Hackeri afiliați FSB au spionat o instituție guvernamentală din România. Ce e-mailuri urmăreau să intercepteze

O instituție guvernamentală din România a fost ținta unei operațiuni de spionaj cibernetic atribuite grupării ruse APT Turla, despre care specialiștii în securitate informatică spun că are legături cu Serviciul Federal de Securitate al Rusiei (FSB). Atacul, identificat în decembrie 2025 de Serviciul Român de Informații (SRI), urmărea monitorizarea corespondenței oficialilor români cu instituții precum NATO și Uniunea Europeană.

Potrivit unei analize publicate de compania de securitate ESET pe 10 noiembrie 2026, atacatorii au folosit o componentă malițioasă numită CerealBox, concepută pentru a căuta anumite mesaje și atașamente din sistemul de e-mail compromis. Informațiile selectate urmau să fie criptate și pregătite pentru extragerea de la distanță. SRI susține însă că intervenția Centrului Național Cyberint a oprit atacul și că nu au fost identificate exfiltrări de date sensibile.

Cum a încercat gruparea rusă să monitorizeze corespondența oficialilor români

Analiza ESET descrie o operațiune în care atacatorii au instalat CerealBox, o componentă malițioasă folosită pentru supravegherea corespondenței electronice. Programul căuta în mod specific mesaje schimbate cu adrese instituționale asociate NATO și Uniunii Europene.

Filtrarea se baza pe anumite cuvinte-cheie și pe identificarea mesajelor care conțineau atașamente în formate uzuale. Datele selectate urmau să fie criptate și pregătite pentru a fi transferate către atacatori. Mecanismul indica un interes precis pentru comunicațiile instituționale ale României cu partenerii săi internaționali, nu doar pentru accesul general la sistemul informatic.

Operațiunea a fost atribuită grupării APT Turla, cunoscută și sub numele Snake sau Uroburos. ESET o asociază cu FSB și o descrie ca pe un actor cibernetic activ de mai mulți ani, care vizează în special instituții guvernamentale, misiuni diplomatice și organizații din domeniul apărării.

Ce spune SRI despre atacul informatic și datele compromise

Serviciul Român de Informații a confirmat că Centrul Național Cyberint a identificat atacul în decembrie 2025. Potrivit instituției, atacatorii au exploatat mai multe vulnerabilități la nivelul sistemelor de operare Microsoft pentru a compromite infrastructura vizată.

SRI afirmă că a intervenit pentru contracararea operațiunii și remedierea efectelor. În comunicatul instituției se precizează că atacul a fost oprit, serviciul de e-mail afectat a fost remediat și nu au fost identificate exfiltrări de date sensibile.

Vezi și:

Rusia pregătește o schimbare pentru toate telefoanele noi. Ce legătură are FSB, fostul KGB, cu această măsură

România a cumpărat un program folosit pentru extragerea datelor din telefoane. Proprietarii ruși ai companiei și legătura cu FSB, în centrul unui dosar în SUA

Instituția a mai transmis că beneficiarii legali au fost informați, iar incidentul a făcut obiectul cooperării cu parteneri europeni și cu reprezentanți ai comunității de informații, inclusiv la nivelul Uniunii Europene și NATO.

Centrul Național Cyberint continuă investigațiile, inclusiv asupra altor secvențe care ar putea avea legătură cu operațiuni cibernetice atribuite Federației Ruse. SRI spune că va continua să identifice și să investigheze tentativele de compromitere a instituțiilor din România.

Cine este APT Turla și ce instituții vizează

APT Turla este o grupare de spionaj cibernetic activă cel puțin din 2004. Este cunoscută și sub denumirile Snake și Uroburos, iar cercetătorii în securitate informatică o asociază de mult timp cu serviciile ruse de informații. Printre țintele sale se numără instituții guvernamentale, misiuni diplomatice și organizații din domeniul apărării, în special din Europa, Asia Centrală și Orientul Mijlociu.

ESET a identificat anterior un mod de operare asemănător într-o instituție din Kazahstan. Analiza publicată în noiembrie 2026 oferă astfel detalii despre instrumentele folosite și despre interesul grupării pentru comunicațiile oficiale dintre instituțiile statelor vizate și organizațiile internaționale.

Acest tip de operațiune este diferit de atacurile care urmăresc doar blocarea unor servicii online. În cazul APT Turla, obiectivul descris de cercetători este colectarea discretă de informații, prin accesarea și filtrarea corespondenței electronice.

România s-a confruntat și cu alte atacuri atribuite unor grupări pro-ruse

Incidentul investigat de SRI nu este singurul atac informatic cu legături rusești care a vizat România. În mai 2022, gruparea Killnet a revendicat atacuri asupra mai multor site-uri românești, inclusiv cele ale unor aeroporturi. Paginile au devenit temporar inaccesibile, însă funcționarea și siguranța zborurilor nu au fost afectate, potrivit informațiilor publicate atunci.

Atacurile au fost considerate, cel mai probabil, de tip DDoS. Acestea presupun trimiterea unui volum foarte mare de solicitări către servere, cu scopul de a bloca accesul la site-uri sau servicii online. Spre deosebire de operațiunea atribuită grupării Turla, astfel de atacuri nu au ca obiectiv principal interceptarea comunicațiilor.

O altă grupare pro-rusă, NoName057(16), a fost vizată în iulie 2025 de o operațiune internațională împotriva atacurilor DDoS. Potrivit procurorilor germani, aceasta recrutase prin Telegram peste 4.000 de voluntari care își puneau sistemele la dispoziție pentru blocarea serverelor. Printre ținte s-au numărat servicii guvernamentale, bancare, medicale și de telecomunicații din state europene care sprijină Ucraina.

În acest ultim dosar, procurorii nu au stabilit însă o legătură specifică între suspecți și statul rus. Distincția este importantă: existența unei motivații pro-ruse sau revendicarea unui atac în numele unei cauze politice nu demonstrează automat coordonarea directă de către autoritățile de la Moscova.