- O grupare de hackeri asociată serviciilor de informații rusești a compromis, în decembrie 2025, serverele unei instituții guvernamentale din România, pentru a colecta e-mailuri care aveau legătură cu NATO și Uniunea Europeană.
- Atacul, documentat de specialiștii companiei ESET, a fost confirmat de Serviciul Român de Informații (SRI), care susține că a identificat și contracarat operațiunea și a remediat efectele acesteia.
Gruparea de ciberspionaj Turla, asociată statului rus, a atacat serverele unei instituții guvernamentale din România, în încercarea de a intercepta corespondența electronică legată de NATO și Uniunea Europeană. Informațiile apar într-un raport publicat de compania de securitate cibernetică ESET, iar Serviciul Român de Informații (SRI) a confirmat pentru G4Media că atacul a avut loc și că a fost contracarat.
Potrivit cercetătorilor ESET, instituția românească a fost compromisă la 23 decembrie 2025. Hackerii au folosit un set de instrumente malițioase, denumit „Cereal”, conceput pentru a intercepta selectiv mesajele de pe serverele Microsoft Exchange.
Ce au urmărit hackerii ruși
Specialiștii ESET au identificat inițial acest instrument în urma unei investigații asupra unor atacuri informatice care au vizat organizații guvernamentale din Kazahstan. Aproximativ o lună mai târziu, același set de programe malițioase a fost descoperit pe serverele unei instituții guvernamentale din România.
Potrivit raportului, atacatorii au urmărit în mod selectiv corespondența electronică purtată cu reprezentanți ai NATO și ai Uniunii Europene.
Una dintre componentele principale ale atacului, numită CerealBox, permitea executarea comenzilor direct în memoria serverului și inspectarea mesajelor fără a lăsa urme evidente. Malware-ul fusese configurat să colecteze e-mailuri care conțineau documente atașate, în special fișiere de tip DOC, DOCX și PDF, în funcție de criterii precum expeditorul, destinatarul și subiectul mesajului.
Hackerii au utilizat și o altă componentă, CerealNeuron, prin intermediul căreia puteau transmite de la distanță comenzi către serverul compromis, folosind infrastructura de e-mail.
Gruparea Turla, asociată serviciilor de informații rusești
Turla este o grupare de ciberspionaj activă de peste două decenii, cunoscută și sub numele de Snake, Secret Blizzard sau Waterbug. Potrivit specialiștilor în securitate cibernetică, gruparea este asociată Serviciului Federal de Securitate (FSB) al Federației Ruse.
Campania documentată de ESET evidențiază utilizarea unor instrumente specializate pentru infiltrarea serverelor de e-mail ale instituțiilor guvernamentale și colectarea selectivă a informațiilor considerate de interes. Compania a publicat și o listă extinsă de indicatori de compromitere (IoC), disponibili pe platforma GitHub, pentru a ajuta la identificarea eventualelor atacuri similare.
SRI a confirmat atacul
Serviciul Român de Informații a confirmat compromiterea instituției guvernamentale și a transmis că atacul a fost identificat de Centrul Național Cyberint (CNC), care a luat măsuri pentru oprirea acestuia și remedierea efectelor.
„SRI/CNC a identificat acest atac cibernetic și a implementat măsuri de contracarare a acestuia și de remediere a efectelor sale. De asemenea, SRI/CNC a informat beneficiarii legali și, totodată, aspectele respective au făcut obiectul cooperării cu partenerii europeni la nivelul comunității de intelligence, precum și cu cei din cadrul UE și NATO”, a transmis instituția.
SRI a mai precizat că Centrul Național Cyberint desfășoară în mod constant investigații privind atacurile cibernetice atribuite Federației Ruse împotriva instituțiilor din România. „SRI/CNC are în derulare măsuri investigative complexe care vizează și alte secvențe conectate cu campanii cibernetice implementate de Federația Rusă”, a mai comunicat serviciul de informații.
Identitatea instituției guvernamentale compromise nu a fost făcută publică în informațiile prezentate de ESET și SRI.
