Serviciul Român de Informații a confirmat miercuri, 11 noiembrie, că o instituție guvernamentală din România a fost ținta grupării rusești de spionaj cibernetic APT Turla. Atacul a fost descoperit în decembrie 2025 de Centrul Național Cyberint și a fost oprit, iar serviciul de e-mail afectat a fost remediat, potrivit SRI.
Confirmarea a venit la o zi după ce compania slovacă de securitate informatică ESET a publicat un raport despre un set de programe malițioase folosit de Turla în România și în Kazahstan. În cazul românesc, codul fusese configurat să vâneze corespondența purtată cu adrese ale NATO și ale Uniunii Europene.
Ce spune SRI despre atac
Serviciul nu a dezvăluit ce instituție a fost vizată. Potrivit comunicatului, atacatorii au profitat de mai multe vulnerabilități ale sistemelor de operare Microsoft, însă intervenția specialiștilor Cyberint a pus capăt atacului.
Purtătorul de cuvânt al SRI, Ovidiu Marincea, a declarat pentru Europa FM că nu au fost identificate scurgeri de date sensibile. Serviciul spune că a informat autoritățile îndreptățite să primească astfel de informații. Pe acest caz, SRI a cooperat și cu partenerii europeni din comunitatea de informații, dar și cu structuri ale Uniunii Europene și ale NATO.
Investigațiile nu s-au încheiat. Centrul Național Cyberint analizează și alte episoade legate de campaniile cibernetice ale Federației Ruse. SRI anunță că va continua identificarea și investigarea „oricăror noi tentative de compromitere a instituțiilor din plan național”.
Un spion ascuns în serverul de e-mail
Raportul ESET, semnat de cercetătorul Matías Porolli, descrie un set de unelte botezat Cereal. Programul a fost găsit prima dată pe 28 noiembrie 2025, pe serverul de e-mail al unei instituții guvernamentale din Kazahstan. După ce și-au rafinat metodele de detecție, cercetătorii l-au descoperit și la o instituție guvernamentală din România, compromisă pe 23 decembrie 2025.
Cereal lucrează din interiorul serverelor Microsoft Exchange, prin care trece corespondența unei instituții. Componenta numită CerealBox se strecoară în procesele legitime ale serverului și copiază mesajele care îi interesează pe atacatori. E-mailul își continuă drumul nestingherit, destinatarul îl primește ca de obicei, iar o copie pleacă discret în altă parte.
În România, filtrul căuta mesajele trimise către sau primite de la adrese instituționale ale NATO și ale Uniunii Europene, arată ESET. Potrivit analizelor publicate de presa de specialitate, erau reținute în special mesajele care aveau atașate documente Word sau PDF. Configurarea nu dovedește însă că rețelele NATO sau ale UE au fost compromise, iar victima confirmată rămâne instituția românească.
