Turla: hackers rusos robaron correos de la OTAN y la UE en Rumanía con el malware Cereal
La firma eslovaca de ciberseguridad ESET afirma que un grupo de hackers conocido como Turla, vinculado con alta confianza al FSB ruso, vulneró los servidores Microsoft Exchange de una institución gubernamental rumana para recopilar correos electrónicos relacionados con la OTAN y la Unión Europea. ESET hizo públicos estos hallazgos el 10 de noviembre de 2026.
La herramienta utilizada en la intrusión es una familia de malware modular basada en .NET, hasta ahora no documentada, a la que la compañía llama «Cereal». En lugar de depender de un servidor de comando externo, Cereal convierte el propio servidor Exchange de la víctima en su infraestructura de control: el tráfico malicioso se mezcla con la actividad normal de correo del servidor, lo que dificulta enormemente su detección.
Un componente llamado «CerealBox» filtra automáticamente los correos entrantes y salientes vinculados a direcciones institucionales de la OTAN y la UE que incluyen archivos adjuntos en Word o PDF. Los correos seleccionados se comprimen y cifran, quedando listos para que los operadores los recuperen posteriormente, sin necesidad de intervención humana constante.
Según ESET, los servidores rumanos fueron comprometidos el 23 de diciembre de 2025. La firma detectó por primera vez esta herramienta en Kazajistán en noviembre de 2025, y rastreó la intrusión rumana aproximadamente un mes después, lo que significa que la brecha pasó inadvertida durante casi un año.
Turla es uno de los grupos más antiguos rastreados por investigadores occidentales, activo desde al menos 2008 y históricamente asociado a la plataforma de espionaje Snake/Uroburos. Durante más de una década ha atacado reiteradamente ministerios de exteriores, organismos gubernamentales e instituciones vinculadas a la defensa en Europa y Asia Central.
Rumania se encuentra en el flanco oriental de la OTAN y tiene costa en el mar Negro. Según ESET, alrededor del 70 por ciento de los países que Turla ha atacado son antiguos estados soviéticos o del bloque comunista, concentrados en Europa del Este y Asia Central. En mayo de 2025 se registró otra operación cibernética rusa contra fabricantes de armamento rumanos que apoyan a Ucrania, lo que refuerza el patrón de ataques repetidos contra Rumania.
ESET divulgó sus hallazgos mediante una entrada de blog y un comunicado de prensa. Las autoridades rumanas no han emitido declaraciones hasta el momento. No se ha revelado qué institución exacta fue el objetivo, el volumen de correos robados ni si la intrusión sigue activa.
El caso recuerda que cualquier organismo gubernamental o empresa de defensa que mantenga correspondencia regular con contrapartes de la OTAN o la UE puede ser blanco del mismo método, ya que el malware prioriza específicamente la correspondencia oficial con adjuntos, no el tráfico genérico. También subraya el papel de los investigadores independientes a la hora de sacar a la luz intrusiones que los sistemas internos de las propias instituciones no detectan.
ESET atribuye la herramienta a Turla con «alta confianza», basándose en un análisis técnico de la estructura del código y similitudes con campañas anteriores del grupo, no en una revelación pública de la identidad de los atacantes. Los expertos señalan que este método —convertir el propio servidor de la víctima en infraestructura de mando— representa una evolución notable en las tácticas de espionaje cibernético ruso y exige a las instituciones gubernamentales auditar periódicamente los registros de sus servidores de correo y vigilar comportamientos atípicos en los adjuntos intercambiados con direcciones de la OTAN y la UE.
Fuentes
- Defense News, «Romanian servers targeted by Russian hackers to scoop up emails about NATO, EU», Linus Höller, 11 de noviembre de 2026 — ver fuente — fuente principal de este artículo, basada en el análisis de ESET.
