FBI anunță destructurarea unei rețele folosite de GRU. Nicușor Dan cere consolidarea securității cibernetice a României

Președintele Nicușor Dan a reacționat după anunțul făcut de FBI privind destructurarea unei operațiuni cibernetice atribuite GRU, serviciul de informații al armatei ruse, și a transmis că episodul confirmă continuarea războiului hibrid purtat de Rusia împotriva statelor occidentale. Mesajul șefului statului vine după ce autoritățile americane au anunțat, alături de parteneri internaționali, inclusiv din România, neutralizarea unei rețele de routere compromise, folosite pentru interceptarea și furtul de informații sensibile.

În declarația sa publică, Nicușor Dan a arătat că „FBI, împreună cu mai mulți parteneri, printre care SRI, a anunțat destructurarea unui atac informatic prelungit asupra infrastructurii sensibile din mai multe state occidentale”. Președintele a subliniat că actorii implicați, asociați GRU, colectau informații militare, guvernamentale și legate de infrastructurile critice, concluzionând că „Rusia continuă, deci, războiul hibrid împotriva țărilor occidentale”. Totodată, el a insistat că România trebuie să își consolideze securitatea cibernetică și să continue cooperarea cu partenerii occidentali.

Potrivit informațiilor publicate de autoritățile americane, operațiunea a vizat o infrastructură controlată de unitatea militară rusă din cadrul GRU, cunoscută și sub numele APT28, Fancy Bear sau Forest Blizzard. Departamentul de Justiție al SUA a anunțat că FBI a desfășurat o operațiune autorizată de instanță pentru a neutraliza partea din SUA a unei rețele formate din routere de tip small office/home office (SOHO) compromise, utilizate pentru operațiuni de deturnare DNS și pentru spionaj cibernetic îndreptat împotriva unor ținte de interes pentru statul rus, inclusiv din zonele militară, guvernamentală și de infrastructură critică.

Ancheta arată că, încă din cel puțin 2024, actorii GRU au exploatat vulnerabilități cunoscute pentru a compromite routere vulnerabile TP-Link la nivel global. După accesarea dispozitivelor, aceștia modificau setările DNS, redirecționând traficul către servere controlate de atacatori. În acest mod, anumite cereri puteau fi interceptate, iar pentru unele servicii erau furnizate răspunsuri DNS frauduloase, astfel încât victimele ajungeau pe pagini care imitau servicii legitime, inclusiv Microsoft Outlook Web Access. Dacă utilizatorii ignorau avertismentele de certificat, atacatorii puteau vedea traficul în formă necriptată.

FBI precizează că, prin această metodă, au fost colectate parole, tokenuri de autentificare, e-mailuri și alte informații sensibile care, în mod normal, ar fi trebuit să fie protejate de mecanismele de criptare SSL și TLS. Oficialii americani susțin că compromiterea inițială a fost una largă, fără o selecție strictă a victimelor, iar ulterior actorii ruși filtrau datele pentru a identifica persoanele și organizațiile relevante, cu interes special pentru domeniile militar, guvernamental și infrastructură critică.

Anunțul public de avertizare a fost emis de FBI împreună cu NSA și o serie de parteneri internaționali. Pe lista statelor partenere apar, alături de SUA, Canada și mai multe țări europene, inclusiv România, ceea ce confirmă dimensiunea internațională a operațiunii și cooperarea transatlantică pe componenta de securitate cibernetică.

Autoritățile americane recomandă utilizatorilor de routere SOHO să înlocuiască echipamentele ieșite din suport, să instaleze cel mai nou firmware disponibil, să schimbe numele de utilizator și parolele implicite, să verifice autenticitatea setărilor DNS și să dezactiveze interfețele de administrare la distanță expuse pe internet. În plus, organizațiile care folosesc muncă la distanță sunt sfătuite să își revizuiască politicile de acces la date sensibile, inclusiv prin utilizarea VPN-urilor și a unor configurații mai bine securizate.

Mesajul transmis de Nicușor Dan plasează acest episod într-un context mai larg, cel al amenințărilor hibride atribuite Rusiei. Dincolo de componenta strict tehnică, cazul arată cât de vulnerabile pot deveni echipamente aparent banale, precum routerele folosite în locuințe sau birouri mici, atunci când nu sunt actualizate sau securizate corespunzător. Iar pentru România, participarea la un astfel de efort comun confirmă că securitatea cibernetică nu mai este doar o problemă tehnică, ci una de siguranță națională și de cooperare strategică între aliați.

Comunicat SRI
Serviciul Român de Informații, prin intermediul Centrului Național Cyberint, a participat alături de comunitatea internațională de intelligence la operațiunea Masquerade, prin care s-a reușit disruperea unei infrastructuri de atac formate din dispozitive de comunicații (routere), utilizate de actorul cibernetic rus APT28/ FANCY BEAR, atribuit GRU.

Prin intermediul rețelei de atac, actorul cibernetic a colectat parole, tokenuri de autentificare și date sensibile, inclusiv e-mailuri și istoricul căutărilor pe internet, informații care în mod normal sunt protejate de protocoale SSL (secure socket layer) și TLS (transport layer security). În acest mod, GRU a compromis o gamă largă de entități de la nivel global, inclusiv din România, vizând în special infrastructuri critice și informații din domeniile militar și guvernamental.

Modul de operare al actorului cibernetic evidențiază necesitatea adoptării unor măsuri de protecție din partea tuturor utilizatorilor de dispozitive SOHO (small-office home-office – echipamente pentru lucru de acasă sau birouri mici), precum:

• înlocuirea dispozitivelor End-of-Life și End-of-Support, pentru care producătorii nu mai emit actualizări;
• realizarea actualizărilor de firmware;
• verificarea autenticității conexiunilor realizate de dispozitivele de rețea;
• revizuirea regulilor firewall pentru a limita expunerea conexiunilor neautorizate de la distanță.

Operațiunea de disrupere a afectat operațiunile cibernetice derulate în prezent de APT28 prin exploatarea echipamentelor de tip router și limitează semnificativ capabilitățile atacatorului de a derula atacuri cibernetice viitoare utilizând această infrastructură de atac.