România, ținta unei operațiuni masive de spionaj rusesc: Hackerii asociați FSB au vizat e-mailuri legate de NATO și UE

O operațiune de spionaj cibernetic atribuită unei grupări asociate Serviciului Federal de Securitate al Rusiei (FSB) a vizat o instituție guvernamentală din România.

Atacatorii ar fi pătruns în sistemul informatic în decembrie 2025, folosind un instrument specializat în interceptarea mesajelor electronice, inclusiv a celor care implicau adrese instituționale ale NATO și Uniunii Europene.

Descoperirea aparține cercetătorilor companiei de securitate informatică ESET, care au identificat o nouă platformă de spionaj digital utilizată de gruparea Turla, cunoscută și sub denumirile Snake, Secret Blizzard și Waterbug.

Citește și: Negocierile de pace la Abu Dhabi: Europa se teme de un acord Trump-Putin care ar putea afecta și România. Zelenski avertizează asupra unui „Yalta 2.0”

Potrivit investigației, două organizații guvernamentale au fost compromise în cadrul campaniei. Primul incident a fost identificat în Kazahstan, la 28 noiembrie 2025, iar cel de-al doilea în România, unde compromiterea ar fi avut loc la 23 decembrie 2025.

În cazul instituției românești, cercetătorii au constatat că programul malițios fusese configurat pentru a identifica și colecta mesaje electronice asociate NATO și UE.

Această particularitate indică interesul atacatorilor pentru corespondența instituțională cu potențială relevanță diplomatică sau strategică.

Citește și: SUA și Europa stabilesc condițiile pentru pacea în Ucraina. NATO rămâne esențial pentru securitatea regiunii

Cum funcționa programul de spionaj instalat pe serverele guvernamentale

Instrumentul utilizat de atacatori, denumit Cereal, a fost dezvoltat pentru a compromite servere Microsoft Exchange, platformă folosită de numeroase instituții și companii pentru administrarea corespondenței electronice.

Spre deosebire de programele malițioase care blochează sistemele sau provoacă întreruperea serviciilor, Cereal urmărește colectarea discretă a informațiilor.

Platforma include mai multe componente specializate, capabile să execute comenzi în memoria serverului, să utilizeze comunicații criptate și să reducă urmele lăsate pe sistemele compromise.

Una dintre particularitățile identificate de ESET este folosirea infrastructurii victimei pentru controlul operațiunii. În loc să depindă exclusiv de servere externe, atacatorii puteau utiliza chiar sistemul compromis pentru transmiterea și executarea instrucțiunilor.

Această metodă îngreunează identificarea activităților suspecte, deoarece o parte dintre operațiuni se desfășoară prin procese și servicii care funcționează în mod obișnuit pe server.

Componenta responsabilă de colectarea corespondenței, CerealBox, monitoriza mesajele procesate de Microsoft Exchange.

Programul intervenea în procesul legitim EdgeTransport.exe, utilizat pentru transferul e-mailurilor, și analiza mesajele pe baza unor criterii stabilite de operatorii atacului.

Printre acestea se numărau adresele expeditorilor și destinatarilor, subiectele mesajelor și denumirile fișierelor atașate.

Cercetătorii au observat că instrumentul putea selecta inclusiv corespondența care conținea documente în formatele DOC, DOCX și PDF.

Mesajele considerate relevante erau comprimate, criptate și păstrate temporar pentru recuperarea ulterioară de către atacatori.

În același timp, e-mailurile continuau să ajungă la destinatari, astfel încât utilizatorii nu observau neapărat că mesajele lor erau interceptate.

Cereal includea și o componentă denumită CerealNeuron, care oferea atacatorilor acces clandestin la server prin solicitări web concepute să semene cu traficul obișnuit al serviciilor Microsoft Exchange.

Aceasta putea executa instrucțiuni criptate, inclusiv pentru colectarea mesajelor, obținerea informațiilor despre utilizatori și grupuri din Active Directory sau accesarea unor date de autentificare stocate local.

O altă componentă, CerealHermit, permitea executarea comenzilor prin intermediul unor fișiere criptate aflate pe server, fără a necesita o conexiune de rețea pentru primirea instrucțiunilor.

Potrivit ESET, combinația dintre aceste mecanisme și tehnicile de ascundere a codului malițios indică o platformă concepută pentru operațiuni de spionaj de durată.

De ce au fost vizate mesajele României legate de NATO și UE

Turla este o grupare de spionaj cibernetic activă de peste două decenii, asociată de cercetătorii în securitate informatică cu serviciile de informații ale Rusiei.

De-a lungul timpului, gruparea a vizat instituții guvernamentale, organizații militare, reprezentanțe diplomatice și alte entități care gestionează informații strategice.

Potrivit datelor ESET, aproximativ 70% dintre statele vizate de Turla începând din 2022 sunt foste republici sovietice sau țări europene care au avut legături politice strânse cu Uniunea Sovietică.

În cazul României, elementul care a atras atenția cercetătorilor a fost configurarea instrumentului CerealBox pentru colectarea corespondenței asociate instituțiilor NATO și UE.

„Cazul din România este notabil deoarece o componentă, CerealBox, a fost configurată să colecteze mesaje care implică adrese instituționale ale NATO și UE”, se arată în analiza ESET.

Autorii studiului consideră că această selecție corespunde intereselor de informații atribuite de mult timp serviciilor ruse.

Cercetătorii menționează și contextul de securitate din regiunea Mării Negre, unde România s-a confruntat cu incidente provocate de drone rusești în apropierea frontierelor sau pe teritoriul național.

„Această orientare corespunde unor priorități de lungă durată ale serviciilor de informații ruse”, precizează ESET, care indică și posibilitatea unei legături între operațiunea cibernetică și tensiunile regionale.

Datele prezentate indică însă că sistemul vizat a fost compromis și că instrumentul instalat avea capacitatea de a selecta și colecta corespondența electronică relevantă pentru atacatori.

Spre deosebire de atacurile informatice care urmăresc blocarea activității unei instituții, această operațiune a fost concepută pentru a permite accesul discret la informații, în timp ce serviciile de e-mail continuau să funcționeze aparent normal.