“Hacker legati ai servizi russi hanno violato le mail del governo. Rubavano quelle su Nato e Ue”: la denuncia dell’intelligence rumena

Commenti

Intercettare i messaggi di posta elettronica delle agenzie governative romene riguardanti temi legati alla Nato e all’Unione europea. Poi, indirizzare copie dei testi a indirizzi legati a un gruppo di hacker russi in diretto contatto con l’Fsb. La denuncia è arrivata dai servizi di sicurezza SRI di Bucarest che hanno puntato il dito contro i pirati informatici di APT Turla. La loro attività è iniziata un anno fa, nel dicembre 2025, ma solo adesso, dopo una inchiesta, la Romania ha confermato l’infiltrazione: “Gli aggressori hanno sfruttato una serie di vulnerabilità sistemiche nei sistemi operativi Microsoft, ma l’attacco è stato bloccato dopo l’intervento del National Cyberint Centre. Non è stata rilevata alcuna esfiltrazione di dati sensibili e il servizio di posta elettronica interessato è stato ripristinato”, hanno dichiarato i funzionari dell’intelligence rumena.

Il malware utilizzato da APT Turla è stato denominato Cereal ed è in grado di infiltrarsi dentro il server di posta elettronica Microsoft Exchange. In particolare, un componente del malware, denominato Cerealbox, vagliava i messaggi con allegati che avevano riferimenti all’Unione europea e alla Nato e realizzava copie che venivano poi recuperare dagli hacker. A verificare le modalità dell’intrusione è stata la società Eset che sul suo sito descrive la modalità fraudolenta: “In un ente governativo, un funzionario invia un’e-mail a un collega di un’alleanza militare transnazionale. Il messaggio viene inviato, esattamente come previsto, tramite un server Microsoft Exchange. Nulla sembra sospetto. Ma prima che l’e-mail parta, viene silenziosamente controllata da un codice. Questo la classifica come interessante e ne salva una copia da inoltrare a chi ne ha bisogno, mentre l’e-mail originale prosegue il suo percorso”.

La prima volta che Cereal è venuta alla luce ha riguardato un caso di infiltrazione informatica in Kazakistan, come confermato dagli informatici di Eset: “Il 28 novembre 2025 abbiamo scoperto il toolset che installava tale codice su un server Exchange appartenente a un’organizzazione governativa del Kazakistan. Quello che inizialmente sembrava un insieme di componenti sospetti si è presto rivelato essere un toolset precedentemente sconosciuto, una raccolta di malware .NET modulare progettato per funzionare sui server Microsoft Exchange, ricevere comandi, eseguirli in memoria, mappare l’organizzazione compromessa e raccogliere messaggi di posta elettronica selezionati. Dopo aver perfezionato i nostri meccanismi di rilevamento, abbiamo trovato lo stesso toolset presso un’organizzazione governativa in Romania, compromessa il 23 dicembre 2025, dove era configurato per identificare le email inviate o ricevute dalla Nato e dall’Ue”.

Non è la prima volta che APT Turla richiama l’attenzione. Il gruppo, conosciuto anche come Snake, è attivo dal 2004: “Si ritiene faccia parte dei servizi Fsb – scrive Eset – e prende di mira principalmente entità di alto profilo come governi e missioni diplomatiche in Europa, Asia centrale e Medio Oriente. È noto per aver attaccato importanti organizzazioni, tra cui il Dipartimento della Difesa degli Stati Uniti nel 2008 e l’azienda svizzera di difesa RUAG nel 2014”.

Il presidente rumeno Nicusor Dan ha più volte denunciato che il suo Paese – a causa del sostegno fornito all’Ucraina nella guerra per respingere l’attacco russo iniziato nel febbraio 2022 – è tra quelli colpiti da azioni di “guerra ibrida” come droni che violano lo spazio aereo, attacchi informatici, campagne di disinformazione e atti di sabotaggio vero e proprio: il 26 ottobre i servizi di sicurezza di Bucarest hanno reso noto di aver identificato una rete coordinata dalla Russia, responsabile di un incendio vicino ad una fabbrica statale di armi.