Co ujawnił CERT Polska 8 sierpnia

CERT Polska, polski narodowy zespół reagowania na incydenty komputerowe, ujawnił publicznie 8 sierpnia 2026 roku, że napastnicy sabotowali elektrociepłownię ogrzewającą około 50 tysięcy mieszkańców. Włamanie rozpoczęło się od fazy rozpoznania, którą CERT Polska datuje na 18-25 grudnia 2025 roku, po której nastąpiła faza destrukcyjna trwająca 29 grudnia 2025 roku od 5.30 do 10.10.

W tych godzinach napastnicy wymusili zatrzymanie turbiny parowej i instalacji uzdatniania wody procesowej w zakładzie, przełączyli sterowniki Siemens S7-300, S7-1200 i S7-1500 w tryb STOP oraz przywrócili ustawienia fabryczne na siedmiu szeregowych serwerach Moxa i trzech przełącznikach sieciowych. Personel rozpoczął przywracanie działania około 7.30, gdy napastnicy byli wciąż aktywni w sieci, i przywrócił działanie zakładu, przy czym żaden klient nie stracił ogrzewania ani prądu.

Przeskok: APN farmy wiatrowej do obcego zakładu

Punktem wejścia nie była sama elektrociepłownia. Według doniesień, urządzenie FortiGate, działające jednocześnie jako zapora sieciowa i koncentrator VPN, znajdowało się w prywatnym APN komórkowym używanym do monitorowania stacji transformatorowej farmy wiatrowej. Błąd konfiguracji pozwalał każdemu urządzeniu osiągalnemu w tym APN komunikować się z każdym innym, w tym z routerem komórkowym Teltonika RUTX50 i sterownikiem WAGO PFC200 dalej w łańcuchu, co dało napastnikom drogę z segmentu monitorującego farmy wiatrowej do sterownika w elektrociepłowni.

CERT Polska opisuje to jako pierwszy udokumentowany przypadek, w którym prywatne APN posłużyło jako ścieżka przejścia między dwiema sieciami technologii operacyjnej bez żadnego oczywistego związku między sobą. Badacze powiązali włamanie z grupą Sandworm powiązaną z Rosją, wskazując na pokrywanie się z wcześniejszą aktywnością typu wiper tej grupy, przy czym atrybucja jest oferowana z umiarkowaną pewnością; ujawnienie nastąpiło po śledztwie, które według CERT Polska trwało ponad trzy miesiące.

Dlaczego 'prywatne' nie znaczy 'odizolowane'

Operatorzy energetyczni i przemysłowi w całej UE na ogół traktują prywatne APN komórkowe jako bezpieczniejszą kategorię sieci niż publiczny internet, a wielu pomija kontrole segmentacji, których wymagaliby dla łącza wystawionego na internet, zakładając, że prywatne APN jest już odizolowane z założenia. Założenie to jest zwykle decyzją podejmowaną raz, w momencie podpisania umowy o zdalnym monitorowaniu farmy wiatrowej lub stacji transformatorowej, i rzadko potem weryfikowana.

Ten incydent pokazuje, że założenie się nie sprawdza. Prywatne APN zbudowane do monitorowania farmy wiatrowej stało się drogą do sterowania turbiną i uzdatnianiem wody w elektrociepłowni, dwóch systemów bez żadnego operacyjnego powodu, by dzielić ścieżkę sieciową. Dla każdego operatora ciepłownictwa, przedsiębiorstwa energetycznego czy firmy przemysłowej w UE prowadzącej monitoring SCADA lub OT przez prywatne łącze komórkowe, jest to teraz udokumentowany, istotny dla zarządu powód, by sprawdzić, czy to łącze jest odseparowane od OT.

Co sprawdzić przed kolejnym cyklem audytu

Zacznijcie od inwentaryzacji: wypiszcie każde prywatne APN lub łącze komórkowe, które osiąga sieć OT, wskażcie sprzęt poszczególnych dostawców na nim, taki jak zapory Fortinet, routery Teltonika, sterowniki WAGO, sterowniki PLC Siemens czy bramki szeregowe Moxa, i potwierdźcie poprzez przegląd konfiguracji, czy urządzenia w tym APN mogą osiągnąć urządzenia należące do innego obiektu lub innego operatora. Gdy jedno APN obsługuje wiele odległych zasobów, jak w tym przypadku, to właśnie ta współdzielona osiągalność jest podatnością.

Następnie sprawdźcie ogniwa łańcucha, które ten atak faktycznie wykorzystał: fabryczne lub domyślne dane logowania na szeregowych serwerach urządzeń i przełącznikach, reguły koncentratora VPN szersze niż ruch monitorujący, do którego zostały zbudowane, oraz czy sterownik PLC może zostać zmuszony do trybu STOP z dowolnego urządzenia osiągalnego w APN, a nie tylko ze stacji inżynierskiej we własnej sieci zakładu. Ciepłownictwo i energetyka są podmiotami kluczowymi w rozumieniu NIS2, więc jest to teraz realny przykład, na który może wskazać organ nadzoru, a nie hipotetyczny.

Czytaj dalej: Martwy budynek kosztuje więcej niż okup  |  Osiemnastoletnia luka Cisco ma teraz 3 dni na łatkę