Serviciul Român de Informații a confirmat, miercuri, 11 noiembrie 2026, că o instituție guvernamentală din România a fost victima unui atac cibernetic desfășurat de gruparea de spionaj rusească Turla. Operațiunea a vizat colectarea selectivă a mesajelor electronice legate de colaborarea instituției respective cu NATO și Uniunea Europeană. Atacul a fost detectat prin intermediul unor investigații realizate de cercetătorii companiei ESET, care au identificat o compromitere a serverelor Microsoft Exchange.
Cercetătorii de la ESET au stabilit că serverul organizației românești fusese compromis încă din data de 23 decembrie 2025. Atacatorii au utilizat un set de instrumente informatice necunoscute anterior, denumit „Cereal”, conceput special pentru a funcționa pe serverele Microsoft Exchange. Acest set de unelte permitea colectarea discretă a mesajelor prin integrarea în procesele legitime ale sistemului, evitând astfel detectarea de către mecanismele de securitate standard.
Una dintre componentele utilizate, denumită CerealBox, era configurată să identifice și să extragă corespondența care îndeplinea criterii specifice. Aceasta analiza expeditorul, destinatarul, subiectul mesajului și documentele atașate, inclusiv fișiere de tip Word și PDF. Tehnica a fost extrem de sofisticată, deoarece atacatorii nu au utilizat o infrastructură externă de comandă și control, folosind chiar serverul compromis pentru a menține accesul și a transmite instrucțiunile în rețeaua internă.
Gruparea Turla, cunoscută și sub numele de Snake, este asociată cu Serviciul Federal de Securitate al Rusiei (FSB). Această entitate este activă cel puțin din anul 2004 și își orientează operațiunile de spionaj cibernetic către rețelele unor organizații guvernamentale. ESET estimează că aproximativ 70% dintre țările vizate de Turla începând cu anul 2022 sunt foste republici sovietice sau state europene cu legături istorice strânse cu Uniunea Sovietică.
În urma identificării incidentului, Centrul Național Cyberint a intervenit pentru a contracara atacul și pentru a implementa măsuri de remediere a efectelor acestuia. SRI a precizat că beneficiarii legali au fost informați și că incidentul a făcut obiectul cooperării cu partenerii din comunitatea de intelligence europeană, precum și cu partenerii din cadrul UE și NATO. Autoritățile române desfășoară investigații complexe pentru a limita impactul campaniilor cibernetice rusești.
Aceste atacuri de tip spionaj cibernetic se încadrează într-un context de securitate regională tensionat, în care infrastructurile critice și instituțiile de stat sunt ținte constante. Monitorizarea activității grupărilor precum Turla este esențială pentru protejarea integrității datelor de corespondență între România și partenerii euroatlantici, având în vedere modul în care instrumentele de tip „Cereal” pot rămâne ascunse în procesele de sistem.
