O nouă operațiune de spionaj digital, desfășurată de gruparea rusă Turla, a vizat instituții guvernamentale din România și Kazahstan. Conform investigației realizate de cercetătorii companiei de securitate cibernetică ESET, hackerii au utilizat un instrument informatic avansat, numit Cereal, pentru a compromite serverele și a colecta mesaje electronice în mod discret. În România, compromiterea sistemului informatic a fost identificată pe 23 decembrie 2025, în contextul unei misiuni de colectare a unor informații strategice.
Operațiunea de spionaj a utilizat o componentă specializată, denumită CerealBox, configurată pentru a identifica și sustrage strict corespondența electronică trimisă către sau primită de la adrese asociate cu NATO și Uniunea Europeană. Programul malițios a fost proiectat să monitorizeze fluxul de mesaje prin infiltrarea în procesele de pe servere, modificând elemente deja încărcate pentru a evita detectarea de către administratorii de rețea. Această metodă permite sustragerea documentelor în formate PDF sau text, fără a întrerupe traseul normal al mesajelor originale.
Gruparea Turla, cunoscută și sub numele de Snake, este considerată de experți drept o structură subordonată Serviciului Federal de Securitate al Rusiei, FSB. Instrumentul utilizat este un ansamblu de viruși conceput pentru a funcționa pe serverele Microsoft Exchange, platformă utilizată pe scară largă de guverne pentru administrarea e-mailurilor. Hackerii au utilizat tehnici avansate de criptare și au executat comenzi direct în memoria serverului, lăsând urme minimale în sistemul compromis pentru a menține discreția operațiunii.
O caracteristică tehnică majoră a acestui atac este absența unei infrastructuri externe clasice de comandă și control. În loc să comunice cu servere externe pentru instrucțiuni, hackerii au transformat chiar serverul compromis al victimei în propriul punct de comandă. Această abordare complică semnificativ identificarea activității malițioase și urmărirea operatorilor, deoarece infrastructura instituției vizate este folosită pentru desfășurarea propriului atac, integrând procesul de spionaj direct în resursele compromise.
Cercetătorii de la ESET subliniază că interesul pentru corespondența legată de NATO și UE corespunde unor priorități de lungă durată ale serviciilor de informații ruse. Deși identitatea instituției românești compromise nu a fost dezvăluită, raportul indică un interes direct pentru politica externă și de apărare a țării. Atacul este considerat relevant și din cauza tensiunilor de securitate din regiunea Mării Negre, unde România a raportat incidente legate de drone rusești prăbușite în apropierea teritoriului său.
Aceste incidente de securitate cibernetică se încadrează într-un context de vulnerabilitate crescută a infrastructurii digitale de stat. În perioada recentă, securitatea informațională a devenit o prioritate strategică, având în vedere creșterea numărului de atacuri coordonate care vizează atât infrastructura critică, cât și comunicarea oficială între aliații occidentali, într-un climat geopolitic marcat de instabilitate regională continuă.
