Zhakowano polską elektrociepłownię. Pierwszy tego typu przypadek

Cel: wywołać blackout w środku zimy

W grudniu ubiegłego roku doszło do – jak to określił wicepremier i minister cyfryzacji Krzysztof Gawkowski – „największego atak na sektor energetyki w ostatnich latach, który mógł spowodować blackout” w Polsce. 

Jak informowaliśmy, chodziło o serię cyberataków wymierzonych w minimum 30 farm wiatrowych i fotowoltaicznych, dużą elektrociepłownię (dostarczającą ciepło dla blisko 500 tys. odbiorców) oraz firmę z sektora produkcyjnego. 

Po incydencie CERT Polska opublikował raport, w którym wskazano, że wrogie działania miały „charakter destrukcyjny” a „ich celem było uszkodzenie i zakłócenie działania sprzętu i oprogramowania”. 

Za omawianą serią ataków hakerskich prawdopodobnie stoją grupy powiązane z rosyjskim FSB: „Berserk Bear”, „Static Tundra”, „Dragonfly” czy „Ghost Blizzard”. Analiza wykazała, że infrastruktura używana podczas kampanii oraz charakter działań pokrywają się z ich aktywnością. 

Przedstawiciele rządu uspokajali, że choć skala była ogromna, to specjalistom udało się zneutralizować zagrożenie i zapobiec przerwom w dostawach np. ciepła. A przypomnijmy raz jeszcze: sytuacja miała miejsce pod koniec grudnia 2025 r., w okresie mrozów. 

Atak na kolejną elektrociepłownię. Przerwano ważny proces

Teraz CERT Polska ujawnił kolejne ustalenia. Okazuje się, że w tym samym czasie doszło do incydentu w mniejszej elektrociepłowni dostarczającej ciepło dla 50 tys. odbiorców. 

„29 grudnia około godziny 7:00 doszło do ataku na systemy automatyki” – czytamy w najnowszej publikacji ekspertów, którzy przez ponad 3 miesiące analizowali to zdarzenie. 

W wyniku cyberataku doszło do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. To z kolei doprowadziło do przerwania procesu kogeneracji (jednoczesne wytwarzanie energii elektrycznej i ciepła w jednym procesie technologicznym). 

Przestój był krótkotrwały i ostatecznie nie doprowadził do przerw w dostawie ciepła do mieszkańców, a to wszystko dzięki szybkiej reakcji personelu obiektu. 

Pierwszy tego typu przypadek

CERT Polska wskazuje, że atakujący prowadzili działania ze sterownika WAG PFC200 z wbudowanym modemem komórkowym. 

„(…) urządzenie to służyło do komunikacji z systemami operatora sieci dystrybucyjnej (OSD) i miało kartę SIM działającą w wydzielonej, prywatnej sieci transmisji danych (prywatny APN), obsługiwanej przez OSD” – podkreślają eksperci. 

Jak dodają, „wykorzystanie dostępu do sieci OT za pomocą prywatnego APN było według naszej wiedzy pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku”.

A był on możliwy ze względu na m.in. błędną konfigurację, co pozwalało na nawiązywanie połączeń między dowolnymi urządzeniami w ramach sieci prywatnego APN. 

Poniżej znajdziecie rekomendacje CERT Polska.