SRI: serverul de e-mail al unei instituții guvernamentale, compromis și remediat
Un raport ESET descrie un instrument al grupării Turla care colecta mesaje legate de adrese NATO și UE. SRI spune că atacul a fost oprit și că nu au fost identificate exfiltrări de date sensibile.
Serviciul Român de Informații (SRI), prin Centrul Național Cyberint, a transmis miercuri, 11 noiembrie 2026, un comunicat despre compromiterea serverului de e-mail al unei organizații guvernamentale din România, relatează Digi24. Informația a pornit de la o cercetare a companiei de securitate ESET, publicată marți, 10 noiembrie 2026, care nu numește instituția afectată.
Ce arată raportul ESET
Potrivit ESET, este vorba despre un server Microsoft Exchange, compromis în România începând cu 23 decembrie 2025. Compania spune că aceeași suită de unelte a fost găsită și la o organizație guvernamentală din Kazahstan, pe 28 noiembrie 2025.
O componentă numită CerealBox a fost configurată în cazul României să colecteze mesajele în care apar adrese ale instituțiilor NATO și UE. Un mesaj era selectat dacă avea un atașament .doc, .docx sau .pdf și se potrivea cu liste prestabilite de expeditori, destinatari, subiecte sau nume de fișiere. Mesajele selectate erau comprimate, criptate și stocate pe disc.
Componenta CerealBox este injectată în procesul EdgeTransport.exe al serverului, spune raportul.
Operatorii puteau citi și șterge fișierele selectate. Potrivit ESET, ei folosesc apoi comenzi ale altei componente, CerealNeuron, pentru a le extrage și a le șterge. Digi24 notează însă că ESET nu a arătat că vreunul dintre mesaje a părăsit rețeaua și nici câte mesaje au fost selectate.
ESET atribuie activitatea grupării Turla, cu un grad ridicat de încredere, pe baza folosirii simultane a unei componente asociate acestei grupări și a asemănărilor conceptuale cu programe malware mai vechi ale grupării.
Ce spune SRI
SRI a anunțat, potrivit Digi24, că atacul a fost oprit după intervenția Centrului Național Cyberint, că nu au fost identificate exfiltrări de date sensibile și că serviciul de e-mail afectat a fost remediat.
Potrivit comunicatului, atacatorii au exploatat „o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft”. Raportul ESET, la rândul său, nu descrie modul în care atacatorii au obținut accesul inițial la server.
SRI a informat beneficiarii legali și a transmis cazul partenerilor europeni din comunitatea de informații, precum și structurilor Uniunii Europene și NATO. Centrul are în desfășurare „măsuri investigative complexe care vizează și alte secvențe conexate”, legate de campanii ale Federației Ruse, a transmis serviciul, potrivit Digi24.
