Útok na polskou energetiku se v srpnu 2026 rozrostl o druhý, dosud neznámý případ. CERT Polska zveřejnil report o tom, jak útočníci prolezli z větrné farmy do teplárny přes mobilní síť, která měla podle plánu fungovat jako izolovaná.
Co se stalo při útoku na teplárnu
- prosince 2025 proběhl koordinovaný útok na více než 30 větrných a solárních elektráren, jednu výrobní firmu a dva teplárenské provozy. Ten druhý, dosud nepopsaný, je tématem nového reportu CERT Polska z 8. srpna 2026. Jde o teplárnu zásobující zhruba 50 000 obyvatel.
Útočníci se dostali až k parní turbíně a úpravně procesní vody a obě zařízení vypnuli, čímž přerušili kogenerační proces, tedy současnou výrobu elektřiny a tepla. Obnova začala kolem 7:30 ráno, ještě zatímco útočník byl aktivní v síti. Dodávky tepla ani elektřiny se k obyvatelům nakonec nepřerušily. Vyšetřování trvalo víc než tři měsíce.
Cesta útoku: od větrné farmy k privátnímu APN teplárny
Útok nezačal na teplárně, ale na sousední větrné farmě. Tam měl zařízení FortiGate, které fungovalo současně jako firewall a VPN koncentrátor. Jeho VPN byla vystavená do internetu a umožňovala přihlášení bez vícefaktorového ověření. Útočník si přes ni obstaral administrátorská práva a pravděpodobně i VPN přihlašovací údaje platné pro všechny síťové segmenty.
Klíčový moment nastal až o krok dál. Cellulární router Teltonika RUTX50 na téže síti byl napojený na privátní APN, tedy vyhrazenou mobilní datovou síť, kterou provozuje distribuční operátor pro vzdálenou správu zařízení. Tahle síť měla propojovat i teplárnu, ovšem s jedním zásadním nedostatkem: chyběla na ní klientská izolace, takže libovolné zařízení mohlo komunikovat s libovolným jiným. Přesně tudy útočník prošel z větrné farmy až k řídicímu kontroleru na teplárně.
Jak se přihlásil na router samotný, se zjistit nepodařilo. Heslo bylo při nasazení změněné z výchozího, útočník se přesto opakovaně úspěšně přihlašoval přes SSH.
Proč je privátní APN nový útočný vektor
CERT Polska v reportu uvádí, že jde o první zdokumentovaný případ, kdy útočník zneužil privátní APN k proniknutí do provozní technologické sítě. Distribuční operátor přitom měl jasně definovaný požadavek na komunikaci se vzdálenou terminálovou jednotkou rozvodny: musela běžet přes šifrovaný sériový protokol DNP3.0. Tenhle požadavek byl splněný.
Jenže management rozhraní cellulárního routeru sedělo na druhém, ethernetovém rozhraní, napojeném na VLAN za kompromitovaným firewallem, a na tenhle kanál se žádný podobný požadavek nevztahoval. Bezpečnostní pravidlo řešilo, jak data cestují, ne jak se spravuje zařízení, které je nese.
CERT Polska dodává, že podle jejich průzkumů je konfigurace bez klientské izolace u polských provozovatelů privátních APN běžná, a předpokládají, že podobně to bude i v dalších zemích.
Co se dělo uvnitř sítě teplárny během útoku
Mezi 18. a 25. prosincem probíhal uvnitř sítě teplárny průzkum, včetně port scanu, který začínal na adrese SCADA systému. Útočník během něj narazil na kontroler WAGO PFC200 s webovým administračním rozhraním, které mělo stále výchozí přihlašovací údaje. Následná aktivita nasvědčuje tomu, že přes tohle rozhraní byla zapnutá SSH služba, kterou útočník využil k dalšímu postupu do provozní sítě.
- prosince se útočník úspěšně připojil ke třem kontrolerům Siemens přes protokol S7, což CERT hodnotí jako pravděpodobnou rekognoskaci před pozdějším destruktivním zásahem.
Samotný útok proběhl 29. prosince mezi 5:30 a 10:10. Kontrolery Siemens řady S7-300, S7-1200 a S7-1500 byly přepnuty do režimu STOP a zaheslovány, čímž se vypnula turbína i úpravna procesní vody. Sedm sériových serverů Moxa a tři switche dostaly factory reset, nové heslo a nedosažitelnou IP adresu 127.0.0.1. Podle CERT časování ukazuje s vysokou mírou jistoty, že šlo o automatizovaný proces. Nikde přitom nebyl nasazen žádný malware, celý zásah proběhl pomocí standardních, podporovaných funkcí zařízení a protokolů, které provoz běžně používá.
Jak útočníci zahladili stopy po útoku
Poslední fáze útoku mířila na samotné dokazy. Partition table kontroleru WAGO byla poškozena natolik, že se zařízení přestalo bootovat a nezůstaly po něm žádné využitelné logy. Zhruba 30 minut po poslední zaznamenané aktivitě na teplárně útočník resetoval router Teltonika do továrního nastavení, změnil administrátorské heslo a nastavil mu adresu 127.0.0.1. Stejný osud potkal i FortiGate na větrné farmě, čímž přišel o logy i ten.
Jediné, co z celého incidentu zůstalo, byly SSH přihlašovací záznamy na routeru. Přežily jen díky tomu, že verze RutOS starší než 7.07 si po factory resetu ponechávala databázi událostí, což CERT označuje za zásadní pro rekonstrukci útoku.
Jak si provozovatel teplárny útoku vůbec všiml
Provozovatel teplárny incident zprvu nevyhodnotil jako útok. Zrovna probíhala plánovaná údržba, takže výpadek zaznamenali jako pravděpodobnou chybu kontraktora a nahlásili ho jen pro informaci. CERT Polska otevřel vyšetřování až proto, že už znal podobné případy z jiných provozů zasažených ve stejné prosincové vlně.
Širší kampaň proti polské energetice
Prosincový útok byl širší než jen tenhle jeden provoz. Souběžně proběhl útok na výrobní firmu a na HMI počítače značky Mikronika u obnovitelných zdrojů, kde útočníci nasadili wiper malware s označením DynoWiper a LazyWiper. Ten druhý, napsaný v PowerShellu, přepisuje soubory pseudonáhodnými daty, a podle analýz existuje podezření, že jeho jádro bylo vytvořené s pomocí velkého jazykového modelu. U výrobní firmy tuhle část útoku zachytil a zablokoval nasazený EDR systém.
Podle serveru BleepingComputer je útočník pravděpodobně napojený na skupinu označovanou jako Electrum. Napříč celou kampaní se navíc opakuje jeden vzorec: sériové servery Moxa NPort s výchozím heslem a zapnutým webovým rozhraním, které se objevily jak u větrných farem, tak u teplárny.
Poučení pro OT bezpečnost a privátní APN
Privátní APN sám o sobě není bezpečnostní hranicí. Klientská izolace se musí explicitně zapnout a pravidelně ověřovat, jinak funguje jako plochá síť, kde se libovolné zařízení dostane k libovolnému jinému.
Segmentace založená jen na jednom protokolu nestačí, pokud vedlejší management rozhraní zůstane mimo definovaný scope. Přesně tenhle rozpor umožnil celý útok, přestože formální požadavek na šifrování dat byl splněný.
Výchozí hesla na OT zařízeních, ať už jde o kontrolery WAGO nebo servery Moxa, zůstávají nejčastějším vstupním bodem do provozních sítí, i po letech opakovaných varování.
Federální doporučení FBI a EPA z 30. července 2026 přitom pořád uvádí privátní APN jako jednu z vhodných izolačních architektur pro připojení OT zařízení přes mobilní sítě. Rozpor mezi doporučenou praxí a tím, jak jsou tyhle sítě reálně nakonfigurované v terénu, je asi to nejdůležitější poučení z celého incidentu.
