Më 28 shtator 2026, grupi i hakerave iranianë “Homeland Justice” publikoi rreth 720 numra telefoni që, sipas tij, u përkasin punonjësve të Shërbimit Informativ Shtetëror. Bashkë me to doli edhe një kontratë Vodafone ku SHISH figuron si palë, si dhe një faturë e vitit 2022. Deri sot asnjë institucion nuk ka thënë se numrat janë të rremë.

Ky nuk është një incident i veçuar. Është hallka e fundit e një zinxhiri që nis në vitin 2021. Që atëherë, të dhënat personale të pothuajse çdo shqiptari kanë dalë jashtë sistemeve shtetërore: nga patronazhistët te pagat, targat, kartat e identitetit, emailet e kryeministrit, posta e drejtorit të SHISH dhe kutitë postare të deputetëve.

Ndërkohë qeveria ka përsëritur me radhë të njëjtën fjali: “asgjë sensitive nuk u prek”. Ky shkrim rindërton kronologjinë, deklaratat zyrtare dhe faktet që i rrëzuan, mbështetur në raportet e Microsoft, FBI-së dhe CISA-s, në dokumente gjyqësore amerikane, në hetimet e SPAK dhe në raportimet e BIRN e mediave shqiptare.

2021: kur rrjedhja vinte nga brenda

Më 11 prill 2021, dy javë para zgjedhjeve, Lapsi.al publikoi një databazë me 910 061 votues të qarkut Tiranë. Për secilin kishte numër ID, telefon, adresë, vend pune dhe emrin e “patronazhistit” të PS që mbante shënim preferencën e tij politike. Kryeministri e pranoi praktikën: “Prej vitesh kemi një sistem patronazhimi.”

Komisioneri për të Dhënat gjeti dy baza të dhënash në serverin e selisë së PS. SPAK, nga ana tjetër, u përpoq tri herë të sekuestronte pajisjet e gazetarëve që e zbuluan dhe u rrëzua deri në Gjykatën e Lartë. Burimi shtetëror i të dhënave nuk u identifikua kurrë publikisht.

Në dhjetor të të njëjtit vit, në WhatsApp qarkulluan pagat e mbi 630 mijë shqiptarëve, me numër personal, NIPT të punëdhënësit dhe pagë bruto. Pas tyre doli lista e targave të 530 452 qytetarëve dhe 61 513 bizneseve. Ministria e Financave deklaroi se “nuk ka ndodhur asnjë eksport dixhital i databazës së pagave”. Disa ditë më vonë, drejtori i Sistemit Informatik të Tatimeve dha dorëheqjen dhe prokuroria e trajtoi rastin si rrjedhje nga brenda administratës.

Më 23 dhjetor, Rama tha se “databazën e patronazhistëve e mora me të qeshur” dhe premtoi të “forcojë muret mbrojtëse”. Asnjë drejtues i AKSHI-t, i Tatimeve apo i ministrisë nuk dha llogari për mungësinë e kontrollit të aksesit.

Dera që mbeti hapur për dy vjet

Kur Rama premtoi “muret mbrojtëse”, muri ishte tashmë i çarë. Sipas hetimit të Microsoft, hakerat e lidhur me ministrinë iraniane të inteligjencës kishin hyrë në rrjetin qeveritar që në maj 2021. Ata përdorën një server SharePoint të faqes administrata.al, me një dobësi (CVE-2019-0604) për të cilën Microsoft kishte publikuar riparimin që në shkurt 2019.

Më pas e forcuan aksesin me një llogari shërbimi të konfiguruar keq, me të drejta administratori. Nga tetori 2021 deri në janar 2022 nxorën emaile nga rrjeti. Për 14 muaj askush në shtet nuk i vërejti.

Shteti e mori vesh më 15 korrik 2022, kur ransomware-i ROADSWEEP dhe një fshirës i familjes ZeroCleare fikën e-Albania-n dhe shërbimet online. Sulmi u lidh me samitin e opozitës iraniane MEK në Manëz. Më 7 shtator, Shqipëria ndërpreu marrëdhëniet diplomatike me Iranin, rasti i parë i njohur në botë për një sulm kibernetik.

Në janar 2023, eksperti IT Gentjan Progni kallëzoi drejtuesit e AKSHI-t për shpërdorim detyre dhe keqmenaxhim të të dhënave. Ai argumentoi se serverat nuk ishin të ndarë sipas standardit ISO 27001. Kallëzimi nuk pati rezultat publik, ndërsa hetimi për autorët u pezullua në pritje të letërporosive.

Çfarë u publikua

Pas sulmit, Homeland Justice nisi të publikonte në Telegram dokumentet e vjedhura. Shpesh i pyeste ndjekësit me sondazh se çfarë të nxirrte më pas. Lista më poshtë përmbledh publikimet kryesore të dokumentuara nga media.

Goditja më e rëndë mbeti e fshehur deri në pranverën e 2026-s. Sipas dokumenteve gjyqësore në Maryland, të raportuara nga BIRN, më 4 mars 2025 Homeland Justice i shiti një agjenti të infiltruar të FBI-së, me bitcoin, të dhëna nga e-Albania dhe nga regjistri i kartave të identitetit. Ato përfshinin numër personal, emër, datëlindje dhe adresë. Asnjë qytetar shqiptar nuk është njoftuar individualisht.

Çfarë thanë, çfarë doli

Asnjë nga këto publikime nuk erdhi pa një mohim paraprak. Tabela vendos deklaratat e kryeministrit, ministrave dhe institucioneve përballë faktit që i rrëzoi.

Në fund të tetorit 2022, në Ersekë, vetë Rama e pranoi: “Erdhën na u futën hakerat në sistemet tona, sepse kishim sisteme ku mund të futeshin […] na morën disa të dhëna.”

I njëjti model shihet edhe në postimet e tij. Më 20 korrik 2022 shkroi në X se lajmet për “shkatërrimin e të dhënave janë krejt të rreme”. Problemi nuk ishte shkatërrimi, por vjedhja, e cila kishte nisur në tetor 2021. Më 10 shtator premtoi t’i bënte sistemet “të papenetrueshme”.

Më 11 gusht 2026, në Facebook, Rama shpalli Shqipërinë “të parën në botë” në sigurinë kibernetike dhe shkroi se sulmet “kanë dështuar me sukses çdo ditë”. Indeksi NCSI mat ligjet dhe strukturat e dokumentuara, jo rezistencën ndaj sulmeve reale. Pesë muaj më parë ishin goditur Kuvendi dhe Posta, ndërsa gjashtë javë më vonë dolën numrat e SHISH.

Pajisjet që sheh gjithçka, pa ligj

Në prill 2025, Autoriteti Kombëtar për Sigurinë Kibernetike (AKSK) pranoi se te operatorët celularë dhe te ofruesit e internetit ishin instaluar shtatë pajisje Deep Packet Inspection (DPI). Pajisjet ishin huazuar falas nga autoriteti kibernetik i Izraelit, me një marrëveshje të shkurtit 2023, “për një vit”. Ato u përdorën për të bllokuar TikTok-un, të mbyllur me vendim qeverie nga 13 marsi 2025 deri më 4 shkurt 2026.

AKSK deklaroi se DPI “nuk arrin të aksesojë as të lexojë përmbajtjen e komunikimit”. Përmbajtja mund të jetë e enkriptuar, por metadatat nuk janë: kush lidhet, me cilin shërbim, kur dhe nga cila pajisje. Kjo mjafton për të profilizuar çdo përdorues.

Nuk ekziston asnjë ligj i posaçëm për këto pajisje. Komisioneri për të Dhënat konfirmoi se vlerësimi i ndikimit mbi privatësinë nuk është i detyrueshëm deri në janar 2027. Pas rihapjes së TikTok-ut nuk ka pasur asnjë njoftim publik nëse pajisjet janë hequr apo kthyer.

Në të njëjtën kohë po ngrihet projekti Smart City, me 2 239 kamera që njohin targat, 2 602 kamera trafiku dhe 3 816 kamera trupore për policinë. Kostoja u rrit nga 60 në 118,5 milionë dollarë dhe kontrata iu dha pa tender të hapur kompanisë Presight AI të Emirateve, për të cilnën ligjvënës amerikanë kanë ngritur shqetësime.

Diella: një chatbot me kostum

Më 11 shtator 2025, qeveria e prezantoi Diellën si “Ministre të Shtetit për Inteligjencën Artificiale” dhe premtoi se tenderat do të ishin “100% pa korrupsion”. Në fakt, Diella është asistenti i bisedës i e-Albania-s që nga janari 2025: një model gjuhësor i OpenAI mbi infrastrukturën Microsoft Azure, të cilit AKSHI i ka shkruar skriptet e sjelljes.

Diella nuk ka personalitet juridik. Nuk betohet, nuk nënshkruan, nuk mban përgjegjësi dhe nuk mund të shkarkohet. Nuk janë bërë publike të dhënat e trajnimit, algoritmet apo matjet e performancës.

Më 12 gusht 2026, Agjencia e Prokurimit Publik konfirmoi për BIRN se sistemi i prokurimit me AI “është ende në proces”. Pas 11 muajsh, “ministrja” nuk kishte vlerësuar asnjë tender. Ndërkohë aktorja Anila Bisha, fytyra dhe zëri i avatarit, padit qeverinë, sepse kontrata e saj mbulonte asistentin e e-Albania-s, jo një “ministre”.

Ironia është e dukshme. Diella u ndërtua nga AKSHI, agjencia drejtoresha e së cilës u vë në arrest shtëpie tre muaj më vonë për manipulim tenderash. Instituti i BE-së për Studime Sigurie (EUISS) paralajmëroi për rrezik legjitimiteti, për një objektiv të ri për sulme kibernetike dhe për varësi nga teknologjia e huaj.

Paratë: tendera, jo siguri

Më 16 dhjetor 2025, SPAK akuzoi tetë persona për manipulimin e të paktën 12 tenderave të AKSHI-t, kryesisht për mirëmbajtje serverash. Drejtoresha Mirlinda Karçanaj dhe zëvendësja e saj u vunë në arrest shtëpie. Biznesmenët Ergys Agasi dhe Ermal Beqiri u shpallën në kërkim. Akuzat përfshijnë edhe mbajtjen peng të një konkurrenti, që të tërhiqej nga ankimet.

Kompania Soft & Solution e Beqirit ka arkëtuar rreth 22 milionë euro nga thesari mes 2019-s dhe janarit 2026. Pagesat ndaj kompanive të lidhura vazhduan edhe pas operacionit të SPAK. Në prill 2026, SPAK sekuestroi rreth 52 prona dhe llogari bankare me vlerë rreth 40 milionë euro.

Në mars 2026, Rama e kishte quajtur AKSHI-n “histori suksesi” dhe tha se ish-drejtoresha “jeton me qira”. Deklaratat e pasurisë treguan katër apartamente dhe një ullishtë. Beqiri u arrestua në Francë në korrik, Agasi në Durrës më 26 gusht.

Më 22 shtator 2026, SPAK vendosi në arrest shtëpie drejtoreshën e SHISH, Vlora Hyseni. Ajo dyshohet se i kaloi informacion shtetëror Agasit gjatë arratisë dhe e ndihmoi t’i shmangej arrestimit. Rama e shkarkoi të njëjtën ditë, duke shprehur publikisht “respekt për punën dhe personin” e saj. Gjashtë ditë më vonë dolën numrat e personelit të SHISH.

Mesazhet që qarkullojnë në rrjet për “fikjen e radarëve” nuk gjenden në dosjen e SPAK, sipas verifikimit të Vox News. Të gjithë personat e përmendur në procedime të hapura prezumohen të pafajshëm deri në vendim të formës së prerë.

Fatura që paguajnë qytetarët

Dëmi nuk mbaron kur sistemet rikthehen në punë. Të dhënat që dalin në treg nuk zhduken më: numri personal, adresa dhe datëlindja nuk ndërrohen si një fjalëkalim. Ato riciklohen për vjedhje identiteti, mashtrime dhe shantazh.

Agjentët e SHISH rrezikojnë të identifikohen. Korrespondenca diplomatike me ambasadat dhe, sipas FBI-së, me SHBA-në është në duar të një shërbimi të huaj. Kuvendi është goditur dy herë. Ndërkohë, në vend të llogaridhënies, qytetarët marrin renditje ndërkombëtare dhe një avatar.

Pyetjet që kanë mbetur pa përgjigje janë të thjeshta:

1. Nga cili sistem shtetëror dolën telefonat dhe ID-të e 910 mijë votuesve?
2. Pse asnjë qytetar nuk është njoftuar se të dhënat e tij janë shitur?
3. Ku janë sot shtatë pajisjet DPI dhe çfarë metadatash ruajnë?
4. Sa ka kushtuar Diella dhe kush përgjigjet ligjërisht për të?

Shqipëria po negocion anëtarësimin në BE. Kapitujt për shoqërinë e informacionit, prokurimin publik dhe të drejtat themelore nuk mbyllen me renditje dhe avatarë. Ato kërkojnë një auditim të pavarur të AKSHI-t dhe AKSK-së, njoftimin e qytetarëve sipas standardit të GDPR-së, një bazë ligjore për çdo pajisje mbikëqyrjeje dhe përgjegjësi për ata që e lanë derën hapur.