EN 30 SEGUNDOS
- ¿Qué ha pasado? El grupo Turla, vinculado al FSB ruso, comprometió servidores Microsoft Exchange de una organización del Gobierno de Rumanía el 23 de diciembre de 2025 y operó dentro de ellos durante casi once meses sin ser detectado.
- ¿Quién está detrás? Turla, un APT atribuido con alta confianza por la firma eslovaca ESET al Servicio Federal de Seguridad ruso, con el 70% de sus objetivos históricos en países postsoviéticos o postcomunistas.
- ¿Qué impacto tiene? Correos con direcciones institucionales de la OTAN y la UE, con adjuntos en Word y PDF, fueron copiados y cifrados para su exfiltración; el material expone posiciones negociadoras y calendarios aliados en el flanco este.
Hackers del FSB ruso comprometieron los servidores del Gobierno rumano para extraer correos sobre la OTAN y la UE.
La intrusión quedó sellada el 23 de diciembre de 2025 en servidores Microsoft Exchange de una organización gubernamental de Rumanía y no se hizo pública hasta el 10 de noviembre de 2026, cuando la firma eslovaca ESET —con sede en Bratislava— presentó su informe. Casi once meses de espionaje sin detectar. La investigación describe un conjunto de herramientas que los analistas bautizaron como Cereal, un juego de palabras con la tecnología de serialización que el software emplea para moverse por el servidor sin dejar rastro.
CerealBox, el módulo que buscaba la OTAN dentro del correo rumano
El componente central se llama CerealBox. Su función no era cifrar ni destruir: era leer. El módulo examinaba el tráfico de correo que atravesaba los servidores comprometidos y seleccionaba los mensajes que contuvieran direcciones institucionales de la OTAN y de la Unión Europea. Después aplicaba filtros predefinidos para quedarse con los que llevaban adjuntos en Word o PDF, los comprimía, los cifraba y los dejaba preparados para que el operador los recogiera cuando le conviniera. Según ESET, se trata de ‘una colección de malware modular en .NET diseñada para ejecutarse en servidores Microsoft Exchange, recibir comandos, ejecutarlos en memoria, mapear la organización comprometida y recolectar mensajes seleccionados’.
Lo que hace distinto a Cereal es su logística. La mayoría del malware de espionaje se conecta a un servidor de mando y control externo, un balcón desde el que los defensores pueden detectar la anomalía y tirar del hilo. Este no. Cereal utilizaba la propia infraestructura Microsoft de la organización atacada como centro de mando, de modo que el tráfico malicioso nunca salía del perímetro legítimo. A eso se suma la ejecución en memoria, sin artefactos que quedaran escritos en disco. ESET califica el diseño de inusual por combinar ‘técnicas novedosas que exigen un conocimiento profundo de las tripas de Exchange con métodos poco ortodoxos de ejecución en .NET’.
La atribución es firme. Los investigadores asignan el conjunto al grupo Turla, un APT —Advanced Persistent Threat, la etiqueta que la industria usa para los equipos de intrusión patrocinados por Estados— que la comunidad considera afiliado al FSB, el servicio de seguridad interior ruso. El historial encaja: Turla ha golpeado objetivos ucranianos de primer nivel y el 70% de los países donde ha operado son Estados postsoviéticos o postcomunistas de Europa del Este y Asia Central. Su especialidad son las instituciones públicas.
Un correo institucional puede valer más que un batallón cuando quien lo lee sabe qué se negocia, con quién y cuándo.
El rastro se cruza. ESET detectó el mismo código por primera vez en noviembre de 2025 en el servidor de una agencia gubernamental de Kazajistán; un mes más tarde apareció en Rumanía. Los analistas registraron además un pico de actividad en Kazajistán el 15 de enero de 2026, el día siguiente al Año Nuevo Viejo que se celebra en Rusia y en varios países vecinos. ‘El malware no celebra festivos, pero sus operadores sí’, escribió la compañía.
Rumanía, el flanco este que ya no separa lo físico de lo digital
Rumanía no es un objetivo cualquiera. Es Estado miembro de la OTAN en el flanco oriental y, desde la invasión a gran escala de Ucrania, ha absorbido el derrame material del conflicto: violaciones de espacio aéreo, derribos de drones y hasta el impacto de un buque comercial en su zona económica exclusiva —la franja marítima sobre la que un Estado ejerce derechos soberanos de explotación—. El ciberespacio es la prolongación natural de esa presión, no un escenario aparte.
La secuencia conocida lo confirma. En mayo de 2025, otro actor APT ruso atacó a fabricantes de armamento que sostienen a Ucrania, incluidos los radicados en territorio rumano. Meses antes, al inicio de la guerra, una oleada de denegación de servicio distribuida (DDoS) tumbó durante horas las webs de autoridades públicas y del sector financiero. Cereal es un escalón distinto: no busca el apagón, busca la información.
Y la información que perseguía es de las que se pagan caras. Mensajes con direcciones institucionales de la OTAN y de la UE, con documentos adjuntos. Ese material suele contener borradores de posiciones negociadoras, calendarios de reuniones, listas de contactos y detalles de despliegues. Con casi un año de acceso, el volumen de metadatos —quién escribe a quién y con qué frecuencia— puede resultar más revelador que el contenido de cualquier mensaje aislado.
Equilibrio de Poder
La lectura desde Washington no pasa por una respuesta inmediata. La administración Trump ha reordenado sus prioridades hacia el Indo-Pacífico y aplica a Europa un criterio transaccional: exige a los aliados capacidades antes que solidaridad declarativa. En ese marco, un ciberataque conocido once meses después de producirse es, sobre todo, un argumento presupuestario para quienes en el Pentágono reclaman más inversión en ciberdefensa, y en la OTAN. Moscú, por su parte, no necesita reivindicar nada. La ambigüedad es su ventaja: sin atribución formal de un Estado, no hay artículo 5 que activar.
Bruselas responde con el manual de siempre: sanciones al personal del FSB y declaraciones de solidaridad. El problema es estructural. La OTAN aprobó en Madrid en 2022 un Concepto Estratégico que reconoce el ciberespacio como dominio operativo y admite que un ciberataque grave pueda desencadenar una respuesta basada en el artículo 5, pero deja en manos del Consejo del Atlántico Norte decidir, caso por caso, dónde está ese umbral. Nadie ha querido definirlo con precisión. Rumanía acaba de aportar un argumento a la revisión pendiente de ese documento.
Para España la pieza importa más de lo que parece. Defensa mantiene desplegada una batería de misiles antiaéreos Patriot en la base de Capu Midia, en territorio rumano, y contribuye con sistemas NASAMS y personal al dispositivo aliado del flanco este; además hay empresas españolas en sectores estratégicos rumanos que encajan en el catálogo de objetivos de un actor que, según ESET, golpea a fabricantes de armamento. A eso se suma la superficie expuesta propia: el CNI y el Mando Conjunto del Ciberespacio llevan años advirtiendo de que las redes de Exchange sin actualizar son la puerta de entrada preferida, y el CCN-CERT publica avisos recurrentes sobre campañas que explotan servidores de correo sin parchear.
El riesgo inmediato tiene nombre técnico: persistencia. Un atacante que ha pasado once meses dentro de un Exchange gubernamental acepta ser descubierto solo cuando ya no le hace falta seguir ahí. La pregunta operativa no es cómo entró, sino qué dejó instalado antes de que ESET publicara su informe. La ventana crítica se mide en semanas: rotación de credenciales, auditoría forense completa de los servidores rumanos y revisión de todos los buzones que intercambiaron mensajes marcados como OTAN o UE. Cabe recordar que el precedente de Kazajistán demuestra que el grupo reutiliza infraestructura y vuelve.
Lo que observamos es un patrón consolidado: la confrontación entre Rusia y Occidente se libra ya en la capa donde nadie declara la guerra. El pulso no se gana con comunicados, sino con inventario de redes y disciplina de parcheo. Las próximas comunicaciones de ESET sobre Turla y el siguiente paquete de sanciones europeo contra el FSB dirán si esto queda en nota de prensa o se convierte en doctrina. De momento, Rumanía tiene once meses de correos que ya no le pertenecen.
