Hackeri ruși Turla au atacat instituții guvernamentale din România pentru date NATO și UE
Gruparea de spionaj Turla, asociată FSB, a compromis un sistem informatic guvernamental din România în decembrie 2025, vizând corespondența cu NATO și UE.
Spionaj cibernetic rus: serverele românești, țintite pentru corespondența NATO și UE
Gruparea rusă de spionaj Turla a compromis un sistem informatic al unei instituții guvernamentale din România pe 23 decembrie 2025, potrivit Gândul. Atacul a vizat în mod specific corespondența electronică schimbată cu adrese asociate NATO și Uniunii Europene. O operațiune similară a fost identificată în Kazahstan, la 28 noiembrie 2025.
Descoperirile au fost publicate de cercetătorii companiei de securitate cibernetică ESET, care au identificat o nouă infrastructură de spionaj digital legată de Turla — cunoscută și sub denumirea de Snake. Experții în securitate informatică consideră această grupare o structură subordonată Serviciului Federal de Securitate al Rusiei (FSB).
Instrumentul Cereal: discreție maximă, urmărire minimă
Hackerii au utilizat un ansamblu de programe malițioase denumit Cereal, conceput să opereze pe servere Microsoft Exchange — platformă utilizată pe scară largă de guverne și companii pentru administrarea e-mailurilor. Componenta centrală a instrumentului, numită CerealBox, monitoriza fluxul de mesaje și selecta corespondența în funcție de criterii prestabilite: expeditor, destinatar, subiect sau denumirea fișierelor atașate.
Mesajele vizate — inclusiv cele care conțineau documente în format text și PDF — erau comprimate, criptate și stocate temporar, urmând să fie recuperate ulterior de operatorii atacului. În tot acest interval, corespondența originală își continua traseul normal către destinatari, sistemul instituției funcționând aparent fără nicio anomalie.
Metoda de infiltrare este deosebit de dificil de detectat: programul se insinuează în procesele deja active pe server, fără a genera alerte pentru administratorii de rețea. Virusul execută comenzi direct în memoria serverului, folosește tehnici avansate de criptare și lasă foarte puține urme în sistem.
Serverul victimei, transformat în punct de comandă
O particularitate a acestei operațiuni o reprezintă absența unei infrastructuri externe clasice de comandă și control. În mod obișnuit, programele de acest tip comunică periodic cu servere externe pentru a primi instrucțiuni și a transmite datele colectate. În cazul de față, hackerii au transformat chiar serverul compromis în propriul centru de operațiuni, utilizând infrastructura instituției atacate pentru desfășurarea spionajului — un procedeu care complică semnificativ identificarea activității malițioase și urmărirea operatorilor.
Context: tensiuni în regiunea Mării Negre
Cercetătorii ESET subliniază că atacul asupra României este relevant atât prin prisma apartenenței țării la NATO și UE, cât și a tensiunilor de securitate din zona Mării Negre.
„Cazul din România este notabil deoarece o componentă a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE. Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse. De asemenea, situația ar putea fi legată de tensiunile regionale: România a raportat mai multe incidente în care drone rusești s-au prăbușit în apropierea teritoriului său, ceea ce a provocat reacții ferme din partea autorităților", se arată în raportul ESET.
Identitatea instituției românești compromise și amploarea informațiilor sustrase nu au fost dezvăluite public de cercetători.
Source: Gândul