A instalação fornece aquecimento para aproximadamente 50 mil moradores. A recuperação começou por volta das 7h30, enquanto os invasores ainda estavam ativos na rede, mas o incidente não provocou interrupção no fornecimento de eletricidade ou aquecimento aos consumidores.
O CERT Polska divulgou em 8 de agosto os detalhes do ataque, ocorrido em dezembro de 2025, após mais de três meses de investigação. Em janeiro, o primeiro-ministro da Polônia havia informado que duas usinas de cogeração haviam sido atingidas. Este é o segundo incidente detalhado.
O acesso ocorreu por meio de um APN privado (Access Point Name), uma rede de dados celular dedicada administrada pelo operador do sistema de distribuição. Uma configuração que permitia comunicação direta entre diferentes dispositivos conectados ao APN possibilitou que os hackers avançassem de uma rede comprometida de um parque eólico até um controlador localizado na usina.
Segundo o CERT Polska, esta é, até onde a organização tem conhecimento, a primeira vez que o acesso a uma rede de controle industrial por meio de um APN privado é observado em um ataque cibernético real. O parque eólico e a usina são instalações independentes e nenhuma das duas administra a infraestrutura celular que possibilitou a conexão entre elas.
A investigação não identificou uma vulnerabilidade específica como causa do comprometimento. Também não foi possível determinar se alguma falha no roteador Teltonika foi explorada, o que significa que não existe uma única correção de software capaz de eliminar o vetor utilizado.
Entre os problemas encontrados estavam um controlador WAGO acessível pelo APN ainda utilizando credenciais administrativas padrão e a ausência de isolamento entre clientes da rede celular privada. Por isso, a principal recomendação do CERT é revisar a configuração dos APNs e habilitar o isolamento entre dispositivos.
A entidade também recomenda tratar o APN como uma rede não confiável do ponto de vista da tecnologia operacional (OT), segmentar e restringir o tráfego, remover serviços administrativos desnecessários das interfaces acessíveis pela rede celular e substituir credenciais padrão.
Levantamentos do CERT indicam que organizações polonesas que utilizam APNs privados frequentemente permitem que qualquer dispositivo da rede se comunique com os demais. A entidade acredita que configurações semelhantes também sejam utilizadas em outros países. No incidente investigado, o serviço SSH do roteador, a interface web do controlador e a comunicação entre dispositivos do APN funcionavam conforme suas configurações.
A cadeia de ataque começou em um parque eólico, onde um equipamento FortiGate atuava simultaneamente como firewall e concentrador VPN. A VPN estava exposta à internet e permitia contas sem autenticação multifator. O invasor obteve privilégios administrativos no equipamento e provavelmente utilizou esse acesso para conseguir credenciais VPN capazes de alcançar todos os segmentos da rede.
O operador de distribuição exigia que a comunicação com a unidade terminal remota da subestação utilizasse o protocolo serial DNP3.0, requisito que havia sido atendido. Entretanto, não existiam exigências equivalentes para a interface administrativa do roteador celular, conectada por uma segunda interface Ethernet a uma VLAN localizada atrás do firewall comprometido.
O roteador era um Teltonika RUTX50 cuja senha padrão havia sido alterada durante a implantação. Os investigadores encontraram registros de diversos logins SSH bem-sucedidos, mas não conseguiram determinar como a senha foi obtida.
A análise das vulnerabilidades publicadas para o equipamento também não identificou uma falha conhecida capaz de entregar a senha a um invasor sem autenticação. As vulnerabilidades CVE-2023-32349 e CVE-2023-32350, citadas em um alerta da CISA de 2023 para equipamentos da linha RUT, exigem privilégios prévios. A investigação, porém, não descarta a possibilidade de uma vulnerabilidade ainda desconhecida ou não divulgada.
Registros da operadora móvel levaram o CERT a avaliar que o atacante provavelmente utilizou tunelamento SSH através do roteador para alcançar o APN privado. A partir de 18 de dezembro, o invasor realizou varreduras na rede e encontrou um controlador WAGO PFC200 com sua interface web administrativa exposta e credenciais padrão.
Atividades SSH posteriores indicam que o serviço provavelmente foi habilitado pela própria interface. Pela correlação dos registros, os investigadores avaliam que o atacante utilizou o WAGO como ponto intermediário para alcançar a rede OT da usina.
Em 25 de dezembro, foram registradas conexões bem-sucedidas com três PLCs Siemens pelo protocolo S7. O CERT considera essa atividade provavelmente relacionada ao reconhecimento realizado antes das ações destrutivas.
Em 29 de dezembro, a atividade maliciosa dentro da rede da usina ocorreu aproximadamente entre 5h30 e 10h10. Segundo funcionários da instalação, controladores Siemens S7-300, S7-1200 e S7-1500 foram colocados em modo STOP e protegidos com senha, provocando o desligamento da turbina e do sistema de tratamento de água e interrompendo temporariamente a cogeração.
Sete servidores seriais Moxa e três switches também foram restaurados para as configurações de fábrica, tiveram suas senhas alteradas e receberam endereços IP inacessíveis, incluindo 127.0.0.1. O CERT avalia, com alto grau de confiança, que essas ações foram automatizadas.
Nenhuma dessas operações exigiu malware. Todas as etapas destrutivas utilizaram funções legítimas dos próprios equipamentos, acionadas pelos protocolos empregados normalmente pela infraestrutura industrial.
Depois das ações contra a usina, o invasor também comprometeu os próprios caminhos utilizados para o ataque. A tabela de partições do controlador WAGO foi corrompida, impedindo sua inicialização e eliminando registros úteis para a investigação.
Cerca de 30 minutos após a última atividade observada na usina, o roteador Teltonika foi restaurado para as configurações de fábrica, recebeu uma nova senha administrativa e o endereço 127.0.0.1. Em seguida, o FortiGate também foi resetado, causando a perda de seus logs. Registros de login SSH do Teltonika sobreviveram porque versões do RutOS anteriores à 7.07 mantinham o banco de eventos após um reset de fábrica.
Inicialmente, a usina não interpretou a interrupção como um ataque cibernético. Como trabalhos de manutenção estavam em andamento, o problema foi registrado como possível erro de um prestador de serviço. O CERT decidiu abrir um incidente porque já tinha conhecimento de ocorrências semelhantes. A investigação identificou atividades de reconhecimento entre 18 e 25 de dezembro, incluindo uma varredura de portas iniciada a partir do endereço do sistema SCADA.
Nenhum grupo foi atribuído especificamente a este ataque. A campanha mais ampla observada na Polônia em dezembro recebeu análises separadas do governo polonês, CERT Polska, ESET e Dragos, mas essas avaliações abordaram outros aspectos da campanha e não estabelecem autoria para esta intrusão.
O caso também evidencia uma limitação importante do uso de APNs privados como mecanismo de isolamento. Essas redes continuam aparecendo em orientações de segurança para conectar equipamentos OT por redes celulares, mas o incidente demonstra que sua proteção depende de controles adicionais, especialmente isolamento entre clientes, segmentação, autenticação adequada e restrição das interfaces administrativas.
