Serviciul Român de Informații (SRI) anunță că a identificat și oprit un atac cibernetic care a vizat compromiterea unei instituții guvernamentale din România, la finalul anului 2025. Atacul a fost atribuit actorului cibernetic rus APT TURLA, iar intervenția Centrului Național Cyberint a permis contracararea acestuia și remedierea efectelor. Potrivit SRI, nu au fost identificate exfiltrări de date sensibile.
APT Turla (cunoscută și sub denumirile Snake, Uroburos, Waterbug, VENOMOUS Bear sau Secret Blizzard) este un grup avansat de amenințare cibernetică (APT) sponsorizat de statul rus și controlat de Centrul 16 al Serviciului Federal de Securitate (FSB) al Rusiei.
Atac cibernetic asupra unei instituții guvernamentale, identificat în decembrie 2025
Într-o informare publicată la 11 noiembrie 2026, Serviciul Român de Informații a oferit precizări referitoare la informațiile apărute în spațiul public privind o tentativă de compromitere a unei instituții guvernamentale din România.
Potrivit SRI, atacul cibernetic a fost identificat în decembrie 2025 de Centrul Național Cyberint, care a intervenit pentru implementarea măsurilor necesare de contracarare și remediere a efectelor.
Instituția precizează că atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft. În urma intervenției specialiștilor Centrului Național Cyberint, atacul a fost oprit.
SRI: Nu au fost exfiltrate date sensibile
Unul dintre cele mai importante aspecte comunicate de Serviciul Român de Informații vizează securitatea datelor instituției afectate.
Conform informațiilor transmise de SRI, nu au fost identificate exfiltrări de date sensibile. De asemenea, serviciul de e-mail afectat în urma incidentului cibernetic a fost remediat.
SRI precizează că beneficiarii legali au fost informați cu privire la acest incident. Aspectele respective au făcut obiectul cooperării cu partenerii europeni din comunitatea de intelligence, precum și cu partenerii de la nivelul Uniunii Europene și NATO.
Investigații în curs privind campaniile cibernetice atribuite Federației Ruse
Centrul Național Cyberint desfășoară în continuare măsuri investigative complexe. Acestea vizează și alte secvențe conexate cu campanii cibernetice implementate de Federația Rusă.
Potrivit SRI, investigațiile urmăresc clarificarea acestor activități cibernetice, în contextul tentativelor de compromitere a instituțiilor din România.
Serviciul Român de Informații transmite că Centrul Național Cyberint va continua acțiunile de identificare și investigare a oricăror noi tentative de compromitere a instituțiilor naționale.
SRI continuă acțiunile de protejare a instituțiilor din România
Prin intervenția Centrului Național Cyberint, atacul cibernetic identificat în decembrie 2025 a fost oprit. Efectele acestuia au fost remediate, iar serviciul de e-mail afectat a fost restabilit.
SRI subliniază că nu au fost identificate exfiltrări de date sensibile și că va continua să acționeze pentru identificarea și investigarea tentativelor de compromitere a instituțiilor din România.
Informațiile au fost comunicate de Serviciul Român de Informații în 11 noiembrie 2026.
O listă cu atacurile în care Turla ar fi implicat:
2008 – Operațiunea Buckshot Yankee: Turla a folosit malware-ul Agent.btz (răspândit prin stick-uri USB infectate) pentru a se infiltra în rețelele militare americane din Orientul Mijlociu și în sistemele Departamentului Apărării al SUA. Incidentul a determinat crearea Comandamentului Cibernetic al SUA (USCYBERCOM).
2012 – Infiltrarea guvernelor din fostul spațiu sovietic: Gruparea a compromis sistemele informatice ale biroului prim-ministrului dintr-un stat ex-sovietic, extinzând infecția la zeci de alte calculatoare guvernamentale și misiuni diplomatice din Europa și Asia.
2014 – Campania Epic Turla: O amplă campanie de spionaj cibernetic care a folosit tehnici de tip spear-phishing și watering hole (compromiterea unor site-uri legitime vizitate de ținte). Au fost afectate sute de victime din peste 45 de țări, inclusiv ministere, ambasade, instituții militare și companii farmaceutice.
2015 – Deturnarea conexiunilor prin satelit: Turla a implementat o tehnică avansată prin care a deturnat conexiunile de internet prin satelit pentru a-și ascunde serverele de comandă și control (C2), vizând în special instituții diplomatice și militare din Orientul Mijlociu și Africa.
2018 – Atacuri asupra armatei franceze și a diplomației europene: Gruparea a vizat infrastructura armatei franceze și a desfășurat campanii împotriva ministerelor de externe și misiunilor diplomatice din Europa folosind instrumente personalizate precum Gazer și Lunar
2020 – Campaniile LunarWeb și LunarMail: Turla a implementat aceste backdoor-uri sofisticate pentru a spiona un minister de externe din Europa și mai multe misiuni diplomatice din Orientul Mijlociu, căutând informații despre strategiile NATO.
2022–2024 – Deturnarea infrastructurii altor grupări (Turla Hijacking): Cercetătorii în securitate cibernetică au descoperit că Turla a infiltrat serverele de comandă ale altor grupări de hackeri (precum SideCopy și Transparent Tribe) pentru a-și masca propriile operațiuni de spionaj împotriva entităților guvernamentale și militare.
Sfârșitul anului 2025 – Campania „Cereal” în România și Kazahstan: Folosind un nou set de instrumente malware (Cereal / CerealBox), Turla a compromis servere Microsoft Exchange ale unor organizații guvernamentale din Kazahstan (noiembrie 2025) și România (decembrie 2025). În cazul României, modulul a fost configurat pentru a intercepta corespondența cu adrese instituționale NATO și UE, atacul fiind oprit de Centrul Național Cyberint al SRI.
