CERT Polska opublikował właśnie obszerne uzupełnienie raportu o incydencie w polskim sektorze energetycznym, o którym pierwsze informacje pojawiły się już w styczniu. Nowa relacja pokazuje krok po kroku, jak atakujący przedostali się z farmy fotowoltaicznej do sieci przemysłowej elektrociepłowni i doprowadzili do zatrzymania turbiny parowej oraz przerwania procesu kogeneracji. To jeden z najpoważniejszych opisanych publicznie ataków na infrastrukturę OT w Polsce.
Jak wyglądał atak
Punktem wejścia nie była wcale elektrociepłownia, lecz farma fotowoltaiczna. Napastnicy przejęli urządzenie Fortigate, którego interfejs VPN był wystawiony do Internetu i pozwalał na logowanie bez uwierzytelniania wieloskładnikowego. Z wnętrza sieci farmy zlokalizowali router komórkowy Teltonika RUTX50 z kartą SIM, skonfigurowany w prywatnej sieci APN, służącej do komunikacji między urządzeniami przemysłowymi. Wykorzystując dostęp do routera (według CERT Polska atakujący w grudniu wielokrotnie logował się do niego przez SSH), weszli do sieci, która teoretycznie miała być odcięta od świata.
Kolejnym ogniwem był sterownik przemysłowy Wago PFC200. Jego panel administracyjny WWW działał na domyślnych poświadczeniach konta admin, a samo urządzenie miało dostęp zarówno do systemów SCADA, jak i do segmentów sterujących kluczowymi procesami technologicznymi. Problem w tym, że do tej samej prywatnej sieci APN podpięta była również elektrociepłownia.
Finał: sterowniki w trybie STOP
Po zestawieniu tunelu przez przejęty sterownik Wago atakujący połączyli się z serwerem SCADA elektrociepłowni, a następnie po protokole S7 z sterownikami Siemens S7-300, S7-1200 i S7-1500. Urządzenia zostały przełączone w tryb STOP i zabezpieczone hasłem uniemożliwiającym zmianę trybu pracy. W efekcie zatrzymała się turbina parowa oraz stacja uzdatniania wody do celów technicznych.
Obsługa zareagowała szybko i przywróciła urządzenia do ustawień fabrycznych, wgrywając kopie oprogramowania. Skróciło to czas awarii, ale miało też skutek uboczny: z urządzeń zniknęły logi, które pozwoliłyby dokładniej prześledzić działania napastników. To częsty dylemat w środowiskach przemysłowych, gdzie priorytetem jest wznowienie produkcji, a nie informatyka śledcza.
Co z tego wynika dla każdej firmy
Choć mowa o energetyce, mechanizm ataku jest uniwersalny i dotyczy każdej infrastruktury. Warto wyciągnąć z niego kilka lekcji:
- VPN i inne usługi dostępne z Internetu muszą mieć włączone uwierzytelnianie wieloskładnikowe — pojedyncze hasło to dziś zdecydowanie za mało.
- Domyślne loginy i hasła (admin/admin) trzeba zmieniać na każdym urządzeniu, nawet jeśli “przecież jest w sieci wewnętrznej”. Ten atak pokazuje, że sieć wewnętrzna bywa mniej wewnętrzna, niż się wydaje.
- Sieci trzeba segmentować — wspólny APN dla farmy fotowoltaicznej i elektrociepłowni sprawił, że kompromitacja jednego obiektu otworzyła drogę do drugiego.
- Urządzenia sieciowe i przemysłowe wymagają aktualizacji bezpieczeństwa, również te “schowane” za firewallem.
- Warto mieć procedurę reagowania na incydenty, która przewiduje zabezpieczenie logów przed przywracaniem systemów do pracy.
Podsumowanie
Historia opisana przez CERT Polska to podręcznikowy łańcuch zaniedbań: VPN bez 2FA, router dostępny z niewłaściwego segmentu, sterownik na fabrycznym haśle i brak separacji między obiektami. Żaden z tych błędów osobno nie wygląda groźnie, ale połączone pozwoliły napastnikom zatrzymać realny proces przemysłowy w polskiej elektrociepłowni. Jeśli zarządzasz jakąkolwiek infrastrukturą — od serwerowni po automatykę budynkową — potraktuj ten raport jako darmowy audyt cudzym kosztem i sprawdź, czy u Ciebie nie czekają dokładnie te same otwarte drzwi.
źródło: https://cert.pl/posts/2026/08/uzupelnienie-raportu-incydent-sektor-energii-2025/ https://sekurak.pl/skuteczny-atak-na-elektrocieplownie-w-polsce-w-wyniku-incydentu-bezpieczenstwa-doszlo-do-zatrzymania-turbiny-parowej/