Atak na polską energetykę. Są nowe zalecenia dla sektora OZE

• Po grudniowym ataku na polski sektor energetyczny pojawiły się zalecenia Pełnomocnika Rządu ds. Cyberbezpieczeństwa ws. zabezpieczeń urządzeń oraz systemów funkcjonujących w tym obszarze. Zastosować się do nich powinny przede wszystkim podmioty związane z odnawialnymi źródłami energii.
• Wśród polecanych działań znalazło się odcięcie urządzeń oraz interfejsów od sieci, a także realizowanie dostępu zdalnego za pośrednictwem VPN wraz z weryfikacją adresów IP oraz stosowaniem kopii zapasowych konfiguracji.
• Wdrożenie niektórych rozwiązań mogą rozważyć również podmioty spoza sektora energetycznego. Dotyczy to zwłaszcza dostępu do urządzeń z poziomu internetu, na co w zeszłym roku zwracała uwagę ABW.

W połowie stycznia rząd poinformował o cyberataku, którego celem pod koniec zeszłego roku stał się polski sektor energetyczny.

Według słów ministra energii Miłosza Motyki, wśród zaatakowanych obiektów znalazły się elektrociepłownia, farmy fotowoltaiczne oraz wiatraki. Wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o groźbie blackoutu, jednak premier Donald Tusk zaprzeczał jakoby rzeczywiście takie zagrożenie istniało.

Pojedyncze źródła, zbiorowe ryzyko

Tydzień po pierwszych doniesieniach, zalecenia dla sektora energii opublikował Pełnomocnik Rządu ds. Cyberbezpieczeństwa, którym jest minister cyfryzacji - Krzysztof Gawkowski.

Jak zaznaczono w komunikacie resortu, w szczególności dotyczą one obszaru odnawialnych źródeł energii. W wielu przypadkach obiekty są zarządzane zdalnie z dyspozytorni lub przez zewnętrznych dostawców utrzymania.

„Mimo, że pojedynczo są to źródła o stosunkowo małych mocach, skoordynowane zakłócenie ich pracy może mieć poważne konsekwencje dla stabilności systemu elektroenergetycznego” – podkreślono w stanowisku.

Ograniczyć dostępy i odciąć urządzenia od sieci

Lista zaleceń jest długa. Wśród rekomendacji znalazło się m.in. realizowanie dostępu zdalnego do obiektu wyłącznie z wykorzystaniem VPN bądź połączenia serwisowego z wieloskładnikowym uwierzytelnianiem. Pozostałe formy powinny zostać zablokowane, zaś same urządzenia, oprogramowanie czy interfejsy administracyjne nie mogą być dostępne z poziomu internetu.

Podmioty energetyczne powinny również:

• zinwentaryzować sprzęt, oprogramowanie oraz zweryfikować zakresy zewnętrznej adresacji IP wraz domenami w portalu moje.cert.pl;
• stosować segmentację sieci obiektu wraz z regułami dostępu zgodnie z zasadą minimalnych uprawnień;
• posiadać kopię zapasową po każdej zmianie konfiguracji urządzeń i przechowywać ją w odizolowanym miejscu, odciętym od jakiejkolwiek sieci.

Zero tolerancji dla domyślnych haseł

Na tym nie koniec. Pełnomocnik zalecił także zmianę wszystkich domyślnych haseł uwierzytelniających, w tym na urządzeniach OT oraz rozliczalność poprzez brak współdzielenia kont.

Podmioty powinny też monitorować komunikaty bezpieczeństwa w sprawie urządzeń brzegowych oraz analizować ryzyko dla pojawiających się podatności w sprzęcie.

„W przypadku zaobserwowania nietypowego zachowania oprogramowania lub urządzeń należy niezwłocznie powiadomić odpowiedni CSIRT poziomu krajowego” – zaznaczono w komunikacie, wskazując CSIRT GOV dla administracji rządowej oraz infrastruktury krytycznej, CSIRT MON dla podmiotów wojskowych, a dla wszystkich pozostałych – CSIRT NASK.

Izolacja urządzeń nie jest nowym problemem

Wystosowano również zalecenia dodatkowe. Podmioty powinny zapewnić retencję rejestrów zdarzeń (tj. logów) z urządzeń brzegowych odpowiadających za separację sieci wewnętrznej od reszty świata, a także zawęzić listę adresów IP uprawnionych do komunikacji za pośrednictwem dostępu serwisowego.

Co ciekawe, jeżeli dostęp odbywa się za pośrednictwem łączności komórkowej, należy na urządzeniu skonfigurować prywatną sieć APN w celu przesyłania telemetrii oraz danych sterujących.

Zalecenia warto rozważyć też w przypadkach spoza branży energetycznej, np. w zakresie odcięcia urządzeń od internetu.

Na problem ten w październiku 2025 w stanowisku dla naszej redakcji zwracała uwagę Agencja Bezpieczeństwa Wewnętrznego. Z kolei we wrześniu 2024 roku nagłośniliśmy przypadek dostępności urządzenia, które znajdowało się na jednej z pętli tramwajowych we Wrocławiu.