Hackeri afiliați FSB au spionat e-mailuri NATO și UE din România

Un grup de spionaj cibernetic legat de Serviciul Federal de Securitate al Rusiei (FSB) a compromis serverele de e-mail ale unei instituții guvernamentale din România. Scopul a fost colectarea corespondenței purtate cu NATO și Uniunea Europeană. Analiza a fost făcută publică marți, 10 noiembrie, de compania slovacă de securitate cibernetică ESET, care atribuie atacul grupării Turla. Potrivit Defense News, serverele românești au fost compromise pe 23 decembrie 2025. Serviciul Român de Informații a confirmat incidentul, scrie Adevărul.

Ce spune SRI despre atac

Într-un comunicat citat de Adevărul, SRI arată că atacul a fost identificat în decembrie 2025 de Centrul Național Cyberint, care a aplicat măsuri de contracarare și de remediere. Potrivit serviciului, atacatorii au exploatat „o serie de vulnerabilități sistemice” ale sistemelor de operare Microsoft. Operațiunea a fost oprită, iar nu au fost identificate exfiltrări de date sensibile. SRI precizează că serviciul de e-mail afectat a fost remediat și că beneficiarii legali au fost informați. Cazul a făcut obiectul cooperării cu partenerii europeni din comunitatea de informații, dar și cu structurile UE și NATO.

Cercetătorii ESET nu au putut stabili cum au obținut atacatorii accesul inițial la servere și nici ce volum de informații au reușit să colecteze, notează The Record. Potrivit SRI, Cyberint continuă investigații asupra altor operațiuni conexe, care fac parte din campanii cibernetice ale Federației Ruse.

Cum funcționa setul de instrumente Cereal

ESET a numit setul de programe malițioase Cereal, un joc de cuvinte pornind de la serializare, tehnica prin care programele împachetează date și cod pentru transfer. Instrumentele rulau pe servere Microsoft Exchange. Componenta CerealBox era injectată direct în procesul care gestionează traficul de e-mail. Ea selecta mesajele care aveau atașate fișiere .doc, .docx sau .pdf și corespundeau unor liste prestabilite de expeditori, destinatari, cuvinte din subiect sau nume de fișiere, explică Security Affairs. Mesajele alese erau comprimate, criptate și stocate pe disc, de unde atacatorii le preluau ulterior. În cazul României, filtrele vizau adresele instituționale ale NATO și ale UE.

ESET subliniază că atacatorii nu au folosit un server de comandă extern, ci chiar serverul Exchange al victimei. Comenzile erau ascunse în trafic care imita accesul obișnuit prin Outlook Web Access, Autodiscover și ActiveSync. Din acest motiv, compania nu a putut identifica adresele IP ale operatorilor. Cea mai mare parte a codului rula direct în memorie și lăsa foarte puține urme pe disc.

Cronologia și cifrele campaniei

• 28 noiembrie 2025: ESET descoperă instrumentul la o instituție guvernamentală din Kazahstan, conform Security Affairs;
• 23 decembrie 2025: are loc compromiterea instituției din România, la 25 de zile după prima detectare;
• 15 ianuarie 2026: ESET înregistrează un vârf de activitate în Kazahstan, a doua zi după Anul Nou pe stil vechi;
• 10 noiembrie 2026: ESET publică analiza, la aproximativ 322 de zile după atacul asupra României.

Turla, cunoscută și ca Snake, Uroburos sau Venomous Bear, este activă cel puțin din 2004, deci de circa 22 de ani. Agenția americană CISA o leagă de Centrul 16 al FSB, potrivit Security Affairs. Conform ESET, aproximativ 70% dintre țările vizate de grupare din 2022 încoace sunt foste republici sovietice sau state europene care au avut legături strânse cu Moscova.

România, țintă repetată pe flancul estic

Defense News amintește că România, stat de pe flancul estic al NATO, s-a confruntat de la invazia pe scară largă a Ucrainei cu încălcări ale spațiului aerian, drone doborâte și atacuri asupra unor nave comerciale în zona sa economică exclusivă. Pe plan cibernetic, în mai 2022, gruparea Killnet a revendicat atacuri asupra site-urilor unor aeroporturi românești, printre care „Henri Coandă”, scrie Adevărul. Paginile au devenit inaccesibile, dar siguranța zborurilor nu a fost afectată. În mai 2025, un alt grup rus a atacat producători de armament care sprijină Ucraina, inclusiv companii din România, potrivit Defense News. Spre deosebire de aceste atacuri de tip DDoS, care doar blocau accesul la servicii, operațiunea Turla a urmărit spionarea discretă și de lungă durată a corespondenței.

ESET a publicat o listă cu semnele de infectare pe care specialiștii le pot folosi pentru a-și verifica serverele Exchange.

Surse:

• Defense News – Romanian servers targeted by Russian hackers to scoop up emails about NATO, EU
• The Record from Recorded Future News – Russian hackers compromised government email servers to steal NATO, EU correspondence
• Adevărul – Spionaj rus la o instituție guvernamentală din România: e-mailurile către NATO și UE, interceptate de hackeri afiliați FSB
• Security Affairs – Russia-Linked APT Turla Turned Exchange Servers Into Their Own Control Room
• dev.ua – Russian hackers hacked into government email accounts and silently intercepted emails. How did it work?