Serviciul Român de Informații a anunțat, miercuri, 11 noiembrie 2026, că un atac cibernetic asupra unei instituții guvernamentale din România a fost oprit prin intervenția Centrului Național Cyberint. Potrivit instituției, atacul a fost identificat în decembrie 2025 și este atribuit actorului cibernetic rus APT TURLA. SRI precizează că nu au fost identificate exfiltrări de date sensibile.
Atacul identificat în decembrie 2025
Comunicatul descrie un incident de la sfârșitul anului trecut, nu o ofensivă informatică începută în ziua anunțului. Precizările au fost făcute după apariția unor informații publice despre încercarea de compromitere a unei instituții guvernamentale. Serviciul confirmă identificarea atacului și adoptarea unor măsuri pentru contracararea lui, precum și pentru remedierea efectelor produse.
Instituția vizată nu este numită în comunicat. Formularea oficială se referă la o instituție guvernamentală din plan național și nu identifică explicit Guvernul României ca structură atacată. Nici un minister anume nu este indicat. Datele făcute publice permit descrierea incidentului, dar nu și stabilirea identității organizației afectate ori a tuturor sistemelor sale.
Vulnerabilități exploatate în sistemele Microsoft
Conform SRI, atacatorii au exploatat o serie de vulnerabilități sistemice la nivelul sistemelor de operare Microsoft. Centrul Național Cyberint a intervenit pentru oprirea atacului și pentru corectarea efectelor acestuia. Explicația oficială indică astfel atât calea generală folosită pentru compromitere, cât și existența unei intervenții tehnice asupra infrastructurii afectate.
Comunicatul nu enumeră vulnerabilitățile și nu descrie versiunile programelor implicate. De asemenea, nu oferă o cronologie detaliată a accesului atacatorilor sau durata operațiunii. Un element concret privește serviciul de poștă electronică: acesta a fost afectat, iar SRI spune că a fost remediat în urma măsurilor aplicate pentru gestionarea incidentului.
Ce spune SRI despre datele sensibile
Concluzia anunțată de serviciu este că nu au fost identificate exfiltrări de date sensibile. Exfiltrarea înseamnă scoaterea neautorizată a informațiilor din sistemul în care sunt păstrate. Precizarea privește rezultatul verificărilor comunicate de SRI și este distinctă de faptul că atacatorii au încercat să compromită infrastructura unei instituții publice.
Totodată, oprirea atacului nu înseamnă că sistemele nu au fost afectate deloc: chiar comunicatul menționează remedierea serviciului de poștă electronică. Autoritățile prezintă, așadar, un incident identificat și contracarat, cu efecte asupra unui serviciu informatic, fără exfiltrări de date sensibile identificate. Nu este anunțată public o evaluare financiară a pagubelor sau a costurilor intervenției.
Atribuirea către gruparea APT TURLA
SRI îl desemnează pe APT TURLA drept actorul cibernetic rus implicat în această încercare de compromitere. Atribuirea aparține serviciului de informații, care a investigat incidentul prin structura sa specializată. În comunicatul public nu sunt prezentate probele tehnice detaliate pe care se sprijină identificarea autorului, precum infrastructura folosită sau componentele programelor utilizate.
Separat, cercetătorii ESET au descris un set de instrumente numit „Cereal”, atribuit cu un nivel ridicat de încredere grupului Turla. Cercetarea menționează o organizație guvernamentală din România și una din Kazahstan. În cazul românesc, instrumentele erau configurate să identifice și să colecteze mesaje trimise către sau primite de la NATO și Uniunea Europeană.
Configurarea instrumentelor pentru căutarea anumitor mesaje indică tipul de corespondență urmărit de atacatori, nu demonstrează singură volumul informațiilor scoase din sistem. În cazul incidentului confirmat, SRI menține precizarea că nu au fost identificate exfiltrări de date sensibile. Cele două descrieri trebuie citite distinct: una privește capacitățile și țintele instrumentelor analizate, cealaltă prezintă rezultatul verificărilor anunțate de autoritatea română după intervenția asupra serviciului afectat.
Cooperare externă și investigații în continuare
SRI a informat beneficiarii legali despre incident, iar aspectele identificate au făcut obiectul cooperării cu partenerii europeni din comunitatea serviciilor de informații. Au fost implicați în schimburile de informații și parteneri de la nivelul Uniunii Europene și NATO. Comunicatul nu publică lista instituțiilor informate și nici conținutul schimburilor dintre acestea.
Centrul Național Cyberint continuă măsuri investigative complexe privind alte secvențe legate de campanii cibernetice pe care SRI le atribuie Federației Ruse. Aceste verificări nu sunt prezentate drept incidente închise. Serviciul afirmă că va continua identificarea și investigarea noilor tentative de compromitere a instituțiilor din România, în paralel cu activitatea de analizare a campaniilor deja observate.
Surse: Antena 3 CNN
