SRI: atacul asupra serverului de e-mail al unei instituții de stat, atribuit grupării Turla, a fost oprit

Serverul de e-mail al unei organizații guvernamentale din România a fost folosit de o grupare de ciberspionaj pentru a căuta mesaje schimbate cu adrese NATO și ale Uniunii Europene, potrivit unei analize publicate pe 10 noiembrie 2026 de compania de securitate cibernetică ESET. Serviciul Român de Informații (SRI) a transmis printr-un comunicat, miercuri, că atacul a fost oprit.

Ce spune SRI

Potrivit SRI, Centrul Național Cyberint a identificat atacul încă din decembrie 2025 și a luat măsuri de contracarare și de remediere a efectelor. Serviciul susține că atacatorii au exploatat mai multe vulnerabilități sistemice din sistemele de operare Microsoft. „În urma intervenției Centrului Național Cyberint atacul a fost oprit”, se arată în comunicat.

SRI mai afirmă că „Nu au fost identificate exfiltrări de date sensibile” și că serviciul de e-mail afectat a fost remediat. Beneficiarii legali ai informațiilor au fost anunțați, iar subiectul a fost discutat cu partenerii europeni din comunitatea de intelligence, precum și cu structurile UE și NATO. Centrul Național Cyberint derulează, potrivit serviciului, investigații complexe privind alte campanii cibernetice ale Federației Ruse.

Ce arată analiza ESET

Cercetătorii ESET susțin că serverul era compromis cel puțin din 23 decembrie 2025, iar activitatea atacatorilor a crescut la 20 ianuarie 2026. „Am găsit același set de instrumente la o instituție guvernamentală din România – compromisă pe 23 decembrie 2025”, scriu ei în raport.

Compania atribuie operațiunea grupării Turla, cu un grad ridicat de încredere. Concluzia se bazează pe o componentă folosită anterior de grup și pe asemănarea cu un program asociat acestuia într-un raport din 2017.

Programul instalat pe server, numit CerealBox, era configurat să identifice mesajele schimbate cu adrese din domeniile nato.int și europa.eu. Căutarea includea mesaje cu atașamente .doc, .docx sau .pdf și se făcea după expeditor, destinatar, subiect și numele fișierului.

Potrivit ESET, mesajele selectate puteau fi comprimate, criptate și pregătite pe server pentru a fi preluate de operatori. Aceștia puteau, de asemenea, să citească și să șteargă fișierele respective.

ESET spune că a găsit același set de instrumente la o organizație guvernamentală din Kazahstan, la 28 noiembrie 2025, înainte de a-l identifica în România.

Context

Turla, cunoscută și drept Snake, Secret Blizzard sau Waterbug, este o grupare de ciberspionaj activă de peste două decenii și legată de Serviciul Federal de Securitate (FSB) al Rusiei. Microsoft Exchange este o platformă folosită pe scară largă de guverne și companii pentru administrarea e-mailurilor.

SRI a fost înființat pe 26 martie 1990 și are ca obiect de activitate culegerea și valorificarea informațiilor exclusiv pe teritoriul României. Serviciul nu a precizat în comunicat numele instituției afectate, iar analiza ESET vorbește despre o organizație guvernamentală din România.

Cazul arată că serverele de e-mail ale instituțiilor publice pot fi ținte pentru campanii de spionaj care vizează schimbul de corespondență cu structurile occidentale. Pentru cititori, concluzia oficială este că atacul a fost oprit, iar serviciul de e-mail afectat a fost remediat.

Foto: Yng_saad / Pixabay