Gruparea de hackeri Turla, aliniată cu Federația Rusă, a vizat infrastructura unei instituții guvernamentale din România pentru a intercepta comunicații strategice. Atacul, detectat în decembrie 2025, a avut ca scop colectarea de informații ce implicau adrese oficiale ale NATO și ale Uniunii Europene, precum „nato.int” și „europa.eu”. Această selecție specifică de mesaje indică faptul că operațiunea a fost menită să obțină date de importanță geopolitică, nu doar pentru furtul aleatoriu de date.
Serviciul Român de Informații a emis un comunicat oficial prin care confirmă faptul că Centrul Național Cyberint a identificat și a oprit atacul. Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft pentru a compromite serverele. SRI a precizat că a implementat măsuri de contracarare și remediere, asigurând faptul că nu au fost identificate exfiltrări de date sensibile. Serviciul de e-mail afectat a fost remediat complet după intervenția autorităților.
Cercetătorii de la ESET Research au identificat utilizarea unui nou set de instrumente malware, denumit Cereal, în cadrul acestui atac. Acest software permite transformarea serverelor Microsoft Exchange compromise în centre de comandă și sisteme de colectare a e-mailurilor. Tehnica este extrem de discretă, deoarece malware-ul permite copierea mesajelor fără a afecta livrarea normală a acestora, făcând breșa foarte dificil de detectat prin metodele convenționale de monitorizare.
Setul de instrumente Cereal include componente complexe precum CerealNeuron, care funcționează ca un „backdoor” pasiv, și CerealRunner, utilizat pentru colectarea e-mailurilor și extragerea de credențiale. O altă componentă, CerealBox, modifică direct agenții de transport din memoria serverului pentru a evita detectarea. Atacatorii au configurat malware-ul să selecteze mesaje specifice, bazându-se pe criterii precum tipul de atașament (doc, docx sau pdf), expeditor sau subiect, pentru a asigura colectarea informațiilor vizate.
SRI a informat beneficiarii legali și a cooperat cu partenerii europeni, inclusiv cu comunitatea de intelligence, la nivelul UE și NATO. În prezent, Centrul Național Cyberint are în derulare măsuri investigative complexe pentru a analiza alte secvențe de campanii cibernetice implementate de Federația Rusă. Autoritățile române au subliniat că vor continua monitorizarea constantă pentru a identifica orice noi tentative de compromitere a instituțiilor naționale.
Aceste tipuri de atacuri cibernetice asupra infrastructurii critice și a instituțiilor guvernamentale reprezintă o provocare constantă pentru securitatea națională și regională. În contextul tensiunilor geopolitice, grupările de hackeri precum Turla utilizează tehnici avansate de malware pentru a penetra rețelele diplomatice și de apărare. Protecția serverelor de tip Microsoft Exchange rămâne un punct critic în strategia de apărare cibernetică a statelor membre NATO și UE.
