Ghiduri · Securitate informatică în instituții · publicat 07.10.2026
Falsa verificare Cloudflare: cum vă verificați site-ul instituției
Peste 100 de site-uri compromise afișează un fals „test anti-robot” care îi convinge pe vizitatori să ruleze singuri o comandă. Am verificat pe 7 octombrie 2026 site-urile a 233 de primării din 11 județe. Cum vă verificați și dumneavoastră site-ul, în câteva minute.
Pe 7 octombrie 2026, publicația Cyber Security News a descris o campanie în care atacatorii au compromis peste 100 de site-uri și au introdus în paginile lor un cod care afișează o falsă verificare Cloudflare, adică un fals „test anti-robot”. Vizitatorului i se cere să „dovedească” că este om rulând o comandă pe calculator. Comanda descarcă un program periculos, numit în articol LUNEXSTEALER.
Cum funcționează atacul
- Atacatorii pătrund într-un site, de obicei prin componente neactualizate, și adaugă în pagini un cod JavaScript.
- Codul își ia instrucțiunile din contracte aflate pe rețele blockchain (Polygon sau Ethereum), așa că le poate schimba oricând fără să mai atingă site-ul.
- Pagina falsă apare doar vizitatorilor care folosesc Windows și vin din motoare de căutare precum Google, și de cel mult două ori în 12 ore. Așa scapă de cei care verifică site-ul.
- Vizitatorul este rugat să copieze și să ruleze o comandă. Este exact capcana ClickFix pe care am explicat-o în articolul despre „Ursul păcălit de vulpe”.
Ce am măsurat noi, pe 7 octombrie 2026
În ziua apariției articolului am verificat site-urile a 233 de primării din cele 11 județe în care lucrăm: Hunedoara, Vâlcea, Cluj, Timiș, Alba, Sibiu, Dolj, Arad, Caraș-Severin, Gorj și Bihor. Am citit doar pagina principală și fișierele de cod ale site-ului legate din ea, o singură dată, ca un vizitator obișnuit, căutând semnele descrise în articol: adresele atacatorilor, apelurile către rețele blockchain și pagina de distribuție a programului periculos.
- 220 de site-uri nu au arătat niciunul dintre aceste semne la citirea noastră.
- 13 nu au putut fi verificate: au refuzat cererea sau nu au răspuns. Nu le socotim sigure, ci neverificate.
- Niciun site nu a arătat semnele acestei campanii.
- 152 din cele 220 de site-uri citite folosesc WordPress, platforma pe care o vizează cel mai des astfel de atacuri.
Rezultatul descrie un singur moment și o singură pagină. Nu înseamnă că site-urile sunt sigure: înseamnă că atunci nu am văzut semnele. Nu numim nicio instituție.
Cum vă verificați site-ul în câteva minute
- Căutați instituția pe Google, pe un calculator cu Windows, într-o fereastră privată, și intrați pe site din rezultatele căutării. Dacă apare un „test anti-robot” care vă cere să apăsați tastele Windows și R sau să lipiți ceva, site-ul este compromis. Dacă nu apare, nu este o dovadă: capcana se arată rar.
- Deschideți codul paginii (tastele Ctrl și U) și căutați liniile
<script src=. Fiecare ar trebui să ducă la site-ul dumneavoastră sau la un serviciu pe care îl recunoașteți. O adresă necunoscută este un motiv de întrebare către cel care vă administrează site-ul. - Dacă site-ul este pe WordPress, cereți-i administratorului, în scris, data ultimei actualizări a platformei, a temei și a fiecărui modul, lista conturilor de administrator și data ultimei copii de siguranță.
- Întrebați cine primește alertele când site-ul se schimbă fără să știți. Dacă răspunsul este „nimeni”, aflați despre o problemă de la cetățeni.
Dacă găsiți ceva
- Scoateți site-ul temporar din funcțiune sau puneți o pagină de mentenanță, ca să nu mai infecteze vizitatori.
- Anunțați-l pe cel care administrează site-ul și găzduirea, și schimbați toate parolele de administrare.
- Raportați la DNSC, la numărul 1911, disponibil 24 de ore din 24, sau pe platforma PNRISC.
- Restaurați site-ul dintr-o copie de siguranță de dinainte de atac, apoi actualizați tot.
Dacă vreți să vă verificăm noi site-ul, scrieți-ne și vă trimitem rezultatul, cu ce am citit și ce nu am putut citi. Este muncă de câteva minute și nu cerem nimic în schimb. Alertele DNSC și vulnerabilitățile exploatate activ le vedeți pe pagina de alerte în timp real.
Surse: Cyber Security News, 7 octombrie 2026, despre campania LUNEXSTEALER; măsurătoarea Devaland din 7 octombrie 2026, pe pagina principală a fiecărui site. DNSC, platforma PNRISC. Consultate la 7.10.2026. Dacă găsiți o diferență față de sursă, scrieți-ne și o corectăm.
Cereți verificarea gratuită Vedeți prețurile
Nu sunteți încă hotărât?
Abonați-vă gratuit la „AI la birou”: cel mult două e-mailuri pe lună, fiecare cu o sarcină reală pe care un sistem AI o poate prelua, unde se oprește și o alertă scurtă de securitate. Vă înscrieți doar dacă bifați acordul și confirmați din e-mailul pe care vi-l trimitem.
Datele: păstrăm adresa, data și ora cererii și a confirmării, ca dovadă a acordului, până vă dezabonați. Detalii în politica de prelucrare a datelor.