SRI a confirmat oficial că o instituție guvernamentală din România a fost victima unui atac cibernetic atribuit grupării ruse APT Turla, hackerii reușind să compromită un server de e-mail și să urmărească mesajele schimbate cu NATO și Uniunea Europeană. Serviciul Român de Informații a anunțat miercuri, 11 noiembrie 2026, că atacul a fost identificat încă din decembrie 2025, iar specialiștii Centrului Național Cyberint au intervenit pentru oprirea activităților desfășurate de atacatori.
Potrivit explicațiilor oferite de SRI, hackerii au exploatat o serie de vulnerabilități sistemice ale sistemelor de operare Microsoft, care le-au permis să compromită infrastructura informatică a instituției vizate. Intervenția Centrului Național Cyberint a dus la oprirea atacului și remedierea serviciului de e-mail afectat, fără ca autoritățile să dezvăluie identitatea organizației guvernamentale implicate.
Un aspect important subliniat de SRI este că investigațiile nu au identificat exfiltrări de date sensibile, deși atacatorii instalaseră un program capabil să selecteze și să pregătească mesaje pentru extragere. Această precizare face diferența dintre compromiterea unui sistem informatic și confirmarea furtului efectiv de informații, mai ales într-un incident care implică schimburile de mesaje cu organizații internaționale.
SRI confirmă compromiterea unei instituții din România de către hackerii ruși
Atacul a fost documentat de cercetătorii companiei de securitate cibernetică ESET, care au publicat pe 10 noiembrie 2026 o analiză despre operațiunile desfășurate de gruparea APT Turla. Conform informațiilor prezentate, serverul de e-mail Microsoft Exchange al instituției românești era compromis cel puțin din 23 decembrie 2025, iar activitatea hackerilor s-a intensificat pe 20 ianuarie 2026.
Cercetătorii au identificat un program malițios denumit CerealBox, conceput pentru a căuta mesaje transmise către sau primite de la adrese oficiale aparținând NATO și Uniunii Europene. Programul urmărea în special corespondența asociată domeniilor nato.int și europa.eu, dar și mesajele unor persoane aparent implicate în activități guvernamentale legate de aceste organizații.
SRI nu a dezvăluit ce instituție guvernamentală a fost compromisă, însă informațiile publicate de ESET arată că hackerii urmăreau corespondența instituțională și documentele care puteau conține date relevante. Instrumentul instalat pe server putea identifica atașamente în formatele DOC, DOCX și PDF, folosind criterii precum expeditorul, destinatarul, subiectul mesajului și numele fișierelor.
SRI explică intervenția care a oprit atacul asupra serverului Microsoft
Programul CerealBox nu se limita la identificarea mesajelor, deoarece avea și capacitatea de a comprima și cripta informațiile selectate, pregătindu-le pentru o eventuală extragere ulterioară. Cercetătorii ESET au descris inclusiv existența unor comenzi care permiteau operatorilor să citească și să șteargă fișierele pregătite, fără să poată demonstra că acestea au fost efectiv transferate în afara sistemului.
În comunicatul oficial, SRI precizează că specialiștii Centrului Național Cyberint au identificat incidentul în decembrie 2025 și au implementat măsuri pentru contracararea atacului și remedierea efectelor sale. Instituția confirmă că serviciul de e-mail afectat a fost remediat și că nu au fost descoperite transferuri neautorizate de informații sensibile în cadrul investigațiilor efectuate.
Există însă o diferență între informațiile prezentate de autoritățile române și concluziile tehnice ale cercetătorilor ESET în privința modului în care atacatorii au pătruns în sistem. Deși SRI vorbește despre exploatarea vulnerabilităților Microsoft, cercetătorii companiei de securitate nu au putut identifica metoda exactă de acces inițial și nici adresele IP folosite de operatorii atacului.
NATO și Uniunea Europeană informate despre incidentul de securitate
SRI a transmis că beneficiarii legali au fost informați despre incident, iar informațiile relevante au făcut obiectul cooperării cu partenerii europeni din comunitatea de informații. Discuțiile au inclus și partenerii de la nivelul Uniunii Europene și NATO, în contextul în care atacatorii urmăreau tocmai corespondența instituției românești cu aceste organizații.
Este important de precizat că analiza ESET descrie compromiterea serverului unei instituții din România, nu pătrunderea hackerilor în sistemele informatice administrate de NATO sau Uniunea Europeană. Cu toate acestea, posibilitatea identificării și pregătirii pentru extragere a unor mesaje instituționale arată de ce asemenea atacuri sunt relevante pentru securitatea comunicațiilor guvernamentale.
SRI subliniază că investigațiile continuă și vizează inclusiv alte activități asociate campaniilor cibernetice desfășurate de Federația Rusă împotriva infrastructurilor informatice. Centrul Național Cyberint desfășoară măsuri investigative complexe, autoritățile încercând să identifice eventuale legături între incidentul descoperit și alte operațiuni atribuite hackerilor ruși.
SRI investighează și alte operațiuni cibernetice asociate Rusiei
Gruparea APT Turla, cunoscută și sub denumirea Snake, este considerată de cercetătorii ESET ca fiind asociată cu serviciile ruse de informații, în special cu FSB. Compania atribuie atacul acestei grupări cu un grad ridicat de încredere, pe baza asemănărilor dintre programele malițioase identificate și instrumentele documentate anterior în operațiuni similare.
România nu reprezintă singurul caz identificat în această analiză, deoarece cercetătorii au descoperit același set de instrumente la o organizație guvernamentală din Kazahstan, în noiembrie 2025. ESET nu a putut determina cu exactitate cum au obținut atacatorii accesul inițial în cele două organizații, iar informațiile disponibile nu identifică persoanele care au operat programul malițios.
Prin Centrul Național Cyberint, SRI anunță că va continua identificarea și investigarea tentativelor de compromitere a instituțiilor naționale, inclusiv a celor asociate campaniilor informatice rusești. Măsurile vizează atât investigarea incidentului deja descoperit, cât și alte activități care ar putea avea legătură cu operațiunile atribuite Federației Ruse.
Incidentul confirmat de SRI evidențiază riscurile la care sunt expuse sistemele informatice guvernamentale, în special atunci când acestea gestionează corespondența cu organizații internaționale precum NATO și Uniunea Europeană. Deși autoritățile române au reușit să oprească atacul și nu au identificat sustrageri de date sensibile, investigațiile continuă pentru clarificarea activităților desfășurate de hackerii ruși și identificarea altor tentative de compromitere.
