Hackeri ruși, asociați cu FSB, ar fi atacat România ca să obțină informații sensibile despre NATO și UE. Atacul ar fi vizat instituții guvernamentale
Gruparea rusă de spionaj Turla a vizat printr-o nouă operațiune instituțiile guvernamentale din România și Kazahstan. Hackerii au utilizat un instrument informatic sofisticat, numit Cereal, conceput pentru a compromite serverele și a colecta în mod discret mesaje electronice. În cazul României, programul malițios a fost configurat special pentru a identifica și sustrage corespondența trimisă către sau primită de la adrese asociate cu NATO și Uniunea Europeană. Operațiunea de spionaj a fost făcută publică de cercetătorii companiei de securitate cibernetică ESET.
Cum a fost descoperită rețeaua de spionaj
Cercetătorii companiei de securitate cibernetică ESET au identificat o nouă infrastructură de spionaj digital asociată grupării Turla (cunoscută și sub numele de Snake). Aceasta este considerată de experții în securitate informatică drept o structură subordonată Serviciului Federal de Securitate al Rusiei (FSB).
Potrivit investigației, două organizații guvernamentale naționale au fost compromise de atacuri. Primul caz a fost identificat în Kazahstan, la 28 noiembrie 2025, iar al doilea a fost descoperit în România, unde sistemul informatic ar fi fost compromis pe 23 decembrie 2025.
Elementul cel mai sensibil al operațiunii îl reprezintă obiectivele urmărite în țara noastră. Componenta responsabilă de colectarea mesajelor, denumită CerealBox, a fost configurată pentru a selecta strict corespondența electronică asociată instituțiilor NATO și Uniunii Europene (UE).
România, țintă strategică pentru serviciile ruse
Cercetătorii susțin că atacul asupra României este relevant în contextul apartenenței la NATO și UE, dar și al tensiunilor de securitate din regiunea Mării Negre. Deși experții nu au dezvăluit public identitatea instituției românești compromise și nici amploarea informațiilor sustrase, concluziile raportului arată un interes direct pentru politica externă și de apărare a României.
„Cazul din România este notabil deoarece o componentă a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE. Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse. De asemenea, situația ar putea fi legată de tensiunile regionale: România a raportat mai multe incidente în care drone rusești s-au prăbușit în apropierea teritoriului său, ceea ce a provocat reacții ferme din partea autorităților”, subliniază studiul ESET.
Cum erau interceptate mesajele oficialilor
Virusul folosit de ruși are o componentă centrală special concepută pentru a monitoriza fluxul de mesaje. Programul se infiltrează în procesul din spatele mesajelor trimise. Metoda este deosebit de discretă pentru că modifică procese care sunt deja încărcate pe server,astfel nu atrage atenția administratorilor de rețea.
Mesajele au fost analizate în funcție de criterii prestabilite: expeditor, destinatar, subiect sau numele fișierelor atașate. Cercetătorii au constatat că instrumentul selecta inclusiv e-mailuri care conțineau documente în formate de documente scrise și PDF. Mesajele vizate erau comprimate, criptate și stocate temporar, pentru a fi recuperate ulterior de operatorii atacului. În tot acest timp, corespondența originală își continua traseul normal către destinatari, sistemul instituției funcționând aparent fără probleme.
Un instrument invizibil ascuns în serverele instituțiilor
Instrumentul descoperit de cercetătorii ESET este un ansamblu de viruși proiectat pentru a funcționa pe servere Microsoft Exchange, o platformă utilizată la scară largă de guverne și companii pentru administrarea e-mailurilor. Spre deosebire de atacurile cibernetice convenționale, noul virus este construit pentru a rămâne nedetectat o perioadă cât mai îndelungată.
Programul execută comenzi direct în memoria serverului, utilizează tehnici avansate de criptare și lasă foarte puține urme în sistem. O particularitate a operațiunii este absența unei infrastructuri externe clasice de comandă și control. În mod normal, programele de acest tip comunică periodic cu servere externe pentru a primi instrucțiuni și a transmite datele furate.
În acest caz, hackerii au transformat chiar serverul compromis în propriul punct de comandă. Astfel,infrastructura victimei a fost folosită pentru desfășurarea atacului, fapt ce complică masiv identificarea activității malițioase și urmărirea operatorilor.