L’attribuzione è firmata ESET. La società di sicurezza slovacca ha ricostruito una campagna di spionaggio informatico che ha compromesso i server di posta elettronica governativi di Romania e Kazakistan, intercettando silenziosamente i messaggi scambiati con funzionari della NATO e delle istituzioni europee. L’operazione è attribuita a Turla, gruppo di spionaggio informatico russo attivo da decenni e legato al Servizio federale di sicurezza, l’FSB. Nome in codice del toolkit impiegato: Cereal.
Il primo segnale risale a novembre 2025, su un server governativo kazako. Poi la traccia ricompare in Romania, dove il malware era configurato specificamente per raccogliere le comunicazioni con Bruxelles e con l’Alleanza atlantica. Due teatri, un’unica regia. Secondo ESET, il Cereal è “uno strumento costruito con cura per lo spionaggio informatico di lungo periodo: lascia poco sul disco, evita infrastrutture esterne che potrebbero essere scoperte e bloccate, e si nasconde dentro i processi legittimi di Exchange”.
Ciò che rende il caso rilevante non è l’obiettivo ma il metodo. Gli attaccanti non hanno usato server esterni di comando e controllo: hanno trasformato i server Exchange delle stesse vittime in un hub operativo, con un componente — CerealBox — incorporato direttamente nel servizio Microsoft che gestisce il traffico di posta. Una tecnica mai documentata prima in altre famiglie di malware e che, secondo i ricercatori, dimostra una conoscenza dettagliata dell’infrastruttura di posta di Microsoft. Solo una manciata di gruppi APT la impiega; Turla ne aveva già usato varianti in passato. L’effetto è duplice: operatività quasi invisibile e un quadro investigativo incompleto, perché non è stato possibile determinare né come sia avvenuto l’accesso iniziale né quanto materiale sia stato sottratto.
La lettura geostrategica si articola su tre piani. Il primo è la Romania come Stato di prima linea: l’attacco è maturato in parallelo all’aumento della tensione tra Mosca e la NATO sul fronte ucraino, droni russi compresi, che hanno più volte sconfinato o sfiorato lo spazio aereo romeno. Bucarest non è un bersaglio casuale: è il fianco sud-orientale dell’Alleanza, ed è lì che passa il coordinamento con Bruxelles.
Il secondo piano è il Kazakistan, e qui il caso diventa più sottile. L’intrusione si colloca in una fase di crescente pressione interna sui dissidenti russi e sugli oppositori del Cremlino rifugiati nel Paese. ESET non ha potuto stabilire se gli hacker cercassero proprio informazioni sui dissidenti, ma la coincidenza temporale pesa. Astana, da anni impegnata in un equilibrio difficile tra Mosca e l’Occidente, si ritrova esposta come snodo di sorveglianza transfrontaliera.
Il terzo piano è la dottrina. Circa il 70% dei Paesi colpiti da Turla dal 2022 sono ex repubbliche sovietiche o Stati europei con legami storici con l’Unione Sovietica. Non è aggressione indiscriminata: è mantenimento di conoscenza sul proprio cortile di casa, più un occhio attento su chi lo attraversa. Il gruppo, noto anche come Secret Blizzard e Venomous Bear, opera almeno dal 2004 ed è considerato tra i più consolidati apparati informatici legati allo Stato russo, con un storico di attacchi a agenzie governative, missioni diplomatiche e organizzazioni della difesa in Europa, Asia centrale e Medio Oriente.
Il messaggio per l’Europa è duplice. Sul piano tecnico, la posta elettronica istituzionale resta la superficie d’attacco più fragile e più preziosa: leggere le e-mail significa anticipare le mosse diplomatiche, non solo rubare documenti. Sul piano politico, la campagna firmata ESET mostra come Mosca continui a considerare la raccolta d’informazioni su NATO e UE un obiettivo permanente, con la pazienza come principale vantaggio competitivo.
Non si tratta di un incidente isolato, ma un’operazione di intelligence strutturata, condotta con strumenti dedicati e orizzonti lunghi, che tiene insieme il fianco est della NATO e l’Asia centrale in un unico dispositivo di ascolto.
Fonte principale: Daryna Antoniuk/The Record, Russian hackers compromised government email servers to steal NATO, EU correspondence, 10 novembre 2026
