Un sistem de e-mail al statului român a fost compromis. Programul instalat căuta mesaje schimbate cu adrese NATO și UE

Un sistem de e-mail al unei instituții a statului român a fost accesat fără drept cel puțin din 23 decembrie 2025. În sistem a fost instalat un program care căuta mesaje trimise către sau primite de la adrese ale NATO și Uniunii Europene, potrivit analizei publicate la 10 noiembrie 2026 de firma de securitate informatică ESET.

Ținta era corespondența aflată pe serverul instituției românești, nu sistemele NATO sau ale UE. Cercetătorii nu au stabilit public dacă mesaje din România au fost scoase din rețea. Analiza nu numește instituția afectată.

Ce mesaje căuta programul din sistemul românesc

Programul, numit Cereal, funcționa în Microsoft Exchange, sistemul folosit de instituție pentru e-mail. Una dintre componentele sale, CerealBox, era pregătită să găsească mesaje schimbate cu adrese care se termină în nato.int și europa.eu. Lista cuprindea și un număr mic de persoane care par să lucreze în activități guvernamentale legate de NATO și UE, arată ESET.

Programul nu păstra orice mesaj. Căuta e-mailuri cu documente atașate în formatele .doc, .docx sau .pdf, apoi le compara cu liste de expeditori, destinatari, cuvinte din subiect și nume de fișiere. Mesajele care îndeplineau condițiile puteau fi adunate, încuiate digital și puse în fișiere pentru o preluare ulterioară.

Raportul descrie și comenzi prin care cei care controlau programul puteau citi și șterge acele fișiere. Această posibilitate nu arată, de una singură, că mesajele au fost preluate. ESET nu a publicat un bilanț al mesajelor selectate sau trimise în afara sistemului românesc.

Când a început atacul și cum putea fi urmărit

Data de 23 decembrie 2025 este cel mai timpuriu moment de la care ESET a stabilit că instituția românească era compromisă. Activitatea atacatorilor în acest caz a crescut la 20 ianuarie 2026. Cercetătorii găsiseră același set de instrumente la o organizație guvernamentală din Kazahstan la 28 noiembrie 2025.

ESET nu a observat un server extern folosit pentru a trimite comenzi programului și nu a putut identifica adresele de internet de la care intrau operatorii. Faptul că mesajele puteau fi pregătite pentru preluare chiar pe serverul instituției nu dovedește că transferul lor în afara rețelei a avut loc.

De ce cercetătorii indică gruparea Turla

ESET atribuie operațiunea cu un grad ridicat de încredere grupării Turla. Cercetătorii invocă folosirea, în același timp, a unei componente atribuite anterior grupării și asemănarea cu un program asociat Turla într-un raport britanic din 2017. Aceasta este o atribuire făcută pe baza urmelor tehnice, nu identificarea publică a persoanelor care au folosit programul în România.

Turla, cunoscută și sub numele Snake, este considerată pe scară largă parte a serviciului rus de securitate FSB, potrivit ESET. Raportul nu stabilește cine anume a intrat în sistemul românesc. Cercetătorii nu au putut determina nici cum a fost obținut primul acces; folosirea unei probleme de securitate a serverului este prezentată doar ca posibilitate.