INCIDENTERO
Ciberataque ruso a servidores de correo gubernamentales de Rumania y Kazajistán
ESET atribuye al grupo Turla, vinculado al FSB, el uso de una herramienta hasta ahora desconocida para interceptar correos con la OTAN y la UE desde servidores Microsoft Exchange oficiales.
La firma de seguridad ESET atribuyó con alta confianza al grupo Turla, vinculado al Servicio Federal de Seguridad (FSB) de Rusia, una campaña de espionaje contra servidores Microsoft Exchange de una organización gubernamental de Rumania y de una agencia estatal de Kazajistán.
Según la investigación, los atacantes emplearon un conjunto de herramientas hasta ahora desconocido, bautizado Cereal, para vigilar el tráfico de correo, copiar mensajes específicos y mantener el acceso sin ser detectados. En Rumania el malware estaba configurado para recolectar correos intercambiados con instituciones de la OTAN y la Unión Europea.
ESET detectó el código por primera vez en noviembre de 2025 en un servidor de correo gubernamental de Kazajistán y un mes después lo identificó en la organización rumana. La intrusión en Rumania se habría producido el 23 de diciembre de 2025 y permaneció oculta casi once meses.
El hallazgo se hizo público el 10 de noviembre de 2026 con la presentación del informe de ESET. Los investigadores no pudieron determinar cómo obtuvieron el acceso inicial ni cuánta información sustrajeron.
Cómo ocurrió
- Confirmado
- Afirmado o sin verificar
- TurlaGrupo vinculado al FSB rusoConfirmado.
- Acceso inicialMétodo no determinadoSin verificar.
- Herramienta CerealInstalada en servidores ExchangeConfirmado.
- Exchange comprometidoUsado como centro de mandoConfirmado.
- Correos OTAN y UECopiados y cifradosConfirmado.
- Gobiernos afectadosRumania y KazajistánConfirmado.
Reconstrucción de DUPIN Noticias según lo informado. Los pasos punteados los afirma el atacante o no están verificados.
¿Hackearon a servidores de correo gubernamentales de Rumania y Kazajistán? Qué se sabe
Sí. El incidente está confirmado. ESET atribuye al grupo Turla, vinculado al FSB, el uso de una herramienta hasta ahora desconocida para interceptar correos con la OTAN y la UE desde servidores Microsoft Exchange oficiales. Información actualizada al 11 de noviembre de 2026.
ACREDITADO
- ESET atribuye la campaña al grupo Turla, vinculado al FSB ruso, con alta confianza.
- La herramienta Cereal se detectó en servidores Microsoft Exchange de una organización gubernamental de Rumania y de una agencia estatal de Kazajistán.
- En Rumania el malware estaba configurado para recolectar correos con instituciones de la OTAN y la UE.
- Los atacantes usaron los propios servidores Exchange comprometidos como centro de mando, sin servidores externos.
- La intrusión en Rumania se habría producido el 23 de diciembre de 2025 y se conoció en noviembre de 2026.
SIN VERIFICAR O ABIERTO
- No se determinó cómo obtuvieron los atacantes el acceso inicial a los servidores.
- No se estableció cuánta información lograron sustraer.
- En Kazajistán no se pudo confirmar si los atacantes buscaban información sobre disidentes rusos.
- Las autoridades de Rumania y Kazajistán no se pronunciaron sobre el incidente en la información disponible.
Contexto
Turla, también conocido como Secret Blizzard y Venomous Bear, opera desde al menos 2004 y es considerado uno de los grupos de espionaje estatal ruso más consolidados. Tiene historial de ataques contra agencias gubernamentales, misiones diplomáticas y organizaciones de defensa en Europa, Asia Central y Medio Oriente.
El uso de un servidor Exchange comprometido como centro de operaciones es una técnica poco frecuente, empleada por pocos grupos de amenaza persistente avanzada. Turla ya había utilizado variantes de este enfoque en el pasado.
El incidente en Rumania ocurre en un contexto de tensión creciente entre Rusia y la OTAN por la guerra en Ucrania, con episodios reiterados de drones rusos que ingresaron o se acercaron al territorio rumano.
Qué hacer
- Revisar servidores Exchange Auditar los servidores de correo expuestos, aplicar parches y buscar conexiones o configuraciones anómalas que puedan indicar persistencia.
- Monitorear tráfico interno Vigilar el tráfico entre servidores propios: un servidor comprometido usado como centro de mando puede pasar desapercibido ante controles perimetrales.
- Restringir correo sensible Clasificar y cifrar las comunicaciones con organismos internacionales y limitar su circulación a los canales estrictamente necesarios.
- Desconfiar de mensajes señuelo Ante la difusión del incidente, verificar remitentes y enlaces antes de abrir adjuntos que invoquen la campaña o supuestas alertas de seguridad.
- Revisar accesos de proveedores Controlar las cuentas y credenciales de terceros con acceso a la infraestructura de correo y rotar las que estén reutilizadas.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
