Atak na polską elektrociepłownię przez prywatny APN doprowadził do wyłączenia turbiny - Security Bez Tabu

Atak na polską elektrociepłownię przez prywatny APN doprowadził do wyłączenia turbiny

Cybersecurity news

Wprowadzenie do problemu

Incydent dotyczący polskiej elektrociepłowni pokazuje, że pozorna izolacja systemów OT i ICS nie gwarantuje realnego bezpieczeństwa. W tym przypadku prywatny APN, często uznawany za bezpieczny kanał komunikacji z urządzeniami zdalnymi, stał się wektorem ruchu bocznego, który umożliwił napastnikom ingerencję w proces technologiczny.

Skutkiem ataku było zatrzymanie turbiny oraz zakłócenie działania systemu uzdatniania wody procesowej. To szczególnie istotny sygnał ostrzegawczy dla operatorów infrastruktury krytycznej, którzy wykorzystują prywatne sieci komórkowe jako element architektury komunikacyjnej.

W skrócie

Atak dotknął elektrociepłownię obsługującą około 50 tys. mieszkańców. Z ujawnionych informacji wynika, że intruzi przeszli z kompromitowanej infrastruktury farmy wiatrowej do środowiska sterowania zakładu przez prywatny APN operatora sieci dystrybucyjnej.

Następnie, korzystając z legalnych funkcji urządzeń oraz standardowych protokołów przemysłowych, przełączyli sterowniki PLC w tryb STOP. Dodatkowo zresetowali i przeparametryzowali wybrane urządzenia sieciowe, aby utrudnić odzyskanie środowiska i analizę powłamaniową.

  • wektor wejścia prowadził przez prywatny APN, a nie bezpośrednio z internetu do OT,
  • napastnicy wykorzystali słabe zabezpieczenia dostępu zdalnego,
  • atak nie wymagał klasycznego malware,
  • użyto natywnych funkcji administracyjnych i przemysłowych.

Kontekst i historia incydentu

Do incydentu doszło w grudniu 2025 roku, ale jego szczegóły zostały ujawnione dopiero po dłuższym dochodzeniu. Sprawa wpisuje się w szerszy kontekst zagrożeń dla polskiej infrastruktury krytycznej i pokazuje, że zagrożenie może wynikać nie tylko z ekspozycji usług publicznych, lecz także z błędnych założeń architektonicznych dotyczących sieci pośrednich.

Prywatny APN jest często traktowany jako warstwa separacji między środowiskiem przemysłowym a sieciami otwartymi. Problem pojawia się wtedy, gdy konfiguracja dopuszcza komunikację między klientami, a podłączone urządzenia posiadają słabe lub domyślne mechanizmy uwierzytelniania. W takiej sytuacji APN przestaje pełnić rolę bariery i staje się wspólną płaszczyzną ruchu dla atakującego.

Analiza techniczna

Łańcuch ataku rozpoczął się od farmy wiatrowej, gdzie urządzenie FortiGate pełniło funkcję zapory i koncentratora VPN. Dostęp zdalny był wystawiony do internetu, a konta nie były chronione przez uwierzytelnianie wieloskładnikowe. Po przejęciu uprawnień administracyjnych napastnik uzyskał możliwość dalszego poruszania się po środowisku.

Kolejnym elementem był router komórkowy Teltonika RUTX50 połączony z prywatnym APN. Analiza wskazała na skuteczne logowania przez SSH, co sugeruje wykorzystanie tunelowania przez router do wejścia do sieci prywatnej operatora.

Po przeskanowaniu APN napastnicy odnaleźli sterownik WAGO PFC200 z publicznie dostępnym interfejsem administracyjnym oraz domyślnymi poświadczeniami. Ten element stał się punktem krytycznym całego scenariusza, ponieważ umożliwił dalsze tunelowanie do sieci OT elektrociepłowni.

W dalszej fazie odnotowano połączenia do trzech sterowników Siemens przez protokół S7. Najpewniej był to etap rekonesansu, po którym przystąpiono do działań destrukcyjnych. Sterowniki Siemens z rodzin S7-300, S7-1200 i S7-1500 zostały przełączone w tryb STOP oraz zabezpieczone hasłami, co doprowadziło do zatrzymania turbiny i zakłócenia pracy systemów pomocniczych.

Równolegle zresetowano do ustawień fabrycznych kilka urządzeń infrastrukturalnych, w tym serwery portów szeregowych Moxa i przełączniki. Zmieniono im hasła oraz przypisano nieosiągalne adresy IP, co utrudniło odzyskanie środowiska. Po zakończeniu działań uszkodzono także ścieżkę wejścia i część artefaktów, między innymi przez reset urządzeń oraz utratę logów.

To klasyczny przykład ataku typu living off the land w środowisku OT. Napastnicy nie musieli wdrażać złośliwego oprogramowania, ponieważ wykorzystali dozwolone funkcje administracyjne i wspierane protokoły przemysłowe.

Konsekwencje i ryzyko

Najważniejszy wniosek z incydentu jest prosty: prywatny APN sam w sobie nie zapewnia skutecznej separacji bezpieczeństwa. Jeśli jeden z podłączonych węzłów zostanie przejęty, napastnik może próbować przemieszczać się poziomo do innych zasobów działających w tej samej przestrzeni komunikacyjnej.

Ryzyko ma kilka wymiarów. Po pierwsze, dostęp do interfejsów zarządczych OT umożliwia zmianę stanu procesu technologicznego, a nie tylko obserwację. Po drugie, domyślne poświadczenia znacząco skracają drogę do przejęcia kolejnych urządzeń. Po trzecie, resetowanie sprzętu i niszczenie logów utrudnia analizę śledczą oraz odtwarzanie środowiska. Po czwarte, brak malware nie oznacza niższego poziomu zagrożenia, bo działania oparte na legalnych funkcjach są często trudniejsze do wykrycia.

Dla operatorów infrastruktury krytycznej taki scenariusz oznacza ryzyko przestojów, wzrost kosztów odtworzenia, potencjalne konsekwencje regulacyjne oraz szkody reputacyjne. Nawet jeśli nie doszło do długotrwałych przerw w dostawach, samo zdalne zatrzymanie elementów procesu technologicznego należy traktować jako incydent wysokiej wagi.

Rekomendacje

Organizacje korzystające z prywatnych APN w środowiskach przemysłowych powinny zweryfikować, czy włączono izolację klientów oraz czy komunikacja między urządzeniami odbywa się wyłącznie wtedy, gdy jest to rzeczywiście uzasadnione operacyjnie. APN nie powinien być uznawany za strefę zaufaną, lecz za medium transportowe wymagające pełnej kontroli bezpieczeństwa.

  • usunąć domyślne poświadczenia ze sterowników, routerów i urządzeń sieciowych,
  • włączyć MFA dla wszystkich kont z dostępem zdalnym,
  • ograniczyć interfejsy WWW, SSH i inne usługi zarządcze tylko do wybranych segmentów,
  • wdrożyć ścisłą segmentację między IT, sieciami pośrednimi i OT,
  • monitorować logowania administracyjne, zmiany konfiguracji PLC i przełączenia w tryb STOP,
  • utrzymywać kopie zapasowe konfiguracji oraz procedury szybkiego odtworzenia,
  • przeprowadzać ćwiczenia reagowania na incydenty obejmujące scenariusze bez malware,
  • zapewnić retencję logów odporną na reset urządzeń i utratę lokalnych artefaktów.

Podsumowanie

Atak na polską elektrociepłownię pokazuje, że bezpieczeństwo infrastruktury krytycznej nie może opierać się na pojedynczym założeniu architektonicznym. Prywatna sieć komórkowa nie zastąpi segmentacji, silnego uwierzytelniania, kontroli dostępu i monitorowania działań administracyjnych.

Napastnicy wykorzystali kombinację słabych zabezpieczeń, braku MFA, nadmiernie otwartej komunikacji w APN i domyślnych poświadczeń, aby przejść od kompromitacji jednego obiektu do zakłócenia pracy innego. Dla zespołów OT i bezpieczeństwa to wyraźny sygnał, że model zagrożeń musi obejmować również sieci komórkowe, zarządzanie zdalne oraz zależności między rozproszonymi obiektami infrastrukturalnymi.

Źródła