O grupare de hackeri asociată Serviciului Federal de Securitate al Rusiei (FSB) a compromis serverul de e-mail al unei instituții guvernamentale din România și a vizat corespondența cu reprezentanți ai NATO și ai Uniunii Europene.
Atacul de spionaj cibernetic, atribuit grupării ruse APT Turla, a fost descoperit de specialiștii ESET și confirmat de SRI.
SRI susține că a identificat atacul în decembrie 2025, l-a contracarat și a remediat efectele, fără să constate extragerea unor date sensibile.
Potrivit unei analize publicate de compania de securitate cibernetică ESET și citate de Adevărul, atacatorii au folosit un instrument informatic sofisticat, denumit Cereal, conceput special pentru compromiterea serverelor Microsoft Exchange și monitorizarea discretă a mailurilor.
Componenta CerealBox era configurată să identifice și să colecteze selectiv mesaje trimise către sau primite de la adrese instituționale ale NATO și UE. Programul căuta inclusiv e-mailuri care aveau atașamente în formatele DOC, DOCX și PDF, precum și mesaje care îndeplineau anumite criterii legate de expeditor, destinatar sau subiect.
Mesajele selectate erau pregătite pentru a fi preluate ulterior de atacatori. Potrivit analizei tehnice, instrumentul putea funcționa direct în procesele legitime ale serverului Microsoft Exchange, ceea ce făcea dificilă detectarea activității sale de către administratorii sistemului.
Atacul a fost identificat în decembrie 2025
ESET a descoperit instrumentarul informatic Cereal mai întâi la o instituție guvernamentală din Kazahstan, în noiembrie 2025, iar ulterior a identificat aceeași infrastructură de spionaj la o organizație guvernamentală din România. Potrivit cercetătorilor, sistemul românesc era compromis cel târziu la 23 decembrie 2025.
Gruparea APT Turla, cunoscută și sub numele Snake, este asociată de experții în securitate cibernetică cu FSB, serviciul de securitate al Rusiei.
Este activă de cel puțin două decenii și este specializată în operațiuni de spionaj digital pe termen lung, având printre țintele obișnuite instituții guvernamentale, misiuni diplomatice și organizații din domeniul apărării.
Ce spune SRI despre atac
Serviciul Român de Informații a confirmat miercuri incidentul și a precizat că Centrul Național Cyberint a identificat atacul în decembrie 2025, a aplicat măsuri de contracarare și a remediat efectele acestuia.
„Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat”, a transmis SRI.
Instituția precizează că beneficiarii legali au fost informați, iar incidentul a făcut obiectul cooperării cu parteneri europeni din comunitatea de intelligence, precum și cu structuri de la nivelul Uniunii Europene și NATO.
SRI mai anunță că are în derulare investigații complexe care vizează și alte secvențe asociate campaniilor cibernetice desfășurate de Federația Rusă.
„SRI/Centrul Național Cyberint va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național”, se arată în comunicat.
SRI confirmă atacul și intervenția pentru oprirea acestuia, dar nu identifică public instituția afectată și nici nu oferă detalii despre numărul mesajelor vizate.
Turla, grupare asociată oficial de UE cu FSB
Legătura dintre gruparea APT Turla și serviciile de informații ruse a fost menționată și la nivel european. În iulie 2026, Uniunea Europeană a denunțat activitățile cibernetice ostile ale Rusiei și a indicat că Turla se află printre grupările controlate de Centrul 16 al Serviciului Federal de Securitate (FSB).
La rândul său, Ministerul Afacerilor Externe a transmis atunci că România a fost vizată de activități cibernetice ostile ale grupării APT Turla, în cadrul campaniei hibride desfășurate de Federația Rusă împotriva statelor membre UE și NATO.
