Aan Rusland gelinkte hackers spioneerden voor Nato- en EU-e-mails van Roemeense instantie
Cyberbeveiligingsbedrijf ESET zei dat de aan Rusland gelinkte groep Turla een e-server van de Roemeense overheid had gecompromitteerd om correspondentie met de NAVO en de EU te onderscheppen.
Automatisch vertaald uit het Engelse origineel; de Engelse versie is leidend.
Aan Rusland gelinkte hackers hebben de e-server van een Roemeense overheidsinstelling gecompromitteerd om correspondentie met de NAVO en de Europese Unie te onderscheppen, zei cyberbeveiligingsbedrijf ESET in onderzoek dat op dinsdag is gepubliceerd. De Roemeense inlichtingendienst SRI bevestigde dat de aanval had plaatsgevonden en zei dat deze was ingedamd.
ESET thet de campagne toe aan Turla, een hackersgroep die volgens het bedrijf algemeen wordt beschouwd als onderdeel van de Russische veiligheidsdienst FSB, die ook bekendstaat onder de namen Snake en Secret Blizzard. De groep installeerde malware genaamd CerealBox op de Microsoft Exchange-server van de Roemeense instelling, geconfigureerd om te zoeken naar berichten die zijn uitgewisseld met adressen op de domeinen nato.int en europa.eu, aldus de analyse van ESET.
Het SRI zei dat zijn National Cyberint Centre de aanval voor het eerst identificeerde in december 2025 en sindsdien tegenmaatregelen had geïmplementeerd en de gevolgen had verholpen. De aanvallers buitgenden "systemische kwetsbaarheden" in Microsoft-besturingssystemen uit, maar er werd niet geconstateerd dat gevoelige gegevens waren geëxfiltreerd, en de getroffen e-maildienst is hersteld, aldus het SRI. De instantie zei dat het Europese en NAVO-inlichtingenpartners had geïnformeerd.
ESET zei dat de malware, die geselecteerde berichten kon lezen en verwijderen zonder sporen achter te laten, e-mails met bijlagen zoals .doc-, .docx- of .pdf-bestanden viseerde die voldeden aan criteria waaronder afzender, ontvanger en onderwerpregel. Onderzoekers zeiden dat de server van de Roemeense instelling minstens sinds 23 december 2025 gecompromitteerd was, en dat dezelfde set tools een maand eerder was aangetroffen bij een overheidsinstantie in Kazachstan.
Turla is al meer dan twee decennia actief en heeft eerder overheden, diplomatieke missies en defensieorganisaties geviseerd, voornamelijk in Europa, Centraal-Azië en het Midden-Oosten, aldus ESET. Het SRI zei dat het doorgaat met complexe onderzoeken naar andere activiteiten die verband houden met Russische cybercampagnes tegen Roemeense instellingen.
Wat we weten
- ESET zei dat de aan Rusland gelinkte hackergroep Turla een Roemeense overheidsemailserver heeft gecompromitteerd om de correspondentie met de NAVO en de EU te onderscheppen.
- De Roemeense inlichtingendienst SRI bevestigde de aanval en verklaarde dat deze in december 2025 werd geïdentificeerd en sindsdien is ingeperkt zonder dat er gevoelige gegevens zijn geëxfiltreerd.
- De malware, genaamd CerealBox, richtte zich op e-mails van en naar nato.int- en europa.eu-adressen met bijlagen, aldus ESET.
- Volgens ESET werd dezelfde toolset een maand eerder aangetroffen bij een overheidsinstelling in Kazachstan.
- ESET zegt dat Turla, ook bekend als Snake, algemeen wordt beschouwd als onderdeel van de Russische veiligheidsdienst FSB.
Nog niet bevestigd
- Hoe de aanvallers aanvankelijk toegang kregen tot de Exchange-server
- Het exacte aantal onderschepte of gekopieerde berichten
Waarom dit belangrijk is voor Europa
De aanval richtte zich rechtstreeks op de communicatie van een Roemeense instelling met de NAVO en de EU, in een tijd waarin de oorlog van Rusland in Oekraïne ervoor zorgt dat geallieerde coördinatie en het delen van inlichtingen een frequent doelwit zijn van aan staten gelinkte hackergroepen. Roemenië kreeg in het verleden ook te maken met cyberaanvallen die werden toegeschreven aan pro-Russische groepen, waaronder een claim van Killnet in 2022 over verstoringen van Roemeense luchthavenwebsites en een internationale actie in 2025 tegen de pro-Russische groep NoName057(16), hoewel geen van beide zaken betrekking had op e-spionage.
Bronnen
- G4Media: Hackeri ruși afiliați serviciului secret al Rusiei au spionat o instituție guvernamentală din România, care lucrează cu NATO și UE / SRI confirmă atacul și susține că a fost contracarat la timp
- Digi24: Schimbul de mesaje dintre România și NATO, dar și cu UE, interceptat de hackerii pro-ruși. Anunțul făcut de SRI
- Adevărul: Spionaj rus la o instituție guvernamentală din România: e-mailurile către NATO și UE, interceptate de hackeri afiliați FSB
- Libertatea: Hackerii ruși au luat la țintă România: ce spune SRI despre tentativa de interceptare a comunicațiilor cu NATO și UE
Vragen en antwoorden
- Wie zit er achter de aanval?
- Cyberbeveiligingsbedrijf ESET thet de aanval toe aan Turla, een hackergroep die algemeen wordt beschouwd als onderdeel van de Russische veiligheidsdienst FSB.
- Waar richtten de hackers zich op?
- Malware op een Roemeense overheidsemailserver zocht naar correspondentie met NAVO- en EU-adressen, aldus ESET.
- Is er data gestolen?
- De Roemeense inlichtingendienst SRI zei dat er geen exfiltratie van gevoelige gegevens is vastgesteld en dat de getroffen e-mailservice is hersteld.