Serverul de e-mail al unei instituții guvernamentale din România era compromis. Programul viza mesaje către sau de la NATO și UE

Analiza descrie cum programul putea selecta și salva mesaje pe server, pentru ca atacatorii să le preia ulterior. Nu stabilește câte mesaje au fost copiate în cazul din România sau dacă vreunul a fost scos din rețeaua instituției. Accesul neautorizat la server este constatarea cercetătorilor; pierderea unui anumit număr de documente nu este stabilită.

ESET atribuie programul grupării Turla cu încredere ridicată. Compania consideră că gruparea are legături cu serviciul rus de securitate FSB, dar atribuirea este evaluarea cercetătorilor, nu concluzia anunțată de o autoritate română.

Ce mesaje putea selecta programul

În cazul românesc, programul numit CerealBox era configurat să caute e-mailuri trimise către sau primite de la adresele instituționale nato.int și europa.eu. Se afla pe un server Microsoft Exchange, sistem folosit pentru corespondența electronică a organizației afectate. Această configurație arată ce căutau atacatorii, nu ce informații au obținut efectiv.

Programul putea verifica cine trimitea și cine primea un mesaj, subiectul acestuia și numele fișierelor atașate. Printre fișierele urmărite se aflau documentele Word și PDF. Mesajele alese puteau fi strânse într-un fișier, codate astfel încât să nu poată fi citite direct și păstrate pe server până la preluarea lor.

Raportul descrie și comenzile prin care operatorii puteau scoate acele fișiere din rețea și apoi le puteau șterge. Nu publică însă un număr de mesaje preluate sau dovada că un mesaj din instituția română a ajuns la atacatori.

De când era compromis serverul din România

Data de 23 decembrie 2025 marchează momentul de la care ESET poate spune că organizația română era deja compromisă. Nu este stabilită ca zi a pătrunderii în sistem. Cercetătorii nu au putut afla cum au obținut atacatorii primul acces; folosirea unei slăbiciuni a serverului rămâne o posibilitate, nu o metodă demonstrată în acest caz.

Instrumentarul fusese detectat anterior, pe 28 noiembrie 2025, la o organizație guvernamentală din Kazahstan. În cazul românesc, activitatea atacatorilor a crescut din 20 ianuarie 2026, potrivit raportului tehnic. ESET a făcut publică analiza celor două cazuri pe 10 noiembrie 2026.

Cercetătorii nu au identificat un server extern folosit pentru a conduce operațiunea. Ei arată că atacatorii puteau trimite comenzi prin serverul de e-mail compromis. Nici adresele de internet de la care operatorii au intrat pentru a folosi programul nu au fost identificate în analiză.

Ce este cunoscut despre instituția afectată

ESET descrie victima din România drept o organizație guvernamentală națională, fără să îi dea numele. Până la publicarea analizei, în informațiile despre acest caz nu apărea o confirmare a incidentului din partea instituției vizate sau a autorităților române responsabile de securitatea cibernetică.

Nu era anunțată public nici o anchetă românească privind amploarea incidentului și nici o dată la care ar urma să fie comunicate rezultate. Analiza ESET rămâne prezentarea directă a cazului din România.