Rumanía atribuye a Turla un ataque al correo de un organismo

El Servicio Rumano de Información, SRI, afirmó el 11 de noviembre que detuvo un ataque detectado en diciembre de 2025 contra un organismo gubernamental del país y atribuido al grupo ruso Turla. Su comunicado sostiene que el servicio de correo afectado fue reparado y que no identificó extracción de datos sensibles. No publica el nombre de la institución.

La declaración llegó un día después de que la empresa de ciberseguridad ESET presentara Cereal, un conjunto de programas maliciosos encontrado en servidores de correo de organismos públicos de Rumanía y Kazajistán. En el caso rumano, los investigadores describen una configuración que buscaba mensajes enviados a direcciones institucionales de la OTAN y la Unión Europea, o recibidos desde ellas. Ese objetivo de búsqueda explica el interés del caso para los socios europeos, aunque deja abierta la cuestión de qué información llegó a salir.

Qué afirma cada fuente

El SRI sitúa la detección en diciembre de 2025 y asegura que su Centro Nacional Cyberint adoptó medidas para frenar el ataque y remediar sus efectos. Su balance incluye una frase precisa: «No se han identificado exfiltraciones de datos sensibles». Exfiltrar significa sacar información de un sistema sin autorización. La agencia también afirma que cooperó con socios europeos, de la UE y de la OTAN.

ESET atribuye Cereal a Turla con un grado de confianza alto. Explica que se apoya en el uso simultáneo de otro componente ya relacionado públicamente con el grupo y en semejanzas con programas anteriores. La empresa vincula Turla con el FSB, el servicio de seguridad ruso. Se trata de una atribución técnica argumentada, distinta del comunicado de una agencia estatal y de una resolución judicial.

Reuters recoge que Rusia ha negado las acusaciones de llevar a cabo campañas de guerra híbrida contra países europeos. Esa posición general no aporta una explicación técnica alternativa para este caso. La evaluación pública debe atender a las pruebas y al alcance concreto de lo que cada fuente sostiene.

Cómo se puede vigilar el correo sin impedir que funcione

Microsoft Exchange es un sistema que las organizaciones utilizan para gestionar su correo. Los investigadores de ESET describen programas capaces de operar dentro de sus procesos legítimos y observar el recorrido de los mensajes. El módulo de recogida, llamado CerealBox, podía seleccionar correspondencia por criterios como remitentes, destinatarios y determinados adjuntos, y preparar copias para su recuperación.

La actividad se ocultaba en una infraestructura que también seguía prestando su servicio habitual. ESET destaca que no observó una infraestructura externa de mando y control, es decir, servidores propios de los atacantes dedicados a enviar instrucciones. En el esquema que describe, el servidor comprometido podía cumplir también esa función. Por eso buscar únicamente conexiones con un dominio malicioso conocido habría ofrecido una visión incompleta.

El análisis técnico permite entender la capacidad de las herramientas y los criterios con los que estaban configuradas. Para saber qué mensajes se obtuvieron y llegaron a manos de los atacantes hacen falta otras pruebas, como registros de actividad y evidencias de transferencia. El funcionamiento de una herramienta no permite calcular por sí solo el volumen de información extraída.

Esa diferencia resulta esencial al leer las dos fuentes. ESET documenta el programa y el interés por determinada correspondencia. El SRI dice que no identificó salida de datos sensibles. Su declaración no equivale a demostrar que nunca salió ningún dato, del mismo modo que la configuración del programa no acredita por sí sola una filtración consumada de documentos sensibles.

La seguridad también depende del otro extremo del correo

Un organismo nacional que intercambia mensajes con una institución europea o una alianza militar forma parte de una relación de confianza. Si su servidor queda comprometido, puede convertirse en un punto desde el que buscar esa correspondencia, aunque el sistema de la otra institución siga protegido.

El objetivo descrito era correo relacionado con la UE y la OTAN. Las fuentes recuperadas no acreditan que sus propias redes fueran vulneradas.

La diferencia orienta también la respuesta. Además de defender las infraestructuras centrales, los socios necesitan compartir información sobre incidentes y conocer qué comunicaciones pudieron quedar expuestas. La cooperación mencionada por el SRI resulta relevante por esa dependencia entre interlocutores, aunque su nota no permite reconstruir todos los resultados de la investigación.

El caso aporta una explicación concreta de un riesgo: el correo puede seguir llegando a su destino mientras alguien intenta seleccionar lo que le interesa dentro del sistema. La respuesta deberá valorarse por la capacidad de detectar y expulsar al intruso, esclarecer el alcance de su actividad y proteger las comunicaciones posteriores. En lo publicado hasta este corte hay una atribución estatal, un análisis técnico y una declaración de que no se identificó extracción sensible. Esos son los límites de lo que puede afirmarse.

Lecturas relacionadas

La protección de cuentas se desarrolla en nuestro artículo sobre passkeys y recuperación del acceso. Para la continuidad de los sistemas, explicamos qué demuestra una restauración real de las copias de seguridad. En Política, el análisis del ataque ruso contra la red eléctrica de Kiev aborda otro tipo de riesgo para las infraestructuras europeas.