Les hackers Turla, liés à la Russie, ont visé une institution gouvernementale roumaine, selon le SRI

Attaque détectée en décembre 2025

Le Service de renseignement roumain (SRI) a indiqué le 11 novembre 2026 que son Centre national Cyberint avait identifié une cyberattaque contre une institution gouvernementale en décembre 2025. Le centre a mené des contre-mesures et des opérations de remédiation. Les attaquants ont exploité plusieurs vulnérabilités systémiques des systèmes d'exploitation Microsoft pour tenter de compromettre l'infrastructure informatique de l'institution. Après l'intervention du centre, l'attaque a été stoppée et le service de messagerie touché a été rétabli. Le SRI attribue l'opération à l'acteur russe APT TURLA.

Aucune preuve de données dérobées

Les enquêteurs n'ont trouvé aucune preuve que des informations confidentielles aient été prélevées sur les systèmes compromis. Le communiqué du SRI le formule ainsi :

« Aucune exfiltration de données sensibles n'a été identifiée, et le service de messagerie concerné a été remis en état. »

L'agence indique que les bénéficiaires légaux concernés ont été informés de l'incident. L'affaire a été traitée en coopération avec des partenaires européens de la communauté du renseignement, ainsi qu'avec des structures de l'UE et de l'Otan.

L'analyse d'ESET sur l'outillage Cereal

ESET Research a publié son analyse le 10 novembre 2026. Elle décrit un ensemble de logiciels malveillants qu'elle nomme Cereal, qui transforme des serveurs Microsoft Exchange compromis en points de commandement et en collecteurs de courriels. Les premières traces ont été trouvées le 28 novembre 2025 chez une organisation gouvernementale au Kazakhstan. Plus tard, des règles de détection améliorées ont révélé une seconde attaque contre une organisation gouvernementale roumaine, avec une activité datant du 23 décembre 2025, et ESET indique que l'activité des attaquants s'est intensifiée le 20 janvier 2026. ESET ne nomme pas l'organisation roumaine et n'a pas pu établir comment les attaquants ont obtenu un accès initial, présentant l'exploitation d'une vulnérabilité seulement comme une possibilité.

Un composant appelé CerealBox était configuré pour repérer les messages échangés avec des adresses des domaines nato.int et europa.eu, ainsi que les messages portant des pièces jointes.doc,.docx ou.pdf. Les messages sélectionnés pouvaient être compressés, chiffrés et stockés sur le serveur en vue de leur récupération, et ESET décrit des commandes permettant aux opérateurs de les lire et de les supprimer. ESET n'a publié aucune preuve que des messages de l'affaire roumaine aient quitté le réseau, et n'a donné aucun décompte des messages copiés. Les chercheurs écrivent :

« Nous avons trouvé le même outillage dans une institution gouvernementale en Roumanie, compromise le 23 décembre 2025. »

Attribution à Turla et au FSB

ESET attribue l'activité à Turla avec un haut degré de confiance, citant la réutilisation d'un composant déjà attribué au groupe et sa similitude avec un programme qui lui est lié dans un rapport de 2017. Turla, aussi connu sous les noms de Snake, Secret Blizzard et Waterbug, est actif depuis plus de deux décennies et est largement considéré comme faisant partie du FSB russe, selon ESET. L'analyse n'identifie pas publiquement les personnes qui ont opéré le programme en Roumanie. Les cibles habituelles de Turla incluent des gouvernements, des missions diplomatiques et des organisations de défense, principalement en Europe, en Asie centrale et au Moyen-Orient. La Roumanie a aussi fait face à d'autres attaques pro-russes : en mai 2022, Killnet a revendiqué des attaques contre des sites d'aéroports roumains, dont Henri Coandă, devenu inaccessible sans que la sécurité des vols soit affectée, selon les informations de l'époque. Ces attaques ont été décrites comme probablement des DDoS, visant à bloquer l'accès plutôt qu'à espionner la correspondance.

Les investigations se poursuivent

Le Centre national Cyberint mène des investigations complexes qui couvrent aussi d'autres incidents liés à des campagnes cyber attribuées à la Russie. Le SRI indique qu'il continuera de travailler à identifier et à enquêter sur toute nouvelle tentative de compromettre des institutions en Roumanie. D'autres attaques attribuées à la Russie sont également analysées. ESET a publié une liste étendue d'indicateurs de compromission sur sa page GitHub.