Atak hakerski zatrzymał turbinę w polskiej elektrociepłowni - wykorzystano prywatny APN farmy wiatrowej

CERT Polska opisał nieznany wcześniej wektor ataku na infrastrukturę krytyczną. Napastnicy wykorzystali router komórkowy oraz prywatny APN, aby przejść z sieci farmy wiatrowej do systemów OT elektrociepłowni. Według CERT Polska był to pierwszy znany przypadek wykorzystania takiej drogi dostępu podczas rzeczywistego cyberataku.

Incydent był częścią skoordynowanych ataków przeprowadzonych 29 grudnia 2025 r. Ich celem było co najmniej 30 farm wiatrowych i fotowoltaicznych, zakład przemysłowy oraz duża elektrociepłownia dostarczająca ciepło do niemal pół miliona odbiorców.

Nowy raport dotyczy drugiej, mniejszej elektrociepłowni, zaopatrującej w ciepło około 50 tys. mieszkańców. Analiza tego przypadku zajęła ponad trzy miesiące, dlatego nie znalazł się on w pierwszym opracowaniu CERT Polska.

Prywatny APN stał się korytarzem do kolejnej firmy

Punktem wejścia była infrastruktura farmy wiatrowej. Napastnik uzyskał dostęp do urządzenia FortiGate, które pełniło funkcję zapory sieciowej i koncentratora VPN. Interfejs VPN był dostępny z internetu, a logowanie odbywało się bez uwierzytelniania wieloskładnikowego.

Z sieci farmy atakujący dotarł do routera komórkowego Teltonika RUTX50. Urządzenie miało kartę SIM zapewniającą dostęp do prywatnego APN wykorzystywanego przez operatora systemu dystrybucyjnego energii. Takie połączenia służą między innymi do komunikacji systemu SCADA z urządzeniami RTU znajdującymi się w rozproszonych obiektach energetycznych.

Router był podłączony zarówno do prywatnego APN, jak i przez Ethernet do segmentu sieci kontrolowanego przez przejęty wcześniej firewall. Napastnik logował się do niego przez SSH, a następnie najprawdopodobniej utworzył tunel zapewniający dostęp do urządzeń znajdujących się w prywatnym APN-ie.

Nie ustalono, w jaki sposób zdobył hasło do routera ani czy wykorzystał podatność urządzenia. Hasło fabryczne zostało wcześniej zmienione. Kluczowe dowody pochodziły między innymi z logów uzyskanych od operatora komórkowego.

Urządzenia w prywatnym APN-ie mogły komunikować się między sobą

Najważniejszym problemem okazała się konfiguracja prywatnego APN-u. Nie zastosowano izolacji klientów, dlatego urządzenia z kartami SIM mogły nawiązywać połączenia z innymi urządzeniami podłączonymi do tej samej wydzielonej sieci.

Od 18 grudnia napastnik skanował prywatny APN, szukając usług VNC i HTTP oraz protokołów przemysłowych S7 i Modbus. W ten sposób odnalazł sterownik WAGO PFC200 znajdujący się w elektrociepłowni.

Sterownik miał zintegrowany modem komórkowy i był dostępny z poziomu prywatnego APN-u. Jego panel administracyjny działał na interfejsie WAN, a konto administratora nadal korzystało z domyślnych danych logowania. Napastnik wszedł do panelu, prawdopodobnie uruchomił usługę SSH, a następnie wykorzystał kolejny tunel do uzyskania dostępu do wewnętrznej sieci OT elektrociepłowni.

Przez następny tydzień prowadził rozpoznanie. Skanował sieć, szukał systemów automatyki i próbował łączyć się z urządzeniami przemysłowymi. 25 grudnia nawiązał połączenia z trzema sterownikami PLC Siemensa.

Zatrzymano turbinę i system uzdatniania wody

Właściwy atak rozpoczął się 29 grudnia około godziny 5:30 i trwał prawie pięć godzin. Napastnik przełączył sterowniki Siemens S7-300, S7-1200 i S7-1500 w tryb STOP, a następnie zabezpieczył je hasłami utrudniającymi przywrócenie działania.

Doprowadziło to do zatrzymania turbiny parowej oraz systemu uzdatniania wody technologicznej. Proces kogeneracji został przerwany. Dzięki szybkiej reakcji pracowników instalacja nie działała tylko przez krótki czas, a odbiorcy nie odczuli przerw w dostawach ciepła ani energii elektrycznej.

Atak objął również siedem serwerów portów szeregowych Moxa i trzy przełączniki tej firmy. Urządzenia zostały przywrócone do ustawień fabrycznych, ich hasła zmieniono, a jako adresy IP ustawiono nieosiągalne wartości, między innymi 127.0.0.1. Miało to opóźnić działania naprawcze.

Na końcu napastnik uszkodził sterownik WAGO wykorzystywany jako brama do elektrociepłowni, przywrócił ustawienia fabryczne routera Teltonika oraz urządzenia FortiGate. W ten sposób utrudnił odtworzenie pełnego przebiegu ataku i usunął część logów.

Prywatny APN nie powinien być traktowany jako zaufana sieć

CERT Polska podkreśla, że nie był to atak na sieć operatora komórkowego ani przełamanie zabezpieczeń transmisji radiowej. Prywatny APN, czyli logicznie wydzielona usługa transmisji danych dla określonych kart SIM, został wykorzystany do przemieszczania się pomiędzy źle zabezpieczonymi urządzeniami.

Według CERT Polska konfiguracje pozwalające urządzeniom w prywatnym APN-ie swobodnie komunikować się ze sobą były w momencie prowadzenia analiz powszechnie spotykane w Polsce. Podobne rozwiązania są również stosowane w innych krajach.

CERT zaleca włączenie izolacji urządzeń, zamknięcie dostępnych z APN-u paneli administracyjnych, SSH i Telnetu, zmianę wszystkich fabrycznych haseł oraz ograniczenie komunikacji do ściśle określonych adresów i usług. Prywatny APN powinien być traktowany przez systemy OT jak sieć zewnętrzna o poziomie zaufania porównywalnym z internetem.

Raport nie ujawnia nazwy operatora komórkowego, operatora systemu dystrybucyjnego ani zaatakowanej elektrociepłowni. Infrastruktura użyta podczas całej grudniowej kampanii została przez CERT Polska powiązana z grupą znaną jako Static Tundra, Berserk Bear, Ghost Blizzard lub Dragonfly. CERT nie potwierdził natomiast udziału grupy Sandworm, mimo dostrzeżenia pewnych podobieństw w sposobie prowadzenia destrukcyjnych operacji.