„Hackerii” români vicecampioni mondiali. Au testat echipamente medicale de top, pentru al treilea an la rând, la Def Con

Doi români, împătimiți ai securității cibernetice, au concurat cu succes la cea mai mare și mai veche conferință de hacking din lume, Def Con 33 Las Vegas, care a avut loc între 7-10 august 2025. Au devenit vicecampioni mondiali, după ce doi ani la rând au câștigat competiția BioHacking Village CTF.

Vicecampionii sunt Dragoș Ionică - Cyber Attack Senior Manager la Deloitte Romania și Adrian Dincă - Principal Pentest Analyst la Sophos, ambii cu peste 10 ani de experiență în domeniu. Provocarea pe care cei doi au ales-o și anul acesta (după ce au câștigat competiția în 2024 și 2023) a fost BioHacking Village CTF, o secțiune dedicată în totalitate securității dispozitivelor medicale. La această competiție pentru testarea aparaturii din domeniul medical au participat peste 50 de echipe.

Mai buni decât românii au fost membrii unei echipei americane, formată din cinci jucători experimentați. Chiar și în aceste condiții românii au reușit să atingă un punctaj foarte apropiat de cel al campionilor, în condițiile în care la această ediție nu au mai putut aduna punctaj suplimentar pentru vulnerabilitățile descoperite, organizatorii schimbând regulile din anii trecuți.

Ce au avut de făcut Dragoș și Adrian a fost să rezolve provocări de aplicații web, reverse engineering și hardware hacking, lucrând sub presiunea timpului. Au reușit să finalizeze cu succes exerciții complexe precum analiza comunicațiilor pe interfețe (CANBUS, UART, NFC) sau decriptarea unor baze de date infectate cu ransomware.

Încântați de reușita românilor, organizatorii i-au invitat să se alăture echipei de organizare și să creeze challenge-uri pentru edițiile viitoare.

În afara competiției, Dragoș Ionică și Adrian Dincă au vizitat standurile marilor vendori din domeniul medical, prezenți cu aparatură pe care au suspus-o testelor, reușind să identifice rapid scenarii de kiosk bypass în echipamente complexe de tip Computer Tomograf.

Ce se întâmplă la Def Con

Competiția din Las Vegas, care are o tradiție de peste 30 de ani, reunește anual zeci de mii de pasionați de cyber-security, cercetători și hackeri din întreaga lume. Aici au loc discuții, ateliere practice, și, bineînțeles, concursuri precum „Capture the Flag”, unde echipele concurează pentru a rezolva provocări de securitate.

Explorarea domeniilor specifice are loc în „villages” (sate), la această ediție fiind nenumărate astfel de posibilități, precum Biohacking Village (secțiunea care i-a atras cel mai tare pe români). Pasionații au de asemenea ocazia să își împărtășească ideile și cunoștințele, DEF CON devenind, de la un eveniment informal pentru hackeri, o conferință unică pentru profesioniștii din domeniul securității cibernetice pe care nu-ți poți permite să o ratezi.

La Biohacking Village, provocarea aleasă de români, experiența trăită este la intersecția dintre securitate cibernetică, asistență medicală și tehnologie medicală. Aici înveți despre securitatea dispozitivelor medicale, despre reziliența infrastructurii critice, despre colaborare și dezvoltare sistemică, hacking etic și dezvăluirea vulnerabilităților, informații despre politici și reglementări etc..

Scenarii care unesc „satele” și complică jocul

Am stat de vorbă cu Dragoș Ionică despre experiența de anul acesta de la Def Con 33 Las Vegas și am aflat de ce este important să fii acolo, cum sunt văzuți românii, care este câștigul unor astfel de competiții și ce s-ar putea face mai mult și la noi în țară, dacă specialiștii ar fi „exploatați”.

În acest an organizatorii au decis să separe hack-uirea echipamentelor medicale de partea de rezolvare a provocărilor. „Anul trecut câștigam și puncte. Ca și probleme, erau considerate și puncte bonus pentru competiție. De fapt, acolo a fost avantajul nostru major (n. red. – în 2024). Că din două, trei vulnerabilități, noi câștigăm puncte pentru competiție și de aici diferența destul de detașată. Anul acesta a fost mult mai strâns și am înțeles logica. Adică, da, sunt oameni care vin direct focusați doar pe competiție și nu au timp să stea și să butoneze și echipamentele medicale”, a explicat Dragoș Ionică din ce motiv s-au situat pe locul 2, în condițiile în care au fost interesați în special de testarea echipamentelor.

„Ca și nivel de complexitate, a fost cam cel mai dificil an ca și challenge-uri. Cred că acesta a fost handicapul, că noi am fost doar doi. E greu să rezolvi același volum de probleme, în același timp sau poate chiar mai repede față de o echipă de cinci”, a explicat Ionică.

Pe de altă parte, echipa de pe locul 1 a fost una redutabilă, care a încercat, ca și românii, și alte provocări, în alte „sate” propuse de organizatori.

Unul dintre „sate” avea provocări din domeniul maritim, organizatorii punând la dispoziție o ambarcațiune care funcționa autonom (fără echipaj). „O parte foarte bună a fost că cele două village-uri au fost cumva conectate. Adică a existat un challenge comun. Un fel de povestioară în care, pe un catamaran chipurile cineva ascunse un plic de droguri. Și trebuia să găsești plicul pe barcă și să iei acel plic, să-l extragi, să te duci să iei o probă cu un echipament medical și să confirmi dacă este un drog sau nu. Și de fapt era creatină, substanța pe care o iau sportivii la sală. Așa se promovează, practic, între ele, village-urile”, a explicat Dragoș Ionică.

Câștigul participanților este de ambele părți. Pasionații de securitate cibernetică testează aparatură din ce în ce mai performantă, iar cei care le pun la dispoziție au șansa să-i descopere, gratuit, vulnerabilitățile, pentru că satisfacția că ai reușit să faci asta este cea mai mare răsplată, a dezvăluit Dragoș Ionică, deoarece competiția nu aduce recompense materiale imediate. Este însă locul în care îți creezi un nume, obții invitații la evenimente ulterioare etc..

„Vendorii chiar s-au prins de ideea că pot testa ultimele lor echipamente scoase din fabrică atât cu inginerii lor de acasă, să zicem, dar și cu experți din domeniu. Și apetitul acesta a fost din ce în ce mai mare. Oamenii vin, testează și adună feedback, colectează feedback foarte repede. Pentru că noi, de exemplu, am găsit niște probleme pe niște echipamente pe care le regăsim și la noi. Am semnalat, dar n-am mai încercăm după aceea să le exploatăm, pentru că trebuia să ne acomodăm și cu partea de competiție. Doar că le-am raportat vendorilor ce am identificat și faptul că de acolo se pot exploata mult mai multe lucruri. Au apreciat super mult și au zis - da, vă luăm în calcul să vă trimitem invitații și la anul”, a detaliat Ionică ce se întâmplă în cadrul evenimentului.

Premiile pentru câștigători sunt simbolice, iar deplasările la un astfel de eveniment se fac pe cheltuiala companiei. În timp, grație succesului înregistrat, compania pe care Dragoș Ionică o reprezintă a devenit astfel importantă într-un domeniu pentru care nu era neapărat cunoscută, având de fapt renume în audit și optimizare fiscală.

La Def Con 33, comparativ cu experiențele trecute, au venit, a mai dezvăluit Dragoș Ionică, din ce în ce mai mulți profesioniști și din ce în ce mai puțini amatori. „Dacă în anii trecuți era un eveniment cu aproximativ 40-50 de mii de oameni, mulți din ei erau doar curioși. Anul acesta au venit 20 de mii, dintre care 17 mii buni”, a mai dezvăluit vicecampionul. Românii au avut ocazia să testeze inclusiv aparatură medicală care încă nu a fost pusă în producție, ceea ce înseamnă acces la ultima tehnologie în domeniul bio-medical. Fiecare amănunt depistat și semnalat era în câteva ore reparat, iar a doua zi erau chemați să verifice.

„Ce a mai fost nou anul acesta, cel puțin ca și competiție, a fost că au introdus o componentă de hardware hacking. Adică ne-au dat un ansamblu de plăci. A fost prima oară când a trebuit să facem așa ceva. Eu nu eram absolut deloc specialist în zona acesta, ci mai degrabă orientat în zona de software. Și l-am lăsat pe colegul meu care zece ore nu s-a ridicat de pe scaun. Și a reușit”, a mai adăugat Ionică.

În timpul competiției esențială este și organizarea coechipierilor pentru a reuși să rezolve cât mai multe provocări și la final să se numere printre câștigători. Concentrarea pe competiție „mănâncă” în schimb din timpul pe care alți participanți îl folosesc pentru a explora mai în detaliu fiecare village (și au fost 12, din domenii variate, precum Biohacking Village, Carrhacking Village, Payment Village, Red Team/Blue Team etc.).

Ce i-a mai impresionat pe români, de fiecare dată, este deschiderea pe care au găsit-o. „Oamenii chiar sunt foarte deschiși. Diferență foarte mare între reticența românească - stai, că n-ai voie, trebuie să semnăm șapte contracte, zece NDA-uri (n. red. – acord de confidențialitate), nu știu ce -, acolo nu semnai nimic. Semnai doar că nu faci poze și că dacă găsești o vulnerabilitate nu înregistrezi cu telefonul să arăți cum ai făcut”, a mai precizat Dragoș Ionică.

O oarecare amărăciune a românilor care și-au dovedit priceperea este că, deși ar face pro bono teste și în țară, nu au primit până acum o astfel de propunere, din contră, au sesizat reticență. „Dacă industria medicală din România ne-ar pune la dispoziție, eu aș face și un demo gratis, doar să arătăm că se poate”, a mai spus Ionică.