FBI, SRI și alți parteneri au destructurat un atac informatic asupra unor state occidentale. Nicușor Dan: Rusia continuă războiul hibrid

Președintele României, Nicușor Dan, a anunțat miercuri, 8 aprilie 2026, că FBI, SRI și alți parteneri internaționali au destructurat un atac cibernetic prelungit orchestrat de GRU, care viza infrastructuri sensibile din mai multe state occidentale.

FBI și SRI au destructurat un atac cibernetic major al GRU

Președintele României, Nicușor Dan, a informat miercuri, 8 aprilie 2026, că FBI, în colaborare cu mai mulți parteneri internaționali, inclusiv SRI, a anunțat destructurarea unui atac informatic de lungă durată care a vizat infrastructuri sensibile din mai multe state occidentale.

Potrivit șefului statului, în spatele acestor acțiuni s-ar afla actori cibernetici asociați cu GRU, serviciul de informații al armatei ruse, care ar fi colectat informații de natură militară, guvernamentală și privind infrastructurile critice.

Nicușor Dan a subliniat că aceste acțiuni confirmă continuarea războiului hibrid purtat de Rusia împotriva țărilor occidentale, adăugând că doar persoanele de rea-credință ar putea ignora această realitate. În acest context, șeful statului a afirmat că România trebuie să își consolideze securitatea cibernetică și să mențină cooperarea strânsă cu partenerii occidentali.

„FBI, împreună cu mai mulți parteneri, printre care SRI, a anunțat destructurarea unui atac informatic prelungit asupra infrastructurii sensibile din mai multe state occidentale. Actori cibernetici asociați GRU, serviciul de informații al armatei ruse, colectau informații militare, guvernamentale și legate de infrastructurile critice. Rusia continuă, deci, războiul hibrid împotriva țărilor occidentale și numai cine este de rea-credință nu vede asta. România trebuie să să-și îmbunătățească securitatea cibernetică și să colaboreze în continuare cu partenerii occidentali”, este mesajul președintelui României.

SRI contribuie la destructurarea rețelei APT28

Serviciul Român de Informații (SRI), prin intermediul Centrului Național Cyberint, a participat alături de parteneri din comunitatea internațională de intelligence la operațiunea Masquerade, în urma căreia a fost destructurată o infrastructură de atac bazată pe dispozitive de comunicații de tip router. Aceasta era utilizată de gruparea cibernetică APT28, cunoscută și sub numele FANCY BEAR, atribuită GRU.

Prin intermediul acestei rețele, atacatorii au reușit să colecteze parole, tokenuri de autentificare și alte date sensibile, inclusiv e-mailuri și istoricul de navigare pe internet. Aceste informații sunt, în mod normal, protejate de protocoale de securitate precum SSL și TLS. În urma acestor activități, GRU a compromis o gamă largă de entități la nivel global, inclusiv din România, vizând în special infrastructuri critice și informații din domeniile militar și guvernamental.

Autoritățile subliniază că modul de operare al grupării evidențiază necesitatea adoptării unor măsuri sporite de securitate cibernetică de către utilizatorii de echipamente de tip SOHO, utilizate frecvent în locuințe sau birouri mici. Printre recomandări se numără înlocuirea dispozitivelor care nu mai beneficiază de actualizări din partea producătorilor, instalarea periodică a actualizărilor de firmware, verificarea autenticității conexiunilor realizate de echipamentele de rețea și revizuirea regulilor de firewall pentru a limita accesul neautorizat de la distanță.

Operațiunea de disrupere a afectat în mod direct activitățile cibernetice desfășurate în prezent de APT28 prin exploatarea routerelor și reduce semnificativ capacitatea grupării de a lansa atacuri viitoare folosind această infrastructură.

„Serviciul Român de Informații, prin intermediul Centrului Național Cyberint, a participat alături de comunitatea internațională de intelligence la operațiunea Masquerade, prin care s-a reușit disruperea unei infrastructuri de atac formate din dispozitive de comunicații (routere), utilizate de actorul cibernetic rus APT28/ FANCY BEAR, atribuit GRU.

Prin intermediul rețelei de atac, actorul cibernetic a colectat parole, tokenuri de autentificare și date sensibile, inclusiv e-mailuri și istoricul căutărilor pe internet, informații care în mod normal sunt protejate de protocoale SSL (secure socket layer) și TLS (transport layer security). În acest mod, GRU a compromis o gamă largă de entități de la nivel global, inclusiv din România, vizând în special infrastructuri critice și informații din domeniile militar și guvernamental.

Modul de operare al actorului cibernetic evidențiază necesitatea adoptării unor măsuri de protecție din partea tuturor utilizatorilor de dispozitive SOHO (small-office home-office – echipamente pentru lucru de acasă sau birouri mici), precum:

înlocuirea dispozitivelor End-of-Life și End-of-Support, pentru care producătorii nu mai emit actualizări;
realizarea actualizărilor de firmware;
verificarea autenticității conexiunilor realizate de dispozitivele de rețea;
revizuirea regulilor firewall pentru a limita expunerea conexiunilor neautorizate de la distanță.

Operațiunea de disrupere a afectat operațiunile cibernetice derulate în prezent de APT28 prin exploatarea echipamentelor de tip router și limitează semnificativ capabilitățile atacatorului de a derula atacuri cibernetice viitoare utilizând această infrastructură de atac”, au transmis membrii SRI.

FBI anunță perturbarea unei rețele globale de routere compromise folosite de GRU pentru furt de date militare și guvernamentale

FBI a avertizat că actori cibernetici afiliați GRU exploatează la scară globală routere vulnerabile pentru a intercepta și sustrage informații sensibile legate de infrastructuri militare, guvernamentale și critice. Potrivit autorităților americane, United States Department of Justice și FBI au reușit recent să perturbe o rețea formată din routere compromise, utilizate în special în mediile de tip small-office și home-office (SOHO), care erau folosite pentru desfășurarea unor operațiuni malițioase de deturnare DNS. Acest demers a fost realizat în cooperare cu National Security Agency și cu parteneri internaționali din mai multe state, inclusiv România.

Autoritățile explică faptul că, începând cel puțin din 2024, actori cibernetici din cadrul structurii GTsSS a GRU, cunoscuți și sub denumirile APT28, Fancy Bear sau Forest Blizzard, au derulat campanii de colectare de acreditări și exploatare a routerelor vulnerabile, inclusiv prin compromiterea unor echipamente TP-Link. Aceștia au modificat setările DNS și DHCP ale dispozitivelor pentru a redirecționa traficul către servere controlate de atacatori, ceea ce a permis interceptarea solicitărilor către domenii de internet. Dispozitivele conectate la aceste rețele, precum telefoanele sau laptopurile, moșteneau automat configurațiile compromise.

Prin această metodă, infrastructura controlată de atacatori putea furniza răspunsuri DNS falsificate pentru anumite servicii, inclusiv platforme utilizate frecvent precum Outlook Web Access, facilitând atacuri de tip „adversar-in-the-middle”. În anumite condiții, aceste atacuri le permiteau hackerilor să acceseze traficul necriptat, chiar și atunci când utilizatorii interacționau cu servicii care folosesc protocoale de securitate precum SSL și TLS.

FBI mai precizează că, prin aceste activități, GRU a reușit să colecteze parole, tokenuri de autentificare și alte informații sensibile, inclusiv e-mailuri și date privind navigarea pe internet. Victimele au fost selectate inițial fără discriminare, la nivel global, inclusiv din Statele Unite, după care au fost filtrate în funcție de relevanță, fiind vizate în mod special informații din domeniile militar, guvernamental și al infrastructurilor critice.

„Actorii cibernetici din cadrul Direcției Principale de Informații a Statului Major General (GRU) rus exploatează routere vulnerabile la nivel mondial pentru a intercepta și fura informații sensibile despre infrastructura militară, guvernamentală și critică. Departamentul de Justiție al SUA și FBI au perturbat recent o rețea GRU de routere compromise pentru birouri mici și birouri de acasă (SOHO), utilizate pentru a facilita operațiuni de deturnare DNS malițioasă. FBI și următorii parteneri publică acest anunț pentru a avertiza publicul și a încuraja apărătorii de rețele și proprietarii de dispozitive să ia măsuri pentru a remedia și a reduce suprafața de atac a dispozitivelor similare de la marginea datelor: Agenția Națională de Securitate a SUA (NSA) și parteneri internaționali din Canada, Republica Cehă, Danemarca, Estonia, Finlanda, Germania, Italia, Letonia, Lituania, Norvegia, Polonia, Portugalia, România, Slovacia și Ucraina.

Înțelegerea operațiunilor de deturnare DNS

Din cel puțin 2024, actorii cibernetici din cadrul Centrului Principal de Servicii Speciale 85 (GTsSS) al GRU rusesc – cunoscuți și sub numele de APT28, Fancy Bear și Forest Blizzard – au colectat acreditări și au exploatat routere vulnerabile la nivel mondial, inclusiv compromițând routerele TP-Link folosind CVE-2023-50224. Actorii GRU au modificat setările protocolului de configurare dinamică a gazdei (DHCP) / sistemului de nume de domeniu (DNS) ale dispozitivelor pentru a introduce rezolveri DNS controlați de actori. Dispozitivele conectate, inclusiv laptopurile și telefoanele, moștenesc aceste setări modificate. Infrastructura controlată de actori rezolvă și capturează căutări pentru toate numele de domeniu. GRU oferă răspunsuri DNS frauduloase pentru domenii și servicii specifice – inclusiv Microsoft Outlook Web Access – permițând atacuri de tip adversar-in-the-middle (AitM) împotriva traficului criptat dacă utilizatorii navighează printr-un avertisment de eroare de certificat. Aceste atacuri AitM ar permite actorilor să vadă traficul necriptat.

GRU a colectat parole, token-uri de autentificare și informații sensibile, inclusiv e-mailuri și informații de navigare web protejate în mod normal prin criptare Secure Socket Layer (SSL) și Transport Layer Security (TLS). GRU a compromis fără discriminare o gamă largă de victime din SUA și din întreaga lume și apoi a filtrat utilizatorii afectați, vizând în special informații legate de armată, guvern și infrastructură critică.

Sfaturi pentru a vă proteja

FBI și partenerii săi au publicat îndrumări și indicatori tehnici relevanți, inclusiv avizul de securitate cibernetică NCSC-UK „APT28 exploit routers to enable DNS hijacking operations” (APT28 exploatează routerele pentru a permite operațiuni de deturnare DNS) luni, 06 aprilie 2026, 7 aprilie 2026 și pagina web CISA Edge Device Security (Securitatea dispozitivelor Edge).

Utilizatorii de routere SOHO sunt încurajați să actualizeze dispozitivele care au terminat perioada de asistență, să le actualizeze la cele mai recente versiuni de firmware, să modifice numele de utilizator și parolele implicite și să dezactiveze interfețele de gestionare la distanță de pe internet. Toți utilizatorii ar trebui să ia în considerare cu atenție avertismentele privind certificatele din browserele web și clienții de e-mail.

Organizațiile care permit munca la distanță ar trebui să revizuiască politicile relevante privind modul în care angajații accesează datele sensibile, cum ar fi utilizarea VPN-urilor și a configurațiilor de aplicații consolidate. În plus, organizațiile pot lua în considerare stimularea angajaților pentru a actualiza dispozitivele personale învechite implicate în accesul la distanță.

Raportați

Dacă suspectați că ați fost vizat sau compromis de o intruziune cibernetică GRU rusească, raportați activitatea la biroul local FBI sau depuneți o plângere la IC3. Asigurați-vă că furnizați detalii despre routerul dvs., inclusiv tipul de dispozitiv și configurațiile DHCP”, au transmis americanii.