RelacjaOgólnoeuropejski

Hakerzy powiązani z Rosją szpiegowali e-maile rumuńskiej agencji dotyczące NATO i UE

Firma zajmująca się cyberbezpieczeństwem ESET podała, że powiązana z Rosją grupa Turla skompromitowała serwer pocztowy rumuńskiego rządu, aby przechwytywać korespondencję z NATO i UE.

Opublikowano 11 Nov, 13:28 UTCCzytaj po angielsku

Przetłumaczono automatycznie z angielskiego oryginału; wersja angielska jest wiążąca.

Hakerzy powiązani z Rosją skompromitowali serwer pocztowy rumuńskiej instytucji rządowej, aby przechwytywać korespondencję z NATO i Unią Europejską – podała firma zajmująca się cyberbezpieczeństwem ESET w badaniach opublikowanych we wtorek. Rumuńska służba wywiadowcza SRI potwierdziła, że do ataku doszło, i oświadczyła, że został on opanowany.

ESET przypisała kampanię grupie Turla, która – jak twierdzi – jest powszechnie uważana za część rosyjskiej służby bezpieczeństwa FSB, znanej również pod nazwami Snake i Secret Blizzard. Zgodnie z analizą ESET, grupa zainstalowała na serwerze Microsoft Exchange należącym do rumuńskiej instytucji złośliwe oprogramowanie o nazwie CerealBox, skonfigurowane tak, aby wyszukiwać wiadomości wymieniane z adresami w domenach nato.int i europa.eu.

SRI podała, że jej Krajowe Centrum Cyberint zidentyfikowało ataki w grudniu 2025 r. i od tego czasu wdrożyło środki zaradcze oraz usunęło ich skutki. Atakujący wykorzystali „systemowe podatności” w systemach operacyjnych Microsoft, jednak nie stwierdzono, aby jakiekolwiek poufne dane zostały wytransferowane, a dotknięta atakiem usługa pocztowa została naprawiona – oświadczyło SRI. Agencja poinformowała, że powiadomiła europejskich i nato-wskich partnerów wywiadowczych.

ESET podała, że złośliwe oprogramowanie, które potrafiło czytać i usuwać wybrane wiadomości bez pozostawiania śladów, ukierunkowane było na e-maile z załącznikami takimi jak pliki .doc, .docx czy .pdf, które spełniały kryteria obejmujące m.in. nadawcę, odbiorcę i temat wiadomości. Badacze wskazali, że serwer rumuńskiej instytucji był skompromitowany co najmniej od 23 grudnia 2025 r., a ten sam zestaw narzędzi odnaleziono miesiąc wcześniej w organie rządowym w Kazachstanie.

Turla prowadzi działalność od ponad dwóch dekad i wcześniej brała na cel rządy, misje dyplomatyczne oraz organizacje obronne głównie w Europie, Azji Centralnej i na Bliskim Wschodzie – podała ESET. SRI poinformowała, że kontynuuje złożone śledztwa dotyczące innej działalności powiązanej z rosyjskimi kampaniami cybernetycznymi wymierzonymi w rumuńskie instytucje.

Co wiemy

Firma ESET podała, że powiązana z Rosją grupa hakerska Turla skompromitowała serwer poczty elektronicznej rumuńskiego rządu, aby przechwytywać korespondencję z NATO i UE.
Rumuńska służba wywiadowcza SRI potwierdziła ataku, informując, że został on zidentyfikowany w grudniu 2025 roku i od tego czasu został opanowany, a żadne wrażliwe dane nie zostały wyprowadzone.
Złośliwe oprogramowanie CerealBox ukierunkowane było na wiadomości e-mail wysyłane na i z adresów w domenach nato.int oraz europa.eu wraz z załącznikami w postaci dokumentów – podał ESET.
Ten sam zestaw narzędzi odnaleziono miesiąc wcześniej w instytucji rządowej w Kazachstanie – wynika z informacji ESET.
ESET wskazuje, że grupa Turla, znana również jako Snake, jest powszechnie uważana za część rosyjskiej służby bezpieczeństwa FSB.

Jeszcze niepotwierdzone

W jaki sposób napastnicy uzyskali początkowy dostęp do serwera Exchange
Dokładna liczba przechwyconych lub skopiowanych wiadomości

Dlaczego to ważne dla Europy

Atak był bezpośrednio wymierzony w komunikację rumuńskiej instytucji z NATO i UE w czasie, gdy wojna Rosji w Ukrainie sprawia, że koordynacja sojusznicza i wymiana wywiadowcza są częstym celem powiązanych z państwami grup hakerskich. Rumunia stawiała już wcześniej czoła cyberatakom przypisywanym prorosyjskim grupom, w tym przyznaniu się przez Killnet w 2022 roku do zakłócenia działania stron rumuńskich lotnisk oraz międzynarodowym działaniom wymierzonym w 2025 roku w prorosyjską grupę NoName057(16), choć w żadnym z tych przypadków nie chodziło o szpiegostwo e-mailowe.

Źródła

Pytania i odpowiedzi

Kto stoi za atakiem?: Firma zajmująca się cyberbezpieczeństwem ESET przypisała go grupie Turla, powszechnie uważanej za część rosyjskiej służby bezpieczeństwa FSB.
Co było celem hakerów?: Złośliwe oprogramowanie na serwerze pocztowym rumuńskiego rządu wyszukiwało korespondencję z adresami NATO i UE – podał ESET.
Czy skradziono jakiekolwiek dane?: Rumuńska służba wywiadowcza SRI oświadczyła, że nie stwierdzono kradzieży wrażliwych danych, a uszkodzona usługa pocztowa została naprawiona.