După ce SRI a confirmat că spionii cibernetici ai Rusiei au vizat corespondența unei instituții guvernamentale din România cu NATO și Uniunea Europeană, experții companiei de securitate cibernetică ESET, care au documentat operațiunea, spun că nu pot exclude posibilitatea ca unele informații să fi fost sustrase. Mai mult, au observat activitatea hackerilor ruși inclusiv în ianuarie, după identificarea atacului în decembrie. Într-un interviu exclusiv pentru Antena 3 CNN, Robert Lipovský, cercetător principal al ESET, a explicat modul în care acționează gruparea „Turla”, asociată serviciului secret rus FSB, și avertizează că „România este vizată în mod repetat de operațiuni de spionaj cibernetic”.
Daria Gheorghe, reporter Antena 3 CNN: Ne puteți explica, pe înțelesul tuturor, cum a reușit gruparea Turla, asociată Rusiei, să compromită o instituție guvernamentală din România? Ce vulnerabilități au exploatat atacatorii și ce face această operațiune deosebit de periculoasă?
Robert Lipovský, cercetător principal al ESET: Da. În ceea ce privește accesul inițial, adică modul exact în care au pătruns în sistem, nu avem dovezi în acest sens. Știm că au reușit să compromită un server Microsoft Exchange. Aceste servere de e-mail sunt, evident, accesibile de pe internet.
Prin urmare, exploatarea unei vulnerabilități la nivelul serverului este o posibilitate. Este un scenariu pe care îl întâlnim uneori, chiar frecvent, în atacuri asemănătoare. Dar, pentru acest caz concret, nu avem dovezi care să îl confirme. Un alt scenariu pe care l-am observat în alte situații presupune e-mailuri de tip spear-phishing, adică mesaje de înșelătorie țintite. Și aceasta ar fi o posibilitate, însă în cazul de față nu știm exact cum au obținut atacatorii accesul inițial.
Daria Gheorghe: Investigația dumneavoastră arată că programul malițios viza în mod special e-mailurile din corespondența cu instituții NATO și UE. Ce fel de informații sensibile ar fi putut fi expuse?
Robert Lipovský: Da. În primul rând, trebuie să spun că instrumentele malițioase pe care le-am identificat și pe care le atribuim grupării APT Turla, asociată serviciului rus FSB, sunt sofisticate. Acesta este unul dintre aspectele care ies în evidență: Turla este una dintre cele mai sofisticate grupări APT existente, iar acest lucru se vede clar în instrumentele folosite atât în această operațiune, cât și în alte campanii pe care le desfășoară frecvent. În acest caz au folosit un nou ansamblu de instrumente malițioase, pe care l-am detectat pentru prima dată în această campanie și pe care nu îl mai observaserăm anterior. Acesta a fost conceput special pentru extragerea e-mailurilor de pe serverele Exchange. Mai exact, programul căuta în acele mesaje anumiți destinatari sau anumite destinații către care erau trimise e-mailurile și, mai precis, îi interesa corespondența cu organizații din cadrul NATO sau al Uniunii Europene, ceea ce se înscrie, de altfel, în interesele Rusiei de culegere de informații.
Daria Gheorghe: Serviciul Român de Informații a confirmat că a identificat atacul în decembrie 2025 și că l-a oprit. Totuși, ESET a observat că atacatorii erau încă activi la sfârșitul lunii ianuarie 2026. Cum explicați această cronologie? Și este posibil ca ei să fi fost în sistemele instituției săptămâni sau chiar luni înainte să fie descoperiți?
Robert Lipovský: Da. Poate voi începe cu ultima parte a întrebării. De fapt, acesta este scenariul tipic. Grupările APT de acest tip, precum Turla, care este foarte sofisticată, rămân de regulă mult timp în interiorul unor organizații de mare interes, colectând informații sensibile și altele asemenea, până când sunt detectate. În acest caz am observat prezența programului malițios în decembrie. Am mai observat apoi o anumită activitate, mai târziu, în ianuarie. Acestea sunt lucrurile pe care le-am putut vedea în datele noastre de telemetrie.
În privința detaliilor exacte și a cronologiei evenimentelor din intervalul respectiv, nu pot spune mai multe în acest moment, pentru că eliminarea completă a unei astfel de operațiuni necesită, desigur, timp. În plus, ceea ce observăm de obicei în cazuri asemănătoare este că, de exemplu, după ce atacatorii sunt eliminați și mediul informatic este curățat, ei pot încerca să pătrundă din nou în organizația respectivă. Așadar, în acest caz, aș lăsa Serviciul Român de Informații să ofere clarificările privind cronologia, pentru că el s-a ocupat de răspunsul la incident. Și trebuie să mai spun că autoritățile au reacționat foarte repede la acest incident și au fost de mare ajutor pentru limitarea și remedierea lui.
Daria Gheorghe: Serviciul Român de Informații afirmă că nu au fost identificate sustrageri de date sensibile. A găsit ESET dovezi că e-mailuri sau documente atașate au fost interceptate, copiate ori pregătite pentru a fi extrase? Puteți exclude posibilitatea ca unele informații, chiar și o cantitate foarte mică, să fi fost furate?
Robert Lipovský: Deci, nu am observat dovezi că informații sensibile au fost efectiv extrase din sistem. În același timp, nici nu putem exclude această posibilitate. Ceea ce am observat și putem afirma cu certitudine este că programul malițios detectat acolo avea capacitatea de a face acest lucru. Nu dispunem de datele, de telemetria necesară pentru a stabili ce informații sensibile au fost sau nu au fost efectiv extrase. Așa cum am spus, această situație trebuie tratată cu foarte multă prudență, deoarece gruparea este cunoscută pentru capacitățile sale foarte avansate în acest tip de operațiuni. Dar, repet, nu avem dovezi pe baza cărora să spunem exact ce informații au fost sau nu au fost extrase.
Daria Gheorghe: Din câte știu, ESET a documentat și operațiuni rusești de spionaj cibernetic care au vizat companii românești din industria de apărare, inclusiv producători care ar putea furniza armament Ucrainei. Ce urmăreau atacatorii să obțină? Există dovezi că au reușit să acceseze informații sensibile?
Robert Lipovský: Din punct de vedere tehnic, acest caz este aparte, așa cum am explicat. Turla este una dintre grupările APT de prim rang, mult mai avansată decât multe dintre celelalte grupări APT pe care le monitorizăm. Totuși, dacă privim lucrurile în ansamblu, acest caz este doar unul dintre numeroasele atacuri pe care le vedem împotriva României, vizată în mod special de grupări APT asociate Rusiei. Este un fenomen pe care l-am constatat în repetate rânduri și în trecut, nu doar în România, ci și în alte țări europene. Toate acestea se înscriu în situația geopolitică actuală.
Daria Gheorghe: Recent, serviciile românești de informații au atribuit un incendiu produs în apropierea fabricii de armament Carfil din Brașov unei rețele de sabotaj coordonate din Rusia. Ați identificat dovezi care să lege operațiunile rusești de spionaj cibernetic de acțiunile de sabotaj fizic împotriva industriei românești de apărare? Ar putea fi folosit spionajul cibernetic pentru pregătirea unor astfel de atacuri?
Robert Lipovský: Pentru acest caz concret, nu avem indicii care să lege incidentele respective, sau acel incident, de vreo activitate cibernetică. În general, este destul de dificil să stabilești asemenea legături. Am văzut astfel de situații în mai multe rânduri, în special în Ucraina, unde anumite organizații au fost ținta unor atacuri cibernetice și, în același timp, asupra acelor categorii de organizații au avut loc lovituri fizice, militare. Dar, repet, vorbesc la modul general. Pentru cazul de față nu avem indicii care să lege această acțiune de sabotaj fizic de o activitate cibernetică.
Daria Gheorghe: Privind aceste operațiuni în ansamblu, care este cel mai mare risc pentru securitatea națională a României? Și ce ar trebui să facă autoritățile române pentru a preveni atacuri similare?
Robert Lipovský: Răspunsul trebuie privit pe mai multe niveluri. Când vorbim despre ținte importante, instituții guvernamentale sau infrastructuri critice, este necesar să existe personal calificat care să se ocupe de apărarea cibernetică. Și, așa cum am spus, chiar trebuie să îi felicit pe specialiștii români care au gestionat acest incident și au intervenit pentru remedierea lui. În cazul multor alte organizații, aș spune mult mai mici, constatăm adesea că acestea nu dispun de o asemenea capacitate. Este o slăbiciune exploatată frecvent de diferiți adversari și atacatori. De exemplu, există situații în care anumite sisteme permit accesul fără autentificare sau sunt insuficient securizate. Sunt lucruri pe care le observăm constant, vorbind la modul general.
Prin urmare, totul depinde de tipul organizației și de nivelul său de maturitate în materie de securitate. Însă un lucru este sigur: amenințările hibride există și sunt foarte frecvente în prezent. De aceea, este esențial să fie urmărite, să fie utilizate informațiile despre amenințări cibernetice și să existe o bună înțelegere a acestor activități. Până la urmă, tocmai de aceea discutăm despre ele: pentru a crește gradul de conștientizare a amenințărilor și capacitatea de a răspunde la ele.
România a fost, la finalul anului 2025, ținta unui atac cibernetic, care a fost atribuit unei grupări aliniată cu Moscova. Cercetătorii de la ESET au descoperit un nou set de instrumente, pe care l-au numit „Cereal”, care include un modul inovator de colectare a e-mailurilor Exchange, un mecanism unic de comandă și control (C&C) și trucuri sofisticate de execuție .NET.
Astfel, ESET a identificat două victime: o organizație guvernamentală din Kazahstan și o organizație guvernamentală din România, unde „Cereal” a fost configurat să identifice și să colecteze e-mailurile trimise către sau primite de la NATO și UE. ESET Research atribuie „Cereal”, cu un nivel ridicat de încredere, grupului APT Turla, aliniat cu Rusia.
Ulterior, Serviciul Român de Informaţii (SRI) a confirmat, miercuri, că a identificat un atac cibernetic efectuat în decembrie 2025 de către „actorul cibernetic rus APT TURLA” și a implementat măsuri de contracarare a acestui atac şi de remediere a efectelor sale.
„Atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft, însă în urma intervenției Centrului Național Cyberint atacul a fost oprit. Nu au fost identificate exfiltrări de date sensibile, serviciul de e-mail afectat fiind remediat”, se arată într-un comunicat SRI.
