O que o CERT Polska divulgou a 8 de agosto

O CERT Polska, a equipa nacional polaca de resposta a emergências informáticas, divulgou publicamente a 8 de agosto de 2026 que atacantes tinham sabotado uma central de cogeração que aquece cerca de 50 mil residentes. A intrusão começou com uma fase de reconhecimento que o CERT Polska situa entre 18 e 25 de dezembro de 2025, seguida de uma fase destrutiva que decorreu a 29 de dezembro de 2025, das 5h30 às 10h10.

Durante essas horas, os atacantes forçaram a paragem da turbina a vapor e do sistema de tratamento de água de processo da central, comutaram os controladores Siemens S7-300, S7-1200 e S7-1500 para o modo STOP, e repuseram as predefinições de fábrica em sete servidores série Moxa mais três comutadores de rede. A equipa iniciou a recuperação por volta das 7h30, enquanto os atacantes ainda estavam ativos na rede, e restabeleceu o funcionamento sem que qualquer cliente perdesse aquecimento ou eletricidade.

O salto: a APN de um parque eólico para uma central alheia

O ponto de entrada não foi a própria central. Segundo o relatado, um equipamento FortiGate, a funcionar simultaneamente como firewall e concentrador VPN, estava numa APN celular privada usada para monitorizar a subestação de um parque eólico. Uma falha de configuração permitia que qualquer dispositivo alcançável nessa APN comunicasse com qualquer outro, incluindo um router celular Teltonika RUTX50 e um controlador WAGO PFC200 mais adiante na cadeia, o que deu aos atacantes um caminho do segmento de monitorização do parque eólico até um controlador da central.

O CERT Polska descreve isto como o primeiro caso documentado de uma APN privada usada como caminho de passagem entre duas redes de tecnologia operacional sem qualquer relação aparente entre si. Os investigadores ligaram a intrusão ao grupo afeto à Rússia Sandworm, citando sobreposições com atividade wiper anterior do grupo, com a atribuição oferecida com confiança média; a divulgação seguiu-se a uma investigação que, segundo o CERT Polska, durou mais de três meses.

Porque 'privada' não significa 'isolada'

As operadoras de energia e as empresas industriais em toda a UE tratam geralmente as APN celulares privadas como uma categoria de rede mais segura do que a internet pública, e muitas dispensam os controlos de segmentação que exigiriam para uma ligação exposta à internet, presumindo que uma APN privada já está isolada por conceção. Essa suposição é normalmente uma decisão tomada uma única vez, na altura em que se assina um contrato de monitorização remota de um parque eólico ou de uma subestação, e raramente é revista depois.

Este incidente mostra que a suposição não se sustenta. Uma APN privada construída para monitorizar um parque eólico tornou-se o caminho para os controlos de turbina e tratamento de água de uma central, dois sistemas sem qualquer razão operacional para partilhar um percurso de rede. Para qualquer operador de aquecimento urbano, empresa de energia ou empresa industrial da UE que faça a gestão de monitorização SCADA ou OT através de uma ligação celular privada, esta é agora uma razão documentada e relevante para o conselho de administração testar se essa ligação está segmentada da OT.

O que verificar antes do próximo ciclo de auditoria

Comece por um inventário: liste cada APN privada ou ligação celular que alcança uma rede OT, identifique o equipamento de cada fabricante presente, como firewalls Fortinet, routers Teltonika, controladores WAGO, PLC da Siemens ou gateways série Moxa, e confirme, através de uma revisão de configuração, se os dispositivos nessa APN conseguem alcançar dispositivos de outro local ou de outro operador. Quando uma única APN serve vários ativos remotos, como aconteceu aqui, essa acessibilidade partilhada é precisamente a vulnerabilidade.

Depois, verifique os elos da cadeia que este ataque realmente usou: credenciais de fábrica ou predefinidas em servidores série e comutadores, regras do concentrador VPN mais amplas do que o tráfego de monitorização para o qual foram construídas, e se um PLC pode ser forçado para modo STOP a partir de qualquer dispositivo alcançável na APN, em vez de apenas a partir de uma estação de trabalho de engenharia na própria rede da central. O aquecimento urbano e a energia são entidades essenciais ao abrigo do NIS2, pelo que isto é agora um exemplo real a que uma autoridade de supervisão pode recorrer, já não hipotético.

Leia a seguir: Um edifício inutilizado custa mais do que um resgate  |  Uma falha da Cisco com 18 anos tem agora um prazo de 3 dias