Cum poate România să evite noi atacuri cibernetice asupra instituțiilor statului. Sfaturile unui campion mondial la hacking

Dragoș Ionică, în 2023 și 2024 campion mondial al competiției Bio Hacking Village din cadrul conferinței de cybersecurity DEF CON, a trecut în 2026 de partea creatorilor de challenge-uri. Vrea să aducă spiritul DEF CON și în România și astfel să-i provoace pe „hackerii buni” să rezolve vulnerabilități.

Românul Dragoș Ionică s-a aflat, la DEFCON 34, printre organizatori FOTO: arhiva Dragoș Ionică

După trei ediții în care a rezolvat provocări din ce în ce mai complexe, câștigând în 2023 și 2024 competiția Biohacking Village și obținând titlul de vicecampion în 2025, Dragoș Ionică, Senior Manager în cadrul Deloitte Romania, a făcut parte la ediția din acest an din echipa care a creat provocările pentru hackerii împătimiți.

„Anul acesta, DEF CON a avut pentru mine o semnificație aparte. După mai mulți ani în care am participat la competițiile CTF ca jucător, ediția DEF CON 34 mi-a oferit ocazia să văd totul dintr-o perspectivă complet diferită: ca membru al echipei Biohacking Village și creator de challenge-uri pentru CTF. Cele trei zile au fost intense și au concentrat exact esența DEF CON: hacking, competiție, cercetare, schimb de idei și, mai presus de toate, o comunitate extrem de activă și pasionată”, a dezvăluit românul.

DEF CON - care este o reuniune uriașă a comunității hackerilor din întreaga lume, cu zeci de mii de participanți - s-a desfășurat după tiparul bine-cunoscut: în prima zi au loc interacțiuni între participanți și se dă startul competiției, după care întrecerea devine acerbă pentru a prinde ceva de hack-uit și ulterior pentru a identifica și ataca vulnerabilitățile.

Românul s-a ocupat de provocările lansate în Bio Hacking Village, un domeniu care atrage la fiecare ediție oameni interesați de cybersecurity, medical device security (ramura securității cibernetice care protejează echipamentele medicale) și hands-on hacking (testarea vulnerabilităților sistemelor).

„Pentru mine, unul dintre cele mai interesante momente a fost să văd cum challenge-urile la care lucrasem începeau să fie analizate și atacate de concurenți. Experiența este complet diferită față de cea de participant. În loc să cauți vulnerabilități sau flag-uri, urmărești cum ceilalți interpretează scenariul, unde se blochează, ce abordări creative încearcă și dacă designul reușește să transmită corect ideea tehnică din spate”, a descris Dragoș Ionică ce a simțit de cealaltă parte a baricadei.

Cea mai puternică competiție a hackerilor din lume se organizează de 34 de aniFOTO: arhiva D. Ionică

A profitat de invitația de a se alătura organizatorilor pentru a participa și la prezentări tehnice, inclusiv sesiuni despre payload weaponization (un proces prin care un atacator combină un cod malițios cu un fișier aparent inofensiv sau un instrument de livrare pentru a crea o „armă” cibernetică gata de atac). A discutat cu cercetători și profesioniști din comunitate și a testat câteva dintre dispozitivele medicale din village. „Chiar și din postura de organizator, la DEF CON este imposibil să nu fii atras de ideea de a explora un device sau o aplicație”, a arătat Ionică.

Momentul care i-a adus cea mai mare satisfacție a fost în ultima zi a competiției, atunci când a urcat pe scena DEF CON „nu ca participant care își vede rezultatul competiției, ci ca parte din echipa care a construit experiența pentru ceilalți concurenți”.

„A fost un moment care a închis frumos cercul ultimilor ani: de la rezolvarea challenge-urilor și lupta pentru clasament, la contribuția directă la crearea lor și la experiența unei comunități globale de cybersecurity. Pentru mine, acesta este unul dintre cele mai valoroase aspecte ale DEF CON: tranziția naturală de la participant la contributor și, mai departe, posibilitatea de a întoarce către comunitate ceea ce ai învățat”, a mai spus expertul în cybesecurity.

Cum i-a provocat campionul diin anii trecuți pe concurenți

Dragoș Ionică a descris două dintre temele la care a contribuit covârșitor pentru a le face competitorilor cât mai greu parcusul.

„Am contribuit la dezvoltarea și hardening-ul challenge-ului MedDx Station, un scenariu de securitate AI bazat pe un kiosk medical care utilizează un LLM local pentru procesarea și trierea datelor clinice. Totodată, challenge-ultrat pe creșterea controlată a nivelului de dificultate, eliminarea unor căi de compromitere completă a mediului și introducerea unor mecanisme care să oblige participanții să exploateze comportamentul AI și logica aplicației în maniera intenționată. Challenge-ul a fost consolidat pentru a limita accesul neautorizat la componentele interne și pentru a preveni extragerea sau transferul neautorizat al proprietății intelectuale asociate implementării”, a explicat expertul.

Dragoș Ionică a creat challenge-uri pentru competitori în acest an FOTo: arhiva Dragoș Ionică

O altă provocare lansată concurenților veniți din toată lumea, care a avut și amprenta românului, a fost rafinarea unui challenge bazat pe DICOM (Digital Imaging and Communications in Medicine), acesta fiind un standard esențial utilizat pentru stocarea, procesarea și transferul imaginilor medicale în infrastructurile PACS și în sistemele de imagistică din clinici și spitale. „Challenge-ul reproduce un scenariu realist în care mecanismele de procesare DICOM pot fi abuzate pentru compromiterea unei stații sau a infrastructurii de imagistică medicală. Contribuția mea s-a concentrat pe creșterea realismului tehnic și a nivelului de dificultate, inclusiv prin utilizarea conceptului de fișiere DICOM de tip polyglot și a unor fluxuri de procesare vulnerabile, astfel încât participanții să înțeleagă modul în care un format medical legitim poate deveni un vector de atac. Scenariul evidențiază totodată riscurile asociate compromiterii serverelor de imagistică și impactul pe care un astfel de atac îl poate avea asupra infrastructurii clinice și a continuității serviciilor medicale”, a detaliat românul.

Echipa DEF CON i-a lansat românului invitația încă de la începutul anului. Dragoș Ionică a reușit să complice major scenarii deja pregătite pentru Biohacking Village și să creeze integral o altă provocare, deși tot el a fost și cel care le-a întins o mână celor care au dovedit că au înțeles ideea din spatele provocării, o echipă din Singapore.

Scenarii realiste

Scenariile din Biohacking Village au fost deosebit de realiste. „Am încercat să replicăm fix infrastructura dintr-un spital, adică o pompă de insulină care se găsește într-un spital, o rețea corporate, o stație de asistente în care se găsesc niște analize medicale, un server de imagistică, totul cât mai apropiat de realitate. Concurenții intrau din afară, pentru că era o rețea de wi-fi la care trebuia să spargă parola. Trebuia să intre prin wi-fi în rețeaua internă a spitalului și de acolo să compromită puțin câte puțin. Erau: o aplicație, un server de imagistică, un pager, carduri de acces într-o locație sensibilă, în care existau niște date foarte greu de recuperat…”, a detaliat Dragoș Ionică ce presupunea scenariul.

Cei care reușeau să compromită rețeaua aveau de adus inclusiv probe că au reușit, iar una dintre modalitățile de a dovedi era să replice cardul folosit de un pacient pentru a achita anumite servicii și să facă o plată, într-un alt village, cu respectivul card. „Noi am reușit să cuplăm datele noastre din Bio Hacking cu alte village-uri. Am făcut un parteneriat cu Payment Village, în care noi , din Bio Hacking, făceam un card clonat cu datele pe care cineva le găsea în baza de date. Totul era o simulare. După, verificai la bancomat anumite detalii, printai chitanța, puteai să retragi bani de pe card”, a detaliat expertul în cybersecurity cât de departe putea merge testarea.

La DEFCON particpă zeci de mii de oameni pasionați de programare FOTo: arhiva D.Ionică

Din challenge-urile pregătite au rămas și nerezolvate. Nu a putut sparge, de exemplu, nimeni programul pompei de insulină. „Challenge-ul era rezolvabil într-un final, se putea corupe complet, dar nu l-a făcut nimeni. Și-au dat seama că e mult prea greu și s-ar pierde foarte mult timp”, a explicat Ionică ce-i face pe hackeri uneori să abandoneze anumite provocări și să caute altceva pentru a aduna puncte, pentru că timpul în competiție este limitat.

Câștigătorii nu primesc recompense materiale, însă satisfacția de a rezolva astfel de provocări face cu siguranță cursa extrem de atractivă.

„Încercăm să aducem asta și în România”

Unul dintre obiectivele lui Dragoș Ionică este să atragă și din România cât mai mulți competitori pentru testarea echipamentelor și soluțiilor medicale. Un prim pas are de gând să-l fac în această toamnă. „Încercăm și pentru România. Încerc în noiembrie, există o conferință, se numește Def Camp, și organizatorul m-a contactat să încercăm să facem ceva să aducem o doză de realism și la noi”, a dezvăluit Ionică, pentru „Adevărul”.

Un alt obiectiv este să aducă în România un speacker din SUA, în cadrul conferinței DNSC, care să atragă atenția asupra aceleiași teme, pentru că, spune Ionică, în România, din păcate, încă nu sunt conștientizate anumite riscuri.

După cinci participări consecutive la DEF CON (în primul an nu a concurat, în următorii trei s-a clasat pe primul loc în 2023 și 2024 și pe locul 2 în 2025), Dragoș Ionică își dorește să fie promotorul acestei idei în România.

„Ce îmi doresc eu este să ajungem la un nivel în care oamenii ar veni să testeze absolut voluntar. Să vadă ca o oportunitate de a face acest lucru și în țară, nu în afară”, spune expertul în cibersecurity. Este genul de eveniment care nu generează niciun fel de cost pentru producătorii de echipamente medicale, explică Ionică, în schimb beneficiile acestora pot fi foarte mari.

Pe de altă parte, interesul redus al românilor pentru DEF CON, deși avem minți sclipitoare, se poate explica, în parte, prin faptul că evenimentul se întâmplă doar o dată pe an. Dacă același concept va fi pus în practică și acasă lucrurile s-ar putea schimba.

Tineri care promit sunt numeroși în România, însă ar trebui să urmărim și ceea ce se întâmplă cu ideilor lor după ce câștigă o competiție, atrage atenția Dragoș Ionică.

„Trebuie legate de realitate. Ok, ai construit un robot. Ce faci cu robotul acela? Cum îl integrezi în lumea reală? Despre asta vorbim, despre cum folosim oamenii, cum ajungem să nu mai avem un ANCPI 2. Dacă ne apucăm și testăm niște măsuri de securitate din timp, nu mai ajungem să ne testeze alte popoare răufăcătoare și să ne ia datele. (…) E un exercițiu pe care trebuie să-l facem cu toții, din mai multe zone. Pentru tot ce înseamnă infrastructură critică ar trebui să existe niște programe astfel încât să se promoveze faptul că există oameni care ar face lucrurile de bunăvoie, hackeri buni, bine intenționați, oameni care poate ar lucra doar pentru un tricou, pentru o cană, fără să strice, fără să pună ceva pe jos. (…) Un program pe termen lung, cu reguli clare, astfel încât oamenii serioși să îl poată accesa și să facă un bine.”, a conchis Dragoș Ionică.