Cosa ha rivelato il CERT Polska l'8 agosto

Il CERT Polska, il team nazionale polacco di risposta alle emergenze informatiche, ha reso pubblico l'8 agosto 2026 che alcuni aggressori avevano sabotato una centrale di cogenerazione che riscalda circa 50.000 residenti. L'intrusione è iniziata con una fase di ricognizione che il CERT Polska colloca tra il 18 e il 25 dicembre 2025, seguita da una fase distruttiva svoltasi il 29 dicembre 2025 dalle 5:30 alle 10:10.

In quelle ore gli aggressori hanno forzato l'arresto della turbina a vapore e del sistema di trattamento delle acque di processo della centrale, hanno commutato in modalità STOP i controllori Siemens S7-300, S7-1200 e S7-1500, e hanno riportato alle impostazioni di fabbrica sette server seriali Moxa e tre switch di rete. Il personale ha avviato il ripristino verso le 7:30, mentre gli aggressori erano ancora attivi nella rete, e ha ristabilito l'operatività senza che alcun cliente perdesse riscaldamento o elettricità.

Il salto: la APN di un parco eolico verso una centrale estranea

Il punto di ingresso non era la centrale stessa. Secondo quanto riportato, un apparato FortiGate che fungeva da firewall e concentratore VPN insieme si trovava su una APN cellulare privata usata per monitorare la sottostazione di un parco eolico. Un errore di configurazione permetteva a qualsiasi dispositivo raggiungibile su quella APN di comunicare con qualsiasi altro, compresi un router cellulare Teltonika RUTX50 e un controllore WAGO PFC200 più avanti nella catena, offrendo agli aggressori una via dal segmento di monitoraggio del parco eolico fino a un controllore della centrale.

Il CERT Polska descrive questo come il primo caso documentato di una APN privata usata come percorso di passaggio tra due reti di tecnologia operativa senza alcun legame apparente tra loro. I ricercatori hanno collegato l'intrusione al gruppo legato alla Russia Sandworm, citando sovrapposizioni con precedente attività wiper del gruppo, con un'attribuzione a fiducia media; la divulgazione è arrivata dopo un'indagine che, secondo il CERT Polska, è durata più di tre mesi.

Perché 'privata' non significa 'isolata'

Le utility e le aziende industriali in tutta l'UE trattano di norma le APN cellulari private come una categoria di rete più sicura di internet pubblico, e molte tralasciano i controlli di segmentazione che pretenderebbero per un collegamento esposto a internet, presumendo che una APN privata sia già isolata per progettazione. Questa presunzione è di solito una decisione presa una sola volta, alla firma di un contratto di monitoraggio remoto per un parco eolico o una sottostazione, e raramente viene rivista in seguito.

Questo incidente dimostra che la presunzione non regge. Una APN privata costruita per monitorare un parco eolico è diventata la via verso i controlli di turbina e trattamento acque di una centrale, due sistemi senza alcuna ragione operativa per condividere un percorso di rete. Per qualsiasi operatore di teleriscaldamento, utility energetica o azienda industriale UE che gestisce monitoraggio SCADA o OT su un collegamento cellulare privato, questo è ora un motivo documentato e rilevante per il consiglio di amministrazione per verificare se quel collegamento è separato dalla OT.

Cosa verificare prima del prossimo ciclo di audit

Cominciate con un inventario: elencate ogni APN privata o collegamento cellulare che raggiunge una rete OT, identificate gli apparati dei singoli fornitori presenti, come firewall Fortinet, router Teltonika, controllori WAGO, PLC Siemens o gateway seriali Moxa, e verificate con una revisione della configurazione se i dispositivi su quella APN possono raggiungere dispositivi di un altro sito o di un altro operatore. Quando una sola APN serve più asset remoti, come in questo caso, è proprio quella raggiungibilità condivisa a costituire la vulnerabilità.

Poi controllate gli anelli della catena che questo attacco ha realmente usato: credenziali di fabbrica o predefinite su server seriali e switch, regole del concentratore VPN più ampie del traffico di monitoraggio per cui erano state pensate, e se un PLC può essere forzato in modalità STOP da qualsiasi dispositivo raggiungibile sulla APN, invece che solo da una postazione di ingegneria sulla rete propria della centrale. Teleriscaldamento ed energia sono soggetti essenziali ai sensi della NIS2, quindi questo è ora un esempio reale a cui un'autorità di vigilanza può fare riferimento, non più ipotetico.

Da leggere ora: Un edificio inutilizzabile costa più di un riscatto  |  Un bug Cisco di 18 anni ha ora 3 giorni di tempo