De Roemeense inlichtingendienst heeft een Russische cyberaanval op een overheidsinstelling gericht op e-mails met NAVO en EU weten te stoppen.
De Roemeense inlichtingendienst SRI heeft een cyberaanval door Russische hackers op een overheidsinstelling eind 2025 weten te stoppen. De aanval was gericht op het onderscheppen van e-mailverkeer met NAVO- en EU-instellingen. De aanval werd toegeschreven aan de Russische groep Turla, die verbonden is aan de Russische Federale Veiligheidsdienst (FSB).
Volgens SRI werd de aanval in december 2025 ontdekt en zijn er direct maatregelen genomen om de aanval te stoppen en de getroffen systemen te herstellen. De hackers maakten gebruik van kwetsbaarheden in Microsoft-systemen, maar de Roemeense cybersecurityspecialisten wisten de aanval te neutraliseren. Er werd geen exfiltratie van gevoelige data vastgesteld en de e-maildienst is inmiddels hersteld. De SRI heeft geen details vrijgegeven over de getroffen overheidsinstantie of de wijze van initiële toegang.
Het Slowaakse beveiligingsbedrijf ESET meldde dat Turla een nieuw malwaretoolkit, genaamd Cereal, gebruikte om e-mailservers in Roemenië en Kazachstan te compromitteren. Deze malware maakte het mogelijk om e-mailverkeer heimelijk te monitoren, geselecteerde berichten te verzamelen en toegang tot Microsoft Exchange-servers te behouden zonder ontdekt te worden. In Roemenië was de malware specifiek geconfigureerd om e-mails met NAVO- en EU-instellingen te onderscheppen.
Roemenië, lid van NAVO en de EU en gelegen aan de grens met Oekraïne en Moldavië, waarschuwt al langere tijd voor Russische cyberaanvallen en hybride dreigingen. Ook zijn er meldingen van Russische drones die het Roemeense luchtruim naderden tijdens de aanvallen op Oekraïne. De SRI heeft de relevante Roemeense autoriteiten geïnformeerd en informatie gedeeld met Europese inlichtingendiensten en partners binnen NAVO en de EU. Daarnaast onderzoekt de dienst andere mogelijke gerelateerde cyberoperaties die aan Rusland worden toegeschreven.
Turla, ook bekend als Secret Blizzard en Venomous Bear, is een Russische cyberespionagegroep die al meer dan twintig jaar actief is en bekend staat om aanvallen op overheidsinstanties, diplomatieke missies en defensieorganisaties in Europa, Centraal-Azië en het Midden-Oosten. Eerder dit jaar waarschuwde de toenmalige Roemeense minister van Defensie dat overheidsinstellingen dagelijks duizenden cyberaanvallen ondervinden, waarvan velen vermoedelijk uit Rusland afkomstig zijn.
