O instituție guvernamentală din România a fost compromisă într-o operațiune de spionaj cibernetic atribuită de ESET grupării Turla, asociată serviciului rus FSB. Instrumentele instalate pe server urmăreau corespondența cu NATO și Uniunea Europeană. SRI confirmă că a identificat atacul și a intervenit, însă răspunsul public nu precizează când a fost descoperită intruziunea și cât timp au avut acces atacatorii.
Investigația ESET, publicată pe 10 noiembrie 2026, plasează compromiterea instituției românești la 23 decembrie 2025. Identitatea acesteia nu a fost făcută publică. Cercetătorii atribuie operațiunea grupării Turla cu un grad ridicat de încredere.
Ce înseamnă „o lună mai târziu”
ESET precizează că a găsit instrumentele malițioase pe serverul unei organizații guvernamentale din Kazahstan la 28 noiembrie 2025. După îmbunătățirea mecanismelor de detecție, compania a descoperit aceleași instrumente într-o instituție din România, aproximativ o lună mai târziu.
Din aceste informații nu rezultă nici când a aflat SRI despre incident sau dacă prima alertă primită de serviciu a venit de la ESET.
SRI confirmă, fără o cronologie publică
SRI a precizat că Centrul Național Cyberint „a identificat acest atac cibernetic” și a aplicat măsuri pentru contracararea lui și remedierea efectelor. Serviciul afirmă că a informat beneficiarii legali și a cooperat cu parteneri europeni, precum și din cadrul UE și NATO.
Răspunsul citat nu indică data identificării, momentul blocării accesului atacatorilor sau sursa primei alerte. Prin urmare, nu permite verificarea timpului de reacție al autorităților române.
Rămâne întrebarea dacă serviciul a descoperit atacul prin propriile capacități sau a fost informat exclusiv de ESET.
Mesaje selectate după expeditor și destinatar
Potrivit relatării Digi24 despre analiza tehnică, componenta CerealBox urmărea mesaje schimbate cu adrese din domeniile nato.int și europa.eu. Programul selecta corespondența după criterii precum expeditorul, destinatarul, subiectul și documentele atașate. Mesajele puteau fi copiate, comprimate și criptate pe server, pentru preluare ulterioară.
Analiza privește compromiterea sistemului instituției românești, nu a infrastructurilor NATO sau UE.
Rămân astfel întrebări esențiale pentru evaluarea incidentului, respectiv când a fost detectat accesul neautorizat, când a fost eliminat și ce informații au fost expuse. Confirmarea intervenției SRI nu oferă, deocamdată, aceste răspunsuri.
