O grupare de spionaj cibernetic asociată serviciilor ruse de informații a compromis sistemul informatic al unei instituții guvernamentale din România și a vizat colectarea corespondenței legate de NATO și Uniunea Europeană. Operațiunea a fost identificată de cercetătorii companiei de securitate cibernetică ESET, care au descoperit un instrument informatic sofisticat, conceput pentru a accesa serverele de e-mail fără a atrage atenția administratorilor.
Operațiunea de spionaj cibernetic atribuită grupării ruse Turla a vizat instituții guvernamentale din România și Kazahstan, iar hackerii au utilizat un instrument informatic sofisticat, denumit Cereal, conceput pentru a compromite serverele Microsoft Exchange și a colecta în mod discret mesaje electronice, potrivit stiripesurse.ro.
În cazul României, programul malițios a fost configurat să identifice corespondența trimisă către sau primită de la adrese asociate NATO și Uniunea Europeană (UE).
Descoperirea a fost făcută de către cercetătorii companiei de securitate cibernetică ESET, care au identificat o nouă infrastructură de spionaj digital asociată grupării Turla (cunoscută și sub numele de Snake). Aceasta este considerată de experții în securitate informatică drept o structură asociată Serviciului Federal de Securitate al Rusiei (FSB).
Primul caz, identificat în Kazahstan, în noiembrie 2025, iar al doilea, în România, la o lună distanță
Potrivit investigației, două organizații guvernamentale naționale au fost compromise în cadrul acestei campanii. Primul caz a fost identificat în Kazahstan, în 28 noiembrie 2025, iar al doilea a fost descoperit în România, unde sistemul informatic ar fi fost compromis pe 23 decembrie 2025. Deocamdată nu a fost făcută publică identitatea instituției românești vizate și nici nu au fost dezvăluite detalii cu privire amploarea exactă a informațiilor care ar fi putut fi extrase.
Elementul cel mai sensibil al operațiunii îl reprezintă obiectivele urmărite în țara noastră. Componenta responsabilă de colectarea mesajelor, denumită CerealBox, a fost configurată pentru a selecta corespondența electronică asociată instituțiilor NATO și Uniunii Europene (UE).
De ce consideră specialiștii „notabil” cazul din România
Cercetătorii susțin că este relevant cazul României în contextul apartenenței la NATO și UE, dar și al tensiunilor de securitate din regiunea Mării Negre. Experții nu au dezvăluit public identitatea instituției românești care ar fi fost compromise și nici amploarea informațiilor care ar fi fost sustrase.
„Cazul din România este notabil deoarece o componentă, CerealBox, a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE. Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse.
De asemenea, situația ar putea fi legată de tensiunile regionale: începând de la începutul anului 2025, România a raportat mai multe incidente în care drone rusești s-au prăbușit în apropierea teritoriului său sau chiar pe teritoriul național, ceea ce a provocat reacții ferme din partea autorităților române și solicitări pentru o misiune NATO în regiunea Mării Negre”, se precizează în studiu.
Turla, una dintre cele mai cunoscute grupări de spionaj cibernetic asociate Rusiei, mai este cunoscută, conform site-ului citat, și sub denumirile Snake, Waterbug și Secret Blizzard. Și ar fi vizat de-a lungul timpului instituții guvernamentale, dar și ambasade și alte entități strategice.
Cum erau interceptate mesajele vizate
Una dintre componentele centrale ale sistemului, CerealBox, a fost concepută pentru a monitoriza fluxul de mesaje gestionat de Microsoft Exchange. Malware-ul are o componentă centrală special concepută pentru a monitoriza fluxul de mesaje. Programul se infiltrează în procesul din spatele mesajelor trimise. Metoda, una deosebit de discretă, modifică modul în care funcționează componentele deja încărcate în memoria serverului, astfel nu atrage atenția administratorilor de rețea.
Mesajele sunt analizate în funcție de criterii prestabilite: expeditor, destinatar, subiect sau numele fișierelor atașate. Cercetătorii au constatat că instrumentul selecta inclusiv e-mailuri care conțineau documente în formate de documente scrise (DOC, DOCX ) și PDF.
Mesajele vizate erau comprimate, criptate și stocate temporar, pentru a fi recuperate ulterior de operatorii atacului. În tot acest timp, corespondența originală își continua traseul normal către destinatari, sistemul instituției funcționând aparent fără probleme. Astfel cp utilizatprii nu ar fi observat vreo modificare.
Un instrument invizibil ascuns în serverele instituțiilor
Instrumentul descoperit de cercetătorii ESET este un ansamblu componente informatice malițioase (viruși) proiectat pentru a funcționa pe servere Microsoft Exchange, o platformă utilizată la scară largă de organizații guvernamentale și companii pentru administrarea corespondenței electronice (e-mailurilor). Spre deosebire de atacurile cibernetice convenționale, noul virus (Cereal) este construit pentru a rămâne nedetectat o perioadă cât mai îndelungată.
Programul execută comenzi direct în memoria serverului, utilizează tehnici avansate de criptare și lasă foarte puține urme în sistem. O particularitate a operațiunii o constituie absența unei infrastructuri externe clasice de comandă și control. În mod obișnuit, programele de acest tip (malware) comunică periodic cu servere controlate de atacatori, pentru a primi instrucțiuni și a transmite datele sustrase.
În acest caz, însă, hackerii au transformat chiar serverul compromis în propriul punct de comandă și control. Astfel, infrastructura victimei a fost folosită pentru desfășurarea atacului, fapt ce complică semnificativ identificarea activității malițioase și urmărirea operatorilor.
