ЗвітЗагальноєвропейський

Пов'язані з Росією хакери шпигували за листуванням румунського відомства з НАТО та ЄС

Кібербезпекова компанія ESET повідомила, що пов'язане з Росією угруповання Turla зламало поштовий сервер румунського уряду задля перехоплення кореспонденції з НАТО та ЄС.

Опубліковано 11 Nov, 13:28 UTCЧитати англійською

Автоматичний переклад з англійського оригіналу; основною є англійська версія.

Пов'язані з Росією хакери зламали поштовий сервер державної установи Румунії з метою перехоплення кореспонденції з НАТО та Європейським Союзом, повідомила кібербезпекова компанія ESET у дослідженні, опублікованому у вівторок. Служба розвідки Румунії (SRI) підтвердила факт нападу та заявила, що його було локалізовано.

ESET приписала цю кампанію угрупованню Turla, яке, за її словами, загальновизнано вважається частиною російської служби безпеки ФСБ, також відомої під назвами Snake та Secret Blizzard. Згідно з аналізом ESET, хакерське угруповання встановило шкідливе програмне забезпечення під назвою CerealBox на сервер Microsoft Exchange румунської установи, налаштоване на пошук повідомлень, якими обмінювалися з адресами у доменах nato.int та europa.eu.

У SRI повідомили, що її Національний центр кіберінформації вперше виявив атаку у грудні 2025 року та відтоді вжив контрзаходів і усунув її наслідки. Зловмисники використали «системні вразливості» в операційних системах Microsoft, але витоку чутливих даних виявлено не було, а пошкоджену поштову службу відновили, зазначили в SRI. Відомство додало, що поінформувало європейських розвідувальних партнерів та партнерів по НАТО.

В ESET заявили, що шкідливе ПЗ, яке могло читати та видаляти вибрані повідомлення без залишення слідів, націлювалося на листи з вкладеннями на кшталт файлів .doc, .docx або .pdf, які відповідали критеріям, включно з відправником, одержувачем та темою повідомлення. Дослідники зазначили, що сервер румунської установи був скомпрометований щонайменше з 23 грудня 2025 року, а той самий набір інструментів місяцем раніше виявили в урядовому органі Казахстану.

Turla діє вже понад два десятиліття і раніше нападала на уряди, дипломатичні місії та оборонні організації переважно в Європі, Центральній Азії та на Близькому Сході, заявили в ESET. У SRI зазначили, що продовжують складні розслідування щодо іншої активності, пов'язаної з російськими кіберкампаніями проти румунських установ.

Що відомо

У компанії ESET заявили, що пов'язане з Росією хакерське угруповання Turla зламало поштовий сервер румунського уряду з метою перехоплення листування з НАТО та ЄС.
Служба розвідки Румунії (SRI) підтвердила атаки, заявивши, що їх було виявлено у грудні 2025 року та відтоді локалізовано без витоку чутливих даних.
Шкідливе програмне забезпечення CerealBox було націлене на електронні листи на адреси та з адрес nato.int та europa.eu з прикріпленими документами, повідомили в ESET.
За даними ESET, той самий набір інструментів місяцем раніше виявили в урядовій установі в Казахстані.
В ESET заявляють, що угруповання Turla, також відоме як Snake, загалом вважається частиною служби безпеки ФСБ Росії.

Ще не підтверджено

Як зловмисники вперше отримали доступ до сервера Exchange
Точна кількість перехоплених чи скопійованих повідомлень

Чому це важливо для Європи

Атака була безпосередньо спрямована на комунікацію румунської установи з НАТО та ЄС у час, коли війна Росії проти України зробила координацію союзників та обмін розвідданими частим мішенню для пов'язаних із державами хакерських груп. Румунія також стикалася з попередніми кібератаками, які приписують проросійським угрупованням, зокрема заявою Killnet у 2022 році щодо збоїв у роботі сайтів румунських аеропортів та міжнародними рейдами 2025 року проти проросійської групи NoName057(16), хоча жоден із цих випадків не був пов'язаний із поштового шпигунством.

Джерела

Питання та відповіді

Хто стоїть за атакою?: Кібербезпекова компанія ESET приписала атаку угрупованню Turla, яке широко вважається частиною служби безпеки ФСБ Росії.
На що були націлені хакери?: Шкідливе ПЗ на поштовому сервері румунського уряду шукало кореспонденцію з адресами НАТО та ЄС, повідомили в ESET.
Чи було викрадено якісь дані?: Служба розвідки Румунії (SRI) заявила, що витоку чутливих даних не виявлено, а роботу ураженої поштової служби відновлено.