Cercetătorii ESET au identificat o nouă operațiune de spionaj cibernetic atribuită grupării Turla (asociată cu FSB rus), care a vizat instituții guvernamentale din România și Kazahstan la sfârșitul anului 2025. Instrumentul software sofisticat, denumit „Cereal”, a fost conceput special pentru a compromite serverele Microsoft Exchange și pentru a monitoriza discret fluxul de e-mailuri, fără a perturba serviciul.
Serviciul Român de Informații (SRI) a confirmat miercuri, 11 noiembrie 2026, atacul cibernetic lansat de gruparea TurlA asupra unei instituții guvernamentale din România, care colabora cu NATO și UE. Centrul Național Cyberint (CNC) al SRI a identificat incidentul în decembrie 2025 și a aplicat măsuri de contracarare. Potrivit comunicatului SRI, atacul a fost oprit, serviciul de e-mail afectat a fost remediat, iar nu au fost identificate exfiltrări de date sensibile. Autoritățile au informat beneficiarii legali ai instituției vizate și au cooperat cu partenerii europeni din comunitatea de intelligence, precum și cu structurile UE și NATO. SRI a confirmat miercuri, 11 noiembrie 2026, că o instituție guvernamentală din România a fost vizată de un atac cibernetic atribuit grupării ruse de spionaj APT Turla. Centrul Național Cyberint a identificat incidentul în decembrie 2025 și a implementat măsuri eficiente de contracarare. „Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat”, a transmis SRI. SRI a informat beneficiarii legali ai instituției vizate și a colaborat cu partenerii europeni din comunitatea de intelligence, precum și cu structurile UE și NATO privind incidentul.
Atacatorii au folosit un instrument informatic sofisticat, numit „Cereal”, care includea module capabile să se infiltreze în procesele de mesaj ale serverelor Microsoft Exchange. Malware-ul filtra și colecta selectiv corespondența legată de NATO și UE, comprimând și criptând datele pentru recuperare ulterioară, în timp ce mesajele legitime își continuau traseul normal. Componenta CerealBox era configurată specific pentru a identifica e-mailurile trimise sau primite de la adrese instituționale NATO și UE. Programul căuta și mesajele cu atașamente în formatele DOC, DOCX și PDF, sau care îndeplineau anumite criterii hardcodate legate de expeditor, destinatar sau subiect.
O caracteristică distinctivă a acestei campanii este absența unei infrastructuri externe de comandă și control (C&C). Hackerii au transformat serverul Microsoft Exchange compromis într-un punct propriu de comandă, executând comenzi direct în memoria serverului și utilizând tehnici avansate de criptare pentru a rămâne nedetectați.
ESET a detectat inițial instrumentarul Cereal la o organizație guvernamentală din Kazahstan la 28 noiembrie 2025. Un mois mai târziu, la 23 decembrie 2025, aceeași infrastructură a fost identificată la o instituție guvernamentală din România. ESET a descoperit instrumentarul informatic Cereal mai întâi la o instituție guvernamentală din Kazahstan, în noiembrie 2025, iar ulterior a identificat aceeași infrastructură de spionaj la o organizație guvernamentală din România. Potrivit cercetătorilor, sistemul românesc era compromis cel târziu la 23 decembrie 2025. SRI confirmă atacul și intervenția pentru oprirea acestuia, dar nu identifică public instituția afectată și nici nu oferă detalii despre numărul mesajelor vizate.
Gruparea APT Turla, cunoscută și sub numele de Snake, este activă de cel puțin două decenii (din 2004) și este considerată larg parte a Serviciului Federal de Securitate al Rusiei (FSB). Țintele sale includ în principal guverne, misiuni diplomatice și organizații de apărare din Europa, Asia Centrală și Orientul Mijlociu. Activitatea de spionaj cibernetic persistentă a Turla reflectă prioritățile Rusiei în contextul tensiunilor regionale, România făcând parte din NATO și UE. ESET estimează că aproximativ 70% dintre țările vizate de Turla începând cu 2022 au fost parte a fostei Uniuni Sovietice sau aliniate cu URSS. Serviciul Român de Informații a menționat că la nivelul Centrului Național Cyberint sunt întreprinse în mod recurent investigații specitive privind atacurile derulate de Federația Rusă la adresa instituțiilor din România. CNC are în derulare măsuri investigative complexe care vizează și alte secvențe și campanii cibernetice atribuite Federației Ruse. „SRI/Centrul Național Cyberint va continua să acționeze constant pentru identificarea și investigarea oricăror noi tentative de compromitere a instituțiilor din plan național”, se arată în comunicatul SRI. Legătura dintre gruparea APT Turla și serviciile de informații ruse a fost menționată și la nivel european. În iulie 2026, Uniunea Europeană a denunțat activitățile cibernetice ostile ale Rusiei și a indicat că Turla se află printre grupările controlate de Centrul 16 al Serviciului Federal de Securitate (FSB). La rândul său, Ministerul Afacerilor Externe a transmis atunci că România a fost vizată de activități cibernetice ostile ale grupării APT Turla, în cadrul campaniei hibride desfășurate de Federația Rusă împotriva statelor membre UE și NATO.