Il servizio di intelligence SRI di Bucarest attribuisce al gruppo APT Turla, legato all’Fsb russo, un’intrusione nei sistemi di posta elettronica governativi iniziata nel dicembre 2025. Secondo l’SRI gli aggressori hanno sfruttato vulnerabilità nei sistemi Microsoft Exchange tramite un malware denominato Cereal, il cui componente Cerealbox selezionava e copiava i messaggi con riferimenti a Nato e Unione europea. L’intelligence rumena dichiara che l’attacco è stato bloccato dal National Cyberint Centre e che «non è stata rilevata alcuna esfiltrazione di dati sensibili». La società di sicurezza Eset, che per prima aveva individuato il toolset il 28 novembre 2025 in un’organizzazione governativa del Kazakistan, descrive il malware come un codice .NET modulare capace di mappare le organizzazioni colpite e raccogliere email selezionate senza destare sospetti.