SRI: atac cibernetic atribuit grupării ruse Turla, asupra unei instituții guvernamentale din România

Serviciul Român de Informații (SRI) a făcut public, miercuri, 11 noiembrie 2026, un atac cibernetic asupra unei instituții guvernamentale din România, produs la finalul lui decembrie 2025 și atribuit actorului rus APT TURLA. Instituția vizată nu a fost numită în informațiile prezentate.

Ce spune SRI

Potrivit comunicatului SRI, atacul a fost identificat în decembrie 2025 de Centrul Național Cyberint, care a aplicat măsuri de contracarare și de remediere a efectelor. Serviciul de e-mail al instituției afectate a fost remediat.

„Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit”, se arată în comunicatul SRI.

SRI a informat beneficiarii legali și a cooperat cu partenerii europeni din comunitatea de intelligence, precum și cu structuri ale UE și NATO. Serviciul spune că derulează investigații complexe, care vizează și alte secvențe legate de campanii cibernetice ale Federației Ruse.

În privința datelor, informațiile transmise sunt contradictorii: într-o variantă, SRI arată că investigațiile nu au identificat exfiltrări de date sensibile, în alta se vorbește despre scurgeri de date sensibile. Clarificarea ar trebui să vină de la SRI.

Constatările companiei ESET

Compania de securitate ESET a publicat un raport în care susține că un program malware instalat pe serverul de e-mail al unei instituții guvernamentale din România căuta corespondență cu adrese instituționale NATO și UE. Cercetătorii spun: „Am găsit același set de instrumente la o instituție guvernamentală din România – compromisă pe 23 decembrie 2025”.

Potrivit ESET, grupul Turla folosește un set de instrumente numit Cereal, în special componenta CerealBox, pentru a intercepta mesaje de pe serverele Microsoft Exchange ale organizațiilor guvernamentale. Programul a fost configurat să colecteze selectiv mesaje cu atașamente de tip .DOC, .DOCX și .PDF, după criterii legate de expeditor, destinatar și subiect.

ESET afirmă că a găsit același set de instrumente mai întâi la un organism guvernamental din Kazahstan și, cu o lună mai târziu, la instituția din România. Compania a publicat pe pagina sa de GitHub o listă extinsă de indicatori de compromitere.

Context

APT TURLA este atribuit Serviciului Federal de Securitate (FSB) al Federației Ruse și este activ cel puțin din 2004. SRI a luat ființă pe 26 martie 1990 și culege informații exclusiv pe teritoriul României.

Cazul vine după incidentul din noaptea de duminică spre luni, 2 noiembrie, când echipamente frigorifice din șase magazine ale aceluiași lanț au urcat brusc la temperaturi foarte mari. Evenimentul a fost raportat DNSC ca posibil atac cibernetic.

Foto: michelbossart / Pixabay. Scris cu AI