Puncte cheie
- Gruparea Turla a vizat domeniile nato.int și europa.eu pentru colectarea de date.
- Aproximativ 70% dintre țările vizate de Turla din 2022 sunt din fosta Uniune Sovietică sau Europa.
- Atacul a exploatat vulnerabilități sistemice la nivelul sistemelor de operare Microsoft.
Cronologia evenimentelor
- 28 noiembrie 2025 — Detectarea instrumentelor de atac la o organizație guvernamentală din Kazahstan.
- 23 decembrie 2025 — Compromiterea sistemului informatic al instituției guvernamentale din România.
- 20 ianuarie 2026 — Creșterea activității atacatorilor în cadrul sistemului compromis din România.
- 10 noiembrie 2026 — Publicarea analizei ESET Research privind operațiunea de spionaj.
O organizație guvernamentală din România a avut sistemul de e-mail compromis începând cu 23 decembrie 2025. Atacul a fost atribuit grupării de hackeri Turla, cunoscută și sub denumirile Snake, Secret Blizzard sau Waterbug, care este asociată cu Serviciul Federal de Securitate al Rusiei (FSB). Această grupare desfășoară operațiuni de spionaj cibernetic de peste două decenii. Conform raportului publicat de compania ESET, atacatorii au utilizat un set de instrumente malițioase numit Cereal pentru a accesa serverele Microsoft Exchange. Acest instrument include un modul inovator de colectare a e-mailurilor, un mecanism unic de comandă și control (C&C) și trucuri sofisticate de execuție.NET.
Detaliile tehnice ale operațiunii
Instrumentul Cereal include o componentă numită CerealBox, configurată special pentru a identifica și colecta mesaje trimise către sau primite de la adrese din domeniile nato.int și europa.eu. Lista urmărită cuprindea și un număr mic de persoane aparent implicate în activități guvernamentale legate de NATO și UE. Programul a scanat selectiv corespondența, analizând atașamente în formate.doc,.docx sau.pdf, bazându-se pe criterii precum expeditorul, destinatarul și subiectul mesajului. Această infrastructură de spionaj a fost concepută pentru a opera pe termen lung, evitând detectarea prin execuția comenzilor direct în memoria serverelor, ascunzându-se în cadrul proceselor Exchange legitime și minimizând datele lăsate pe disc.
Serviciul Român de Informații a confirmat incidentul, precizând că Centrul Național Cyberint a identificat atacul în decembrie 2025. Potrivit SRI, atacatorii au exploatat o serie de vulnerabilități sistemice ale sistemelor de operare Microsoft, însă intervenția serviciului a permis oprirea atacului și remedierea efectelor acestuia. Purtătorul de cuvânt al SRI, Ovidiu Marincea, a precizat că nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat. De asemenea, SRI a informat beneficiarii legali și a cooperat cu partenerii europeni în această privință.
Investigația ESET a relevat că aceeași metodă de atac a fost utilizată și împotriva unei instituții guvernamentale din Kazahstan, unde a fost detectată inițial la 28 noiembrie 2025. Activitatea atacatorilor în rețeaua din România a prezentat o creștere a intensității începând cu 20 ianuarie 2026. Analiza ESET Research, publicată la 10 noiembrie 2026, subliniază că cele două organizații naționale compromise se află în zone geografice apropiate de țintele cunoscute ale grupării. Datele de telemetrie indică faptul că aproximativ 70% dintre țările vizate de gruparea Turla începând cu anul 2022 au fost state din fosta Uniune Sovietică sau țări europene.
Pe același subiect, MondoNews a publicat: „Incident cibernetic asupra infrastructurii digitale din Republica Moldova” (27 octombrie 2026).
Analiza subiectului în presă
Cum relatează fiecare sursă
Fapte confirmate
- Atacul a fost realizat de gruparea Turla, asociată cu Rusia, folosind instrumentul Cereal.
- Ținta a fost o instituție guvernamentală română, vizând corespondența cu NATO și UE.
- Compromiterea sistemului din România a avut loc pe 23 decembrie 2025.
Surse
G4Media, Romania TV, Digi24, Antena 3, Stiri pe Surse, Europa FM
