante, RTO/RPO cuantificate) și integrare directă cu sistemele lor de detecție (SIEM/SOAR).

Mesajul ultimelor 12 luni este simplu: EDI nu este „doar un schimb de fișiere”. Este o infrastructură operațională critică ce necesită același nivel de guvernanță și securitate ca plățile sau sistemele POS.

Concluzie

Retailul românesc a intrat într-o nouă etapă a maturității digitale, în care avantajul competitiv se construiește pe lanțuri de aprovizionare automatizate și raportare fiscală în timp real. Dar aceeași viteză expune și vulnerabilități. Lecția ultimului an, în care ransomware-ul și fraudele pe tema e-Factura au testat limitele multor organizații, este că reziliența EDI se proiectează la nivel de board: cu investiții în arhitecturi zero trust, controale criptografice corecte, antrenarea oamenilor și parteneriate solide cu furnizorii tehnologici. Pentru CEO, CFO, directori de achiziții, operațiuni și logistică, nu mai este o discuție „tehnică”, ci una despre continuitatea afacerii, reputație și încrederea furnizorilor.