Atac cibernetic rusesc oprit de SRI: e-mailuri NATO și UE vizate

Serviciul Român de Informații (SRI) a anunțat miercuri, 11 noiembrie 2026, că Centrul Național Cyberint a oprit un atac cibernetic atribuit grupării ruse APT Turla. Ținta a fost o instituție guvernamentală din România, al cărei server de e-mail fusese configurat să caute corespondența cu adrese instituționale ale NATO și ale Uniunii Europene. Potrivit comunicatului SRI, atacul a fost identificat în decembrie 2025, iar nu au fost identificate exfiltrări de date sensibile. Instituția vizată nu a fost numită.

Ce a transmis SRI despre intervenția Cyberint

Serviciul spune că atacatorii au folosit „o serie de vulnerabilități sistemice” din sistemele de operare Microsoft și că atacul s-a oprit după intervenția Centrului Național Cyberint. Potrivit aceluiași comunicat, serviciul de e-mail afectat a fost remediat, beneficiarii legali au fost informați, iar cazul a fost discutat cu partenerii europeni din comunitatea de intelligence și cu structuri ale UE și NATO. SRI mai precizează că desfășoară „măsuri investigative complexe” privind și alte secvențe legate de campanii cibernetice ale Federației Ruse.

Anunțul a venit la o zi după ce compania de securitate cibernetică ESET a publicat, pe 10 noiembrie, o analiză tehnică a cazului. MLQ.ai observă că documentul SRI nu menționează ESET, însă data și tipul țintei, un server de e-mail, coincid. Ambasada Rusiei la București nu a răspuns imediat unei solicitări de comentariu, potrivit Reuters.

Cum funcționa programul de spionaj de pe serverul Exchange

Potrivit ESET Research, citată de Digi24, componenta numită CerealBox rula în Microsoft Exchange și selecta mesajele schimbate cu domeniile nato.int și europa.eu, precum și pe cele ale unui număr mic de persoane care par implicate în activități guvernamentale legate de NATO și UE. Programul verifica atașamentele de tip .doc, .docx și .pdf după expeditor, destinatar, subiect și numele fișierului. Mesajele alese puteau fi comprimate, criptate și pregătite pe server pentru preluare.

Spotmedia scrie că instrumentul funcționa în interiorul proceselor legitime ale serverului, ceea ce îl făcea greu de observat de către administratori. Numele setului de instrumente, Cereal, vine de la „serializare”, adică procedeul prin care programe .NET criptate sunt transportate, despachetate și rulate direct în memorie, explică Digi24. ESET nu a publicat dovezi că mesaje din cazul românesc ar fi fost scoase din rețea. Cercetătorii nu au putut stabili nici cum au obținut atacatorii accesul inițial, nici adresele IP folosite.

Cronologia atacului, de la Kazahstan la România

• 28 noiembrie 2025: același set de instrumente este detectat la o organizație guvernamentală din Kazahstan, potrivit cybersecuritynews.com.
• 23 decembrie 2025: data până la care sistemul românesc era deja compromis, cel târziu, potrivit ESET.
• 20 ianuarie 2026: activitatea atacatorilor crește, la 28 de zile după prima dată documentată.
• 10–11 noiembrie 2026: ESET publică analiza, iar SRI confirmă incidentul.

Între prima dată documentată a compromiterii și dezvăluirea publică au trecut aproape 11 luni. ESET atribuie operațiunea grupării Turla cu un grad ridicat de încredere. Gruparea, cunoscută și ca Snake sau Uroburos, este activă cel puțin din 2004, adică de aproximativ 22 de ani, și este considerată pe scară largă parte a FSB. Printre țintele ei obișnuite se numără guverne, misiuni diplomatice și organizații din domeniul apărării, notează Adevărul.

Ce înseamnă cazul pentru securitatea României

În iulie 2026, Uniunea Europeană a indicat că Turla se numără printre grupările controlate de Centrul 16 al FSB, iar Ministerul Afacerilor Externe a transmis atunci că România fusese vizată de activități cibernetice ostile ale grupării, ca parte a campaniei hibride a Rusiei împotriva statelor UE și NATO, potrivit Spotmedia. Reuters amintește că România are o graniță terestră de peste 600 de kilometri cu Ucraina, iar președintele Nicușor Dan a afirmat că țara este ținta unui război hibrid dus de Rusia, cu incursiuni de drone, dezinformare, sabotaj și atacuri cibernetice. Rusia a negat în repetate rânduri aceste acuzații.

Atacurile DDoS revendicate de Killnet în mai 2022 asupra site-urilor unor aeroporturi românești, printre care „Henri Coandă”, au fost de alt tip: au făcut paginile inaccesibile, fără să urmărească accesul la mesaje, notează Adevărul. Operațiunea Turla a mers pe spionaj și a urmărit e-mailurile schimbate de instituția românească cu adrese ale NATO și ale Uniunii Europene. În aceeași săptămână, Polonia și-a scos temporar offline platforma de servicii guvernamentale ePUAP după un atac cibernetic, potrivit MLQ.ai.

Surse:

• Digi24 – Schimbul de mesaje dintre România și NATO, dar și cu UE, interceptat de hackerii pro-ruși. Anunțul făcut de SRI
• The Straits Times – Romanian intelligence agency says it identified Russian-linked cyber attack
• Adevărul – Spionaj rus la o instituție guvernamentală din România: e-mailurile către NATO și UE, interceptate de hackeri afiliați FSB
• Spotmedia.ro – Spionaj rusesc la o instituție guvernamentală din România. Hackerii afiliați FSB au vizat corespondența cu NATO și UE
• MLQ.ai – Romania’s intelligence service says it stopped a Turla cyberattack on a government institution