Wprowadzenie do problemu / definicja
Ataki na systemy OT i ICS coraz częściej wykorzystują nie tylko podatności w usługach zdalnego dostępu, ale również błędne założenia architektoniczne dotyczące zaufanych sieci operatorskich. Opisany incydent pokazuje, że prywatny APN, zwykle postrzegany jako odseparowany i bezpieczny kanał komunikacji, może zostać użyty jako skuteczny wektor pivotingu do środowiska sterowania przemysłowego.
W praktyce oznacza to, że przejęcie pojedynczego urządzenia brzegowego lub telekomunikacyjnego może otworzyć drogę do systemów SCADA, sterowników PLC oraz innych kluczowych komponentów infrastruktury krytycznej. To istotna zmiana perspektywy dla operatorów energetycznych, którzy dotąd często traktowali prywatne APN jako warstwę zaufaną.
W skrócie
Drugi ujawniony incydent z grudnia 2025 roku dotyczył mniejszej elektrociepłowni obsługującej około 50 tys. mieszkańców. Atakujący uzyskali dostęp do środowiska OT poprzez łańcuch obejmujący urządzenie Fortinet, router komórkowy Teltonika oraz prywatny APN wykorzystywany do komunikacji operatorskiej.
Po rozpoznaniu infrastruktury napastnicy uzyskali dostęp do sterowników PLC, przełączyli wybrane kontrolery Siemens w tryb stop i zabezpieczyli je hasłem. Doprowadziło to do zatrzymania turbiny parowej oraz systemu uzdatniania wody. Dostawy ciepła i energii nie zostały przerwane, jednak część urządzeń ICS została trwale uszkodzona.
- wejście przez urządzenie Fortinet dostępne z internetu,
- pivoting przez router Teltonika i prywatny APN,
- dostęp do Wago PLC i dalsza penetracja OT,
- manipulacja sterownikami Siemens,
- uszkodzenie części komponentów ICS.
Kontekst / historia
Incydent był prowadzony równolegle do wcześniej opisywanej kampanii wymierzonej w polski sektor energetyczny pod koniec grudnia 2025 roku. W tamtych działaniach celem były dziesiątki lokalizacji, w tym elektrociepłownie oraz centra dyspozytorskie związane z odnawialnymi źródłami energii. Choć nie odnotowano wyłączeń dostaw energii, potwierdzono przypadki trwałego uszkodzenia części komponentów ICS.
Drugi przypadek wyróżnia się tym, że pokazuje praktyczne wykorzystanie prywatnego APN jako elementu ścieżki ataku. Tego typu rozwiązania są powszechnie używane w energetyce, telemetrii i automatyce przemysłowej jako wygodny mechanizm wydzielonej komunikacji z obiektami terenowymi. Problem polega na tym, że prywatny charakter takiej sieci bywa mylony z realną odpornością na nadużycia i lateral movement.
Analiza techniczna
Początkowy punkt wejścia znajdował się w urządzeniu Fortinet pełniącym funkcję VPN i zapory sieciowej w farmie wiatrowej podłączonej do internetu. Po uzyskaniu obecności w tej sieci atakujący zidentyfikowali router komórkowy Teltonika i uzyskali dostęp do jego interfejsu administracyjnego. Następnie wykorzystali aktywną usługę SSH do zestawienia tunelu umożliwiającego komunikację z prywatną siecią APN zarządzaną przez operatora systemu dystrybucyjnego.
To właśnie ten etap jest najważniejszym elementem technicznym całego incydentu. Prywatny APN, z perspektywy obrońcy traktowany jako wydzielona warstwa transportowa dla komunikacji SCADA, z perspektywy napastnika okazał się zaufaną magistralą umożliwiającą poruszanie się między odległymi elementami infrastruktury. Jeśli na jednym z końców znajdują się słabo zabezpieczone urządzenia, taka sieć może zostać wykorzystana do przejścia w głąb środowiska OT.
Po przeskanowaniu prywatnej sieci APN napastnicy zidentyfikowali sterownik Wago PLC działający w elektrociepłowni. Aktywna usługa SSH na tym urządzeniu umożliwiła im wejście do sieci OT zakładu. Przez około tydzień prowadzili rozpoznanie, a następnie uzyskali dostęp do sterowników Siemens PLC. Kontrolery przełączono w tryb stop oraz ustawiono hasło uniemożliwiające operatorom przywrócenie normalnego trybu pracy i zmiany logiki sterowania.
Dodatkowym celem działań były serwery urządzeń szeregowych Moxa oraz przełączniki sieciowe Moxa, które skonfigurowano w sposób utrudniający legalnym administratorom dostęp. Zidentyfikowano też działania wobec przemienników częstotliwości ABB i Schneider Electric, choć pełny zakres operacji wobec tych komponentów nie został ostatecznie jednoznacznie ustalony.
Szczególnie niepokojący był wymiar destrukcyjny ataku. Jeden z kontrolerów Wago użytych jako brama do dalszej penetracji został uszkodzony przez modyfikację tablicy partycji, co uniemożliwiło jego uruchomienie i utrudniło odzyskanie danych oraz logów. Takie działanie sugeruje nie tylko intencję sabotażu, ale również próbę ograniczenia możliwości przeprowadzenia pełnej analizy powłamaniowej.
Konsekwencje / ryzyko
Najważniejszy wniosek z tego zdarzenia jest prosty: separacja telekomunikacyjna nie zastępuje segmentacji bezpieczeństwa. Prywatny APN może ograniczyć ekspozycję na przypadkowy ruch z internetu, ale nie eliminuje ryzyka, jeśli napastnik przejmie urządzenie posiadające dostęp do tej sieci. W środowiskach krytycznych oznacza to realną możliwość przeskoku z warstwy IT lub urządzeń brzegowych bezpośrednio do OT.
Ryzyko operacyjne obejmuje kilka poziomów. Atakujący mogą zatrzymać proces technologiczny przez manipulację stanem PLC, zablokować operatorów poprzez zmianę haseł i konfiguracji, a także uszkodzić urządzenia w sposób wydłużający czas przywracania działania. Dodatkowo incydenty tego typu mogą początkowo wyglądać jak zwykła awaria techniczna lub błąd popełniony podczas prac serwisowych.
- możliwość zatrzymania procesu technologicznego,
- utrata dostępu administracyjnego do krytycznych urządzeń,
- trwałe uszkodzenie komponentów ICS,
- utrudniona analiza śledcza i odzyskiwanie logów,
- ryzyko błędnej klasyfikacji incydentu jako awarii operacyjnej.
W wymiarze strategicznym zagrożenie jest jeszcze poważniejsze. Sektor energetyczny działa w oparciu o rozproszoną infrastrukturę, liczne łącza operatorskie oraz heterogeniczne środowiska OT. Każde niewłaściwie zabezpieczone urządzenie dostępowe i każda niekontrolowana relacja zaufania mogą stać się punktem wejścia do krytycznych systemów sterowania.
Rekomendacje
Organizacje korzystające z prywatnych APN w środowiskach przemysłowych powinny traktować je jak pełnoprawne sieci operacyjne wymagające wielowarstwowego modelu bezpieczeństwa. Sam fakt, że dana komunikacja nie przebiega publicznie przez internet, nie może być uznawany za wystarczającą kontrolę ochronną.
- przeprowadzić pełną inwentaryzację urządzeń mających dostęp do prywatnych APN,
- wyłączyć zbędne usługi administracyjne, zwłaszcza SSH, jeśli nie są niezbędne,
- ograniczyć dostęp administracyjny listami kontroli dostępu i silnym uwierzytelnianiem,
- wdrożyć ścisłą segmentację między transportem, SCADA, strefami PLC i systemami wykonawczymi,
- monitorować lateral movement, skanowanie adresów, nietypowe tunele SSH oraz zmiany konfiguracji PLC,
- regularnie testować procedury odtworzeniowe dla sterowników, przełączników i serwerów urządzeń szeregowych,
- weryfikować offline kopie zapasowe logiki sterowników i konfiguracji sieciowej,
- traktować nieplanowane zatrzymania procesu i niespodziewane zmiany stanu PLC jako potencjalne incydenty bezpieczeństwa.
Szczególnie ważne jest korelowanie zdarzeń cybernetycznych z anomaliami procesu technologicznego. W środowiskach OT samo wykrycie nietypowej sesji administracyjnej nie zawsze wystarcza. Kluczowe jest szybkie powiązanie takich sygnałów z zachowaniem instalacji przemysłowej, aby ograniczyć skutki ewentualnego sabotażu.
Podsumowanie
Opisany incydent stanowi mocny sygnał ostrzegawczy dla operatorów infrastruktury krytycznej w Polsce. Prywatny APN nie jest gwarancją bezpieczeństwa, jeśli po obu stronach połączenia funkcjonują podatne, źle skonfigurowane lub nadmiernie zaufane urządzenia. Atakujący wykorzystali klasyczny łańcuch pivotingu: wejście przez system brzegowy, przejście przez router komórkowy, wykorzystanie prywatnej sieci operatorskiej i manipulację sterownikami PLC w środowisku OT.
Z perspektywy cyberbezpieczeństwa sektora energetycznego najważniejsze lekcje są trzy: nie ufać domyślnie sieciom operatorskim, ograniczać dostęp administracyjny do urządzeń przemysłowych oraz projektować architekturę OT tak, aby przejęcie pojedynczego komponentu nie umożliwiało przejścia do krytycznych systemów sterowania. To właśnie architektura zaufania i segmentacja decydują dziś o realnej odporności infrastruktury przemysłowej.
Źródła
- SecurityWeek — Novel Private APN Pivot Let Hackers Sabotage Second Polish Energy Facility — https://www.securityweek.com/novel-private-apn-pivot-let-hackers-sabotage-second-polish-energy-facility/
- CERT Polska — raport dotyczący incydentu w sektorze energetycznym — https://cert.pl/