Gruparea de spionaj cibernetic Turla, aflată sub controlul direct al Serviciului Federal de Securitate al Rusiei (FSB), a orchestrat o operațiune de infiltrare în sistemele informatice ale unor instituții guvernamentale din România. Atacul, detectat pe 23 decembrie 2025, a avut ca scop principal spionajul militar și politic, concentrându-se pe interceptarea comunicațiilor secrete care implică structurile aliate din cadrul NATO și Uniunii Europene. Această acțiune urmează unei operațiuni similare desfășurate de aceeași grupare, cunoscută și sub denumirea de Snake, împotriva unei organizații guvernamentale din Kazahstan la sfârșitul lunii noiembrie 2025.
Expertii în securitate informatică de la ESET au identificat utilizarea unui instrument digital avansat, numit Cereal, pentru compromiterea serverelor oficiale. Această tehnologie a permis extragerea de mesaje electronice fără a lăsa urme vizibile pentru administratorii de rețea, evitând astfel detectarea imediată. Componenta de interceptare, denumită CerealBox, a fost programată cu instrucțiuni extrem de specifice pentru contextul românesc, având rolul de a selecta și izola exclusiv e-mailurile care implicau adrese instituționale ale partenerilor strategici din cadrul NATO și al Uniunii Europene.
Operațiunea a vizat în mod direct platformele Microsoft Exchange, utilizate pe scară largă pentru administrarea corespondenței oficiale în cadrul ministerelor. Codul malițios a fost conceput să se infiltreze în procesele active ale serverelor, rulând exclusiv în memoria RAM pentru a bloca detectarea de către prograsele antivirus clasice. Mesajele oficialilor erau scanate în timp real, în funcție de parametri precum expeditorul, destinatarul, subiectul sau atașamentele, vizând în mod special documentele text și fișierele de tip PDF pentru a extrage informații de interes strategic.
Pentru a evita ridicarea de suspiciuni, hackerii au utilizat o metodă de ascundere a datelor furate prin comprimare și criptare în directoare temporare. După ce e-mailurile strategice erau selectate, fluxul original de mesaje își continua traseul normal către destinatari, astfel încât activitatea de interceptare să rămână invizibilă. Un aspect critic identificat de cercetătorii ESET este faptul că hackerii au transformat serverul guvernamental românesc în propriul punct de comandă, eliminând nevoia de comunicare cu servere externe de control și mascând complet transferul de informații.
Această acțiune de spionaj cibernetic are loc într-un context geopolitic marcat de tensiuni ridicate în regiunea Mării Negre. România a raportat în perioada recentă incidente repetate în care drone militare rusești s-au prăbușit pe teritoriul național, fapt ce a generat reacții ferme din partea autorităților. Analistii consideră că orientarea atacului către adresele NATO și UE corespunde priorităților de lungă durată ale serviciilor de informații ruse, care urmăresc monitorizarea reacțiilor și a comunicării oficiale în zonele de conflict sau de instabilitate.
Securitatea cibernetică a infrastructurilor guvernamentale rămâne o prioritate critică în fața creșterii atacurilor de tip spionaj de către actori statali. În contextul conflictelor regionale actuale, unde utilizarea dronelor și a tehnologiilor de interceptare este frecventă, protecția datelor de nivel înalt devine esențială pentru menținerea integrității decizionale a statelor membre ale alianțelor de securitate internațională.
