Oczyszczalnie, kamery, bioreaktor. Rosja znów atakuje Polskę

Od drugiej połowy 2024 roku odnotowujemy liczne cyberataki na polski sektor wodno-kanalizacyjny. Na celowniku grup powiązanych z Federacją Rosyjską znalazły się m.in.:

• stacje uzdatniania wody: Tolkmicko, Małdyty, Sierakowo, Jabłonna Lacka, Szczytno;
• oczyszczalnie ścieków: Wydminy, Kuźnica, Witkowo, Chodaczów.

Na łamach CyberDefence24.pl informowaliśmy również o włamywaniu się do kamer. Niektóre z nich były umieszczone w polskich domach. Tym razem pragniemy nagłośnić manipulowanie parametrami sześciu kolejnych obiektów z naszego kraju.

Oczyszczalnia ścieków galwanicznych

Na jednym z nagrań opublikowanych przez haktywistów widzimy zmianę parametrów oczyszczalni ścieków. Prawdopodobnie nie jest to obiekt działający w ramach spółki komunalnej bądź gminy czy miasta, lecz zajmujący się oczyszczaniem ścieków galwanicznych, czyli powstałych podczas obróbki metali, mogących zawierać metale ciężkie. Przemawiają za tym nietypowe oznaczenia z nagrania, takie jak m.in.:

• "Ni Bęben" - niklowanie bębenowe;
• "Ni. Zaw" - niklowanie zawieszkowe;
• "Cynk"
• "PiroSiar." - pirosiarczyn;
• "REPLEX" (specjalistyczny preparat do wytrącania jonów metali - przyp. red.).

Na nagraniu widzimy również (najprawdopodobniej) 3 zbiorniki (MG1-MG3), 3 reaktory (RK1-RK3) oraz zbiorniki związane z procesami koagulacji i flokulacji (występujących podczas oczyszczania ścieków).

Widok z nagrania nie umożliwia jednoznacznego określenia skutków zdarzenia na działanie obiektu. Znacznemu obniżeniu uległ parametr „PH4”, który jest jedną z pięciu wartości widocznych na wykresach – pozostałe 4 parametry nie uległy zmianie. Jednocześnie wskazanie zawartości dwóch z trzech zbiorników zostało obniżone o kilka procent.

Udało się nam określić potencjalny cel ataku, lecz nie mamy co do tego stuprocentowej pewności. Do momentu niezależnego potwierdzenia nie planujemy go ujawniać.

Oczyszczalnia ścieków komunalnych

Kolejnym obiektem na celowniku prorosyjskiej grupy haktywistów była kolejna oczyszczalnia ścieków – tym razem najprawdopodobniej komunalnych. Z bardzo wysokim prawdopodobnieństwem udało się nam ustalić zaatakowany obiekt, należący do spółki, której właścicielem jest gmina bądź miasto – będziemy weryfikować nasze ustalenia w ramach kontaktu z odpowiednimi jednostkami samorządu terytorialnego.

Cyberprzestępcy również manipulowali parametrami obiektu. Jeden z alarmów, datowany na 2 minuty przed rozpoczęciem nagrania, informował o bardzo wysokim poziomie tlenu w reaktorze.

Bioreaktor i myjnia

Na celowniku cyberprzestępców znalazły się również bioreaktor oraz myjnia. W przypadku pierwszego obiektu haktywiści ustawili wszelkie możliwe parametry na maksymalne wartości. Spowodowało to zmianę w odnotowanym przepływie i ciśnieniu wejściowym gazu, lecz nie zmieniło to znacznie głównej temperatury i pH bioreaktora. Zmiany nie zostały również odnotowane w ramach wykresów dostępnych w panelu sterowania.

Kolejnym zaatakowanym obiektem była myjnia. Cyberprzestępcom udało się (co najwyżej) włączyć stałe oświetlenie zamiast automatycznego oraz wpłynąć na proces mycia stanowisk.

Kamery w sklepie i aptece

Na kolejnych nagraniach pokazano wiele ujęć z monitoringu zamieszczonego w polskiej aptece oraz średniej wielkości sklepie spożyczym. W przypadku pierwszego obiektu widoczne są również kadry obrazujące m.in. zaplecze, magazyn czy pokój socjalny, wraz z wizerunkami pracowników. Kamery ze sklepu spożywczego nakierowane były przede wszystkim na ogólnodostępną część obiektu.

Wiemy, że nagrania pochodzą z polski z racji na dwa charakterystyczne elementy: nazwę producenta kosmetyków w aptece oraz kadr z butelkomatem w sklepie spożywczym.

Co dalej?

W najbliższym czasie skontaktujemy się z zarządcami dwóch oczyszczalni, których parametry z ogólnodostępnej dokumentacji odpowiadają wartościom widocznym na nagraniu udostępnionym przez haktywistów.

Warto zaznaczyć, że cyberataki haktywistów mają również wymiar propagandowy. Pragniemy przekazać opinii publicznej możliwie rzetelne informacje o ww. zdarzeniach, aby unaocznić realną skalę zagrożenia i opisać incydenty, które – choć nie muszą być dotkliwe w skutkach – potencjalnie mogą oddziaływać na codzienność kogoś z nas.

Obecnie nic nie wskazuje na to, aby złośliwe oddziaływanie miało realne skutki dla funkcjonowania obiektów. Jednocześnie widzimy, że cyberataki na automatykę przemysłową mogą mieć realne przełożenie na naszą codzienność – mowa m.in. o poniższych incydentach:

• zmianie parametrów chłodzenia zamrażarek w francuskich marketach wskutek cyberataku, co doprowadziło do licznych strat finansowych;
• zepsucie się ponad 2 tys. funtów mięsa (ok. 900 kg) oraz wyciek amoniaku w zakładzie przetwórczym w USA, spowodowane wyłączeniem chłodzenia - straty przekroczyły 5 tys. dolarów, zaś zakład był ewakuowany na 4 godziny;
• wyczerpanie zapasów chemikaliów do odwiertów naftowych, wykorzystywanych przez spółkę z sektora ropy i gazu w Kolorado;
• przelanie się około 200 tys. galonów wody (ok. 757 tys. litrów) z systemu wodociągowego z Teksasu.

Wątek Polski

Skutki złośliwego oddziaływania zaobserwowaliśmy podczas jednego z cyberataków na polską stację uzdatniania wody. ”W wyniku zalogowania się do urządzeń stacji uzdatniania wody hakerzy zmienili ustawienia pomp, co doprowadziło do wyczerpania zasobów w zbiorniku, a w konsekwencji spowodowało przerwę w dostawie wody (…) Incydent spowodował przerwę w dostarczaniu wody na ok. 6 godzin dla ok. 2,5 tys. mieszkańców gminy” – czytamy w raporcie CERT Polska z działalności w 2025 roku.

Do niedostatecznych zabezpieczeń w sektorze wodno-kanalizacyjnym odniosła się również Agencja Bezpieczeństwa Wewnętrznego w raporcie obejmującym lata 2024-2025:

W 2025 r. odnotowano m.in. incydenty naruszenia bezpieczeństwa stacji uzdatniania wody w miejscowościach: Jabłonna Lacka, Szczytno, Małdyty, Tolkmicko, Sierakowo. Atakujący, uzyskując w niektórych przypadkach dostęp do przemysłowych systemów sterowania, mieli możliwość zmiany parametrów technicznych urządzeń, co stwarzało bezpośrednie ryzyko dla ciągłości ich funkcjonowania, a co za tym idzie – dla procesów zaopatrzenia ludności.
ABW

W styczniu br. opisaliśmy nieuprawnioną zmianę parametrów jednego z dwóch kotłów ciepłowni osiedlowej w Rucianem-Nidzie. Nie wpłynęło to na dostarczanie ciepła do odbiorców.

W sierpniu br. Prokuratura Okręgowa w Białymstoku przekazała nam informację o postawieniu zarzutów dwóm obywatelom Rosji w związku z 17 cyberatakami na polskie obiekty. Prawie połowa z nich należała do sektora wodno-kanalizacyjnego. Podejrzani należą do tej samej grupy, która odpowiada za incydenty opisane w artykule.

Wszystkim osobom odpowiedzialnym za funkcjonowanie stacji uzdatniania wody i oczyszczalni ścieków rekomendujemy zapoznanie się z poradnikiem CERT Polska z maja 2024 roku, dotyczącego bezpieczeństwa OT.

W artykule świadomie nie zamieszczono nazwy prorosyjskiej grupy haktywistów, aby nie promować ich działalności.

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.