CERT Polska ujawnił nowe szczegóły skoordynowanego cyberataku na polski sektor energii z 29 grudnia 2025 roku. W jednym z incydentów napastnicy wykorzystali prywatny APN jako element ścieżki prowadzącej do sieci przemysłowej elektrociepłowni. Według CERT Polska był to pierwszy znany przypadek wykorzystania takiego scenariusza podczas rzeczywistego ataku.
Uzupełnienie raportu CERT Polska pokazuje, że skuteczny atak na infrastrukturę krytyczną nie musi rozpoczynać się bezpośrednio w zaatakowanym obiekcie. W tym przypadku napastnicy przeszli przez infrastrukturę farmy wiatrowej, router komórkowy oraz prywatną sieć transmisji danych operatora systemu dystrybucyjnego, by ostatecznie dostać się do sieci OT elektrociepłowni dostarczającej ciepło około 50 tys. mieszkańców.
29 grudnia około godziny 7:00 doszło tam do zatrzymania turbiny parowej oraz stacji uzdatniania wody wykorzystywanej do celów technicznych. Przerwany został proces kogeneracji. Dzięki szybkiej reakcji personelu awaria trwała krótko i nie doprowadziła do przerw w dostawach ciepła.
Początkowo zdarzenie uznano za możliwy efekt prac utrzymaniowych prowadzonych przez podwykonawcę. CERT Polska, wiedząc jednak o innych atakach przeprowadzonych tego samego dnia, rozpoczął analizę pod kątem incydentu cyberbezpieczeństwa. Ta potwierdziła, że doszło do celowego działania.
Od farmy wiatrowej do elektrociepłowni
Punktem wyjścia dla dalszego ataku była infrastruktura jednej z farm wiatrowych. Napastnicy uzyskali dostęp do urządzenia FortiGate pełniącego funkcję koncentratora VPN i firewalla. Następnie zidentyfikowali router komórkowy Teltonika RUTX50, który był połączony z prywatnym APN wykorzystywanym przez operatora sieci dystrybucyjnej.
Router posiadał jednocześnie połączenie z infrastrukturą farmy wiatrowej. Atakujący uzyskali dostęp do urządzenia, a następnie – jak wskazuje analiza CERT Polska – wykorzystali tunelowanie SSH do komunikacji z prywatną siecią APN.
Od 18 grudnia napastnicy skanowali tę sieć m.in. w poszukiwaniu usług VNC, HTTP oraz protokołów przemysłowych S7 i Modbus.
W ten sposób odnaleziony został sterownik WAGO PFC200 znajdujący się w elektrociepłowni. Jego panel administracyjny był dostępny od strony prywatnego APN, a urządzenie korzystało z domyślnych danych logowania do konta administratora.
Po przejęciu sterownika napastnicy najprawdopodobniej uruchomili na nim usługę SSH i wykorzystali urządzenie jako kolejną bramę. Tym razem prowadzącą już bezpośrednio do sieci OT elektrociepłowni.
Prywatna sieć nie oznacza bezpiecznej sieci
To właśnie ten element incydentu jest jednym z najważniejszych wniosków dla przedsiębiorstw telekomunikacyjnych oraz podmiotów korzystających z rozwiązań komórkowej transmisji danych.
Prywatny APN może sprawiać wrażenie środowiska odseparowanego od publicznego internetu, ale nie powinien być automatycznie traktowany jako sieć zaufana. W analizowanym przypadku błędna konfiguracja umożliwiała komunikację pomiędzy urządzeniami działającymi w ramach tego samego APN.
Oznaczało to, że przejęcie jednego urządzenia otworzyło możliwość wyszukiwania kolejnych celów.
CERT Polska zaznacza, że na podstawie ankiet przeprowadzonych wśród wielu podmiotów ustalono, iż konfiguracje pozwalające urządzeniom końcowym na wzajemną komunikację były w Polsce często spotykane. Zdaniem zespołu podobne rozwiązania są również szeroko stosowane w innych krajach.
Tydzień rozpoznania przed właściwym atakiem
Po uzyskaniu dostępu do sieci elektrociepłowni napastnicy nie rozpoczęli destrukcyjnych działań natychmiast.
Od 18 do 25 grudnia prowadzili rekonesans. Próbowali dostać się do firewalla i bramy VPN, skanowali sieć w poszukiwaniu urządzeń korzystających między innymi z protokołów S7, Modbus i CODESYS oraz sprawdzali dostępność usług RDP i VNC.
25 grudnia udało im się nawiązać komunikację z trzema sterownikami PLC firmy Siemens. CERT Polska przypuszcza, że mogło to być przygotowanie do właściwego ataku.
Ten rozpoczął się 29 grudnia około godziny 5:30.
Napastnicy połączyli się ze środowiskiem SCADA oraz sterownikami Siemens S7-300, S7-1200 i S7-1500. Według pracowników elektrociepłowni sterowniki zostały przełączone w tryb STOP, a następnie zabezpieczone hasłem uniemożliwiającym zmianę trybu pracy i modyfikowanie oprogramowania.
W rezultacie zatrzymano turbinę parową i stację uzdatniania wody.
Atakujący zmieniali również konfigurację urządzeń Moxa. Część z nich została przywrócona do ustawień fabrycznych, zmieniono hasła logowania oraz ustawiono nieosiągalne adresy IP, co miało dodatkowo utrudnić przywracanie infrastruktury do działania.
Atak trwał także podczas usuwania awarii
Szczególnie niepokojący jest fakt, że aktywność napastników w sieci elektrociepłowni trwała do około godziny 10:10. Działania naprawcze rozpoczęły się natomiast już około godziny 7:30.
Oznacza to, że personel przywracał działanie infrastruktury w czasie, gdy atakujący nadal pozostawali obecni w sieci.
Pod koniec operacji napastnicy rozpoczęli także zacieranie śladów. Sterownik WAGO, który służył jako brama do sieci OT, został uszkodzony poprzez modyfikację tablicy partycji. Następnie do ustawień fabrycznych przywrócono router Teltonika oraz urządzenie FortiGate wykorzystywane wcześniej jako punkt wejścia do sieci farmy wiatrowej.
W części przypadków doprowadziło to do utraty logów, które mogłyby pomóc w dalszej analizie.
CERT Polska: APN trzeba traktować jak sieć niezaufaną
CERT Polska rekomenduje przede wszystkim audyt konfiguracji prywatnych APN i włączenie izolacji pomiędzy urządzeniami końcowymi, jeżeli ich bezpośrednia komunikacja nie jest konieczna.
Kluczowa rekomendacja jest jednak bardziej fundamentalna: prywatnego APN nie należy traktować jako sieci automatycznie bezpiecznej tylko dlatego, że nie jest publicznym internetem. Po stronie infrastruktury OT powinien on podlegać segmentacji i kontroli ruchu na poziomie co najmniej takim, jaki stosowany jest wobec korporacyjnych sieci WAN.
CERT Polska zaleca także ograniczenie do minimum komunikacji pomiędzy siecią OT a urządzeniami pełniącymi funkcję bramy do APN, stosowanie reguł allowlist, monitoring ruchu, centralne zbieranie logów oraz wyłączenie zbędnych usług administracyjnych dostępnych od strony APN, takich jak WWW, SSH czy Telnet.
Niezbędna jest również zmiana domyślnych danych uwierzytelniających oraz uwzględnianie infrastruktury prywatnych APN w testach penetracyjnych, ćwiczeniach red team i przeglądach architektury bezpieczeństwa.
