Sandworm a piraté une centrale via l'APN éolienne

Ce que le CERT Polska a révélé le 8 août

Le CERT Polska, l'équipe polonaise de réponse aux urgences informatiques, a révélé publiquement le 8 août 2026 que des attaquants avaient saboté une centrale de cogénération chauffant environ 50 000 habitants. L'intrusion a commencé par une phase de reconnaissance que le CERT Polska situe entre le 18 et le 25 décembre 2025, suivie d'une phase destructrice qui s'est déroulée le 29 décembre 2025, de 5h30 à 10h10.

Pendant ces heures, les attaquants ont forcé l'arrêt de la turbine à vapeur et du système de traitement de l'eau de process de la centrale, basculé les automates Siemens S7-300, S7-1200 et S7-1500 en mode STOP, et réinitialisé aux réglages d'usine sept serveurs série Moxa ainsi que trois commutateurs réseau. Le personnel a entamé le rétablissement vers 7h30, alors que les attaquants étaient encore actifs dans le réseau, et a restauré l'exploitation sans qu'aucun client ne perde le chauffage ni l'électricité.

Le pivot: l'APN d'un parc éolien vers une centrale étrangère

Le point d'entrée n'était pas la centrale elle-même. Selon les informations rapportées, un boîtier FortiGate faisant office à la fois de pare-feu et de concentrateur VPN se trouvait sur une APN cellulaire privée utilisée pour surveiller le poste électrique d'un parc éolien. Une erreur de configuration permettait à tout appareil joignable sur cette APN de communiquer avec n'importe quel autre, dont un routeur cellulaire Teltonika RUTX50 et un automate WAGO PFC200 plus loin dans la chaîne, offrant aux attaquants une voie depuis le segment de surveillance du parc éolien jusqu'à un automate de la centrale.

Le CERT Polska décrit cela comme le premier cas documenté d'une APN privée utilisée comme voie de passage entre deux réseaux de technologie opérationnelle sans lien apparent entre eux. Des chercheurs ont relié l'intrusion au groupe lié à la Russie Sandworm, citant des recoupements avec une activité wiper antérieure du groupe, avec une attribution offerte à confiance moyenne; la révélation a suivi une enquête que le CERT Polska dit avoir duré plus de trois mois.

Pourquoi 'privée' ne veut pas dire 'isolée'

Les opérateurs énergétiques et industriels européens traitent généralement les APN cellulaires privées comme une catégorie de réseau plus sûre que l'internet public, et beaucoup omettent les contrôles de segmentation qu'ils exigeraient pour une liaison exposée à internet, en supposant qu'une APN privée est déjà isolée par conception. Cette hypothèse est le plus souvent une décision prise une seule fois, à la signature d'un contrat de surveillance à distance pour un parc éolien ou un poste électrique, et rarement révisée par la suite.

Cet incident montre que l'hypothèse ne tient pas. Une APN privée construite pour surveiller un parc éolien est devenue la voie vers les commandes de turbine et de traitement de l'eau d'une centrale, deux systèmes sans aucune raison opérationnelle de partager un chemin réseau. Pour tout opérateur de chauffage urbain, énergéticien ou industriel européen exploitant une surveillance SCADA ou OT sur une liaison cellulaire privée, c'est désormais un motif documenté et pertinent au niveau du conseil d'administration de vérifier si cette liaison est séparée de l'OT.

Ce qu'il faut vérifier avant le prochain audit

Commencez par un inventaire: recensez chaque APN privée ou liaison cellulaire qui atteint un réseau OT, identifiez les équipements de chaque fournisseur présents, tels que pare-feu Fortinet, routeurs Teltonika, automates WAGO, automates Siemens ou passerelles série Moxa, et vérifiez par une revue de configuration si les appareils de cette APN peuvent atteindre des appareils d'un autre site ou d'un autre opérateur. Lorsqu'une seule APN dessert plusieurs actifs distants, comme ici, c'est précisément cette accessibilité partagée qui constitue la vulnérabilité.

Vérifiez ensuite les maillons de la chaîne réellement utilisés dans cette attaque: identifiants d'usine ou par défaut sur les serveurs série et commutateurs, règles du concentrateur VPN plus larges que le trafic de surveillance pour lequel elles avaient été conçues, et si un automate peut être forcé en mode STOP depuis n'importe quel appareil joignable sur l'APN, plutôt que depuis un seul poste d'ingénierie sur le réseau propre de la centrale. Le chauffage urbain et l'énergie sont des entités essentielles au titre de NIS2, ce qui fait de cet incident un exemple réel qu'une autorité de contrôle peut désormais citer, non plus hypothétique.

À lire ensuite: Un bâtiment inutilisable coûte plus qu'une rançon  |  Une faille Cisco de 18 ans, délai de 3 jours