Hackerii ruși Turla au compromis o instituție guvernamentală din România și au interceptat e-mailuri despre NATO și UE

Gruparea rusă de ciberspionaj Turla a compromis, la 23 decembrie 2025, serverele Microsoft Exchange ale unei instituții guvernamentale din România pentru a colecta selectiv e-mailuri referitoare la NATO și Uniunea Europeană. Atacul a fost identificat și contracarat de Serviciul Român de Informații, care anunță că efectele au fost remediate.

Informațiile apar într-un raport publicat de ESET, unul dintre principalii furnizori europeni de soluții de securitate cibernetică. Cercetătorii au identificat un nou set de instrumente malițioase, denumit Cereal, folosit de Turla pentru a se instala pe servere de e-mail și a intercepta corespondența fără a lăsa urme evidente.

Hackerii au utilizat componenta CerealBox pentru a executa comenzi în memorie și pentru a căuta mesaje care conțineau atașamente .DOC, .DOCX sau .PDF. Colectarea era filtrată în funcție de expeditor, destinatar și subiect. O altă componentă, CerealNeuron, permitea transmiterea de comenzi către serverul compromis prin infrastructura de e-mail.

ESET a observat inițial aceleași instrumente la o instituție guvernamentală din Kazahstan, la sfârșitul anului 2025, iar o lună mai târziu le-a identificat în România.

SRI a confirmat atacul și a precizat că Centrul Național Cyberint a informat beneficiarii legali și a cooperat cu partenerii din UE și NATO. Instituția susține că investighează în mod constant atacurile atribuite Federației Ruse și că analizează și alte posibile secvențe ale campaniei. Turla, cunoscută și ca Snake, Secret Blizzard sau Waterbug, este asociată cu serviciul rus FSB.