Niewielka brytyjska elektrownia została w lipcu wyłączona z ruchu na cztery kolejne dni w wyniku cyberataku, który służby przypisują hakerom powiązanym z irańskim Korpusem Strażników Rewolucji Islamskiej. Sprawę ujawnił dopiero 22 sierpnia 2026 roku „The Telegraph”, a brytyjskie ministerstwo energii potwierdziło incydent, podkreślając jednocześnie, że dotyczył „małego generatora energii” i w żadnym momencie nie zagroził krajowej sieci przesyłowej. To pierwszy znany przypadek, w którym atak przypisywany Teheranowi doprowadził do całkowitego zatrzymania brytyjskiego obiektu wytwarzającego prąd.
Za mały, żeby trzeba było zgłaszać
Najciekawszy w tej historii jest nie rozmiar awarii, tylko to, jak długo nikt o niej nie usłyszał. Rządowe źródło cytowane przez brytyjskie media stwierdziło, że zaatakowany obiekt był „mniej niż błędem zaokrąglenia” w skali mocy krajowej sieci — i właśnie dlatego mieścił się poniżej progów prawnych, które zobowiązują wytwórców energii do raportowania incydentów cyberbezpieczeństwa. Formalnie żaden regulowany operator nie zgłosił przerwy w dostawach, bo obiekt nie podlegał obowiązkowi.
To pokazuje lukę, którą regulacje wciąż mają w wielu krajach, także w Polsce. Progi raportowania budowane są wokół potencjalnego wpływu na system energetyczny, a nie wokół tego, czego incydent uczy o zdolnościach napastnika. Tymczasem dla atakującego mała elektrownia jest po prostu wygodnym poligonem: te same sterowniki, te same protokoły przemysłowe, te same firmy serwisowe — tylko bez uwagi mediów i bez zespołu SOC pilnującego logów.
Demonstracja możliwości, nie sabotaż
Analitycy zgodnie oceniają, że celem nie było wywołanie realnych szkód, lecz pokazanie, że napastnik potrafi wejść do brytyjskiej infrastruktury i wyłączyć ją, kiedy zechce. To klasyczny „proof of concept” w wykonaniu państwowego aktora — komunikat polityczny wysłany kanałem technicznym, wkrótce po tym, jak Londyn zgodził się na wykorzystanie brytyjskich baz przez amerykańskie operacje wojskowe wymierzone w Iran.
Kontekst czasowy wzmacnia tę interpretację. Mniej więcej w tym samym okresie amerykańskie agencje FBI, CISA i EPA ostrzegały przed falą ataków na wodociągi w dwunastu stanach. Napastnicy brali tam na cel sterowniki PLC odpowiadające za przepływ i skład chemiczny wody — ten sam schemat, który znamy z wcześniejszych kampanii grupy CyberAv3ngers. Dwa równoległe fronty w tym samym miesiącu wyglądają mniej na przypadek, a bardziej na skoordynowaną kampanię wymierzoną w zachodnią infrastrukturę krytyczną.
Warto też odnotować liczbę, którą przy okazji przypomniał szef brytyjskiego NCSC Richard Horne: jego agencja obsługuje obecnie co najmniej cztery „istotne w skali kraju” incydenty tygodniowo. To nie jest statystyka z raportu o odległym zagrożeniu, tylko opis codziennej pracy.
Czego to uczy mniejsze firmy
Można wzruszyć ramionami, bo przecież żaden z czytelników nie prowadzi elektrowni. Problem w tym, że mechanizm ataku na infrastrukturę przemysłową w małej skali jest zaskakująco podobny do tego, co spotyka warsztat, kotłownię osiedlową czy firmę z automatyką magazynową.
- Sprawdź, co z Twojej infrastruktury przemysłowej i sterującej jest widoczne z internetu. Panele HMI, sterowniki, rejestratory, przemysłowe routery LTE — bardzo często trafiają do sieci publicznej „na chwilę, do zdalnego serwisu” i zostają tam latami.
- Odetnij sieć technologiczną od biurowej. Segmentacja VLAN i firewall między światem produkcji a światem poczty i Excela to najtańsze zabezpieczenie o największym zwrocie.
- Zmień domyślne hasła w urządzeniach automatyki. Znaczna część udanych ataków na PLC to nie exploit, tylko fabryczne dane logowania z instrukcji dostępnej w PDF-ie.
- Dostęp zdalny dla serwisanta prowadź przez VPN z uwierzytelnianiem wieloskładnikowym, a nie przez przekierowany port.
- Miej offline’owy plan działania na wypadek zatrzymania systemu — spisany na papierze, bo w trakcie incydentu firmowy intranet może być niedostępny.
- Zapisuj i przechowuj logi ze sterowników i urządzeń brzegowych. Bez nich po incydencie nie da się odtworzyć, którędy ktoś wszedł.
Podsumowanie
Cztery dni przestoju małej elektrowni nie zmieniły nic w bilansie energetycznym Wielkiej Brytanii, ale sporo zmieniły w ocenie ryzyka. Napastnik pokazał, że potrafi przejść od rozpoznania do fizycznego wyłączenia obiektu, a regulator dowiedział się, że jego progi raportowania tworzą wygodny cień, w którym takie testy przechodzą niezauważone. Po incydencie brytyjski rząd zapowiedział aktualizację przepisów o cyberbezpieczeństwie sektora energetycznego i rozesłał wytyczne do firm. Dla wszystkich pozostałych wniosek jest prostszy: jeśli coś w Twojej firmie steruje fizycznym procesem i ma adres IP, warto dziś sprawdzić, kto jeszcze może się do tego dostać.
źródło: https://www.cnbc.com/2026/08/23/small-uk-power-plant-shut-down-after-iran-linked-cyberattack-report.html https://cybersecuritynews.com/hackers-force-uk-power-plant-offline/