Tak zaatakowano polskie OZE i elektrociepłownie. Nowe szczegóły od CERT
Pojawił się nowy wątek dotyczący cyberataku na polską infrastrukturę energetyczną, dokonanego pod koniec 2025 r. Jego celem było m.in. co najmniej 30 farm fotowoltaicznych i wiatrowych. Wiadomo już, dzięki czemu go przeprowadzono.
29 grudnia 2025 r. w godzinach porannych i popołudniowych nastąpił skoordynowany atak na polską energetykę. Na cel wzięto energetykę rozproszoną (około 30 farm fotowoltaicznych i wiatrowych), elektrociepłownię (dostarczającą ciepło dla prawie pół miliona Polaków) i spółkę prywatną działającą w sektorze produkcyjnym. Czas działania nie wydaje się przypadkowy: między Świętami Bożego Narodzenia a Nowym Rokiem, gdy Polska zmagała się z niskimi temperaturami i zamieciami. Raport w tej sprawie opublikował CERT Polska, zespół działający w strukturach NASK – Państwowego Instytutu Badawczego, którego celem jest reagowanie na incydenty bezpieczeństwa komputerowego.
Jak hakerzy zaatakowali OZE?
Jak informuje CERT, ataki wymierzone w OZE skutkowały zerwaniem komunikacji między jednostkami wytwórczymi a operatorami sieci dystrybucyjnej. Nie wpłynęły jednak bezpośrednio na bieżącą produkcję energii. Działania były również wymierzone w elektrociepłownię, jednak i w tym przypadku nie udało się spowodować przerw w dostawie energii.
Przestępcy, uderzając w OZE, wybrali na cel stacje elektroenergetyczne, które przekazują energię wytworzoną przez farmy fotowoltaiczne i wiatrowe do sieci dystrybucyjnej. Celem ataku były m.in. sterowniki RTU, odpowiadające za telemechanikę i nadzór nad pracą stacji, lokalne HMI (wizualizujące stan pracy obiektu) oraz sterowniki zabezpieczeń, odpowiadające np. za ochronę przed uszkodzeniami elektrycznymi, a także urządzenia służące do komunikacji. Po tym, jak hakerzy uzyskali dostęp do sieci wewnętrznej, przeprowadzili rekonesans, by przygotować plan ataku na dostępne urządzenia.
Cyberprzestępcy zamierzali: uszkodzić oprogramowanie wbudowane sterowników, usunąć pliki systemowe i uruchomić złośliwe oprogramowanie uszkadzające pliki, typu wiper. Program tego typu trwale niszczy dane z dysku i prowadzi do uszkodzenia systemu. Różni się od ransomware, który szyfruje pliki, by haker mógł wymusić okup. Wiper jest zwykle używany do sabotażu i cyberwojny, co sugeruje, że grupa mogła działać na zlecenie aktora państwowego, a nie być motywowana zyskiem. CERT nie podał jednak, kto odpowiada za atak.
Plan zaczęto wdrażać w godzinach porannych 29 grudnia i uszkodzono sterowniki RTU. Przez to stacje nie mogły komunikować się z systemami operatora sieci dystrybucyjnej i niemożliwe było ich zdalne sterowanie. Mimo to energia dalej była wytwarzana.
Atak na elektrociepłownię powstrzymano
Oprogramowanie typu wiper posłużyło również do ataku na „dużą elektrociepłownię”. Jak informuje CERT, był on poprzedzony długotrwałą infiltracją infrastruktury i kradzieżą wrażliwych informacji. Hakerzy uzyskali dostęp do kont uprzywilejowanych, co umożliwiło im swobodne poruszanie się w systemach elektrociepłowni. Gdy atakujący postanowili uruchomić wipera, ten został zablokowany przez oprogramowanie klasy EDR (ang. Endpoint Detection and Response) – system bezpieczeństwa, który prowadzi ciągły monitoring podłączonych urządzeń, np. komputerów, telefonów i serwerów. Wykrywa podejrzane zachowania, bada ich przyczyny i pozwala szybko zareagować na cyberataki. W przypadku wykrycia zdarzenia może odciąć zainfekowany komputer od sieci.
Trzecim celem ataku było przedsiębiorstwo z sektora produkcyjnego. Wszystkie ataki były skoordynowane i w każdym przypadku użyto wipera.
– Publicznie dostępne opisy działań aktora wskazują na duże zainteresowanie sektorem energetyki oraz posiadanie odpowiednich zdolności do atakowania urządzeń przemysłowych, co jest zbieżne z obserwowanymi w incydencie działaniami atakującego. Jest to natomiast pierwsza publicznie opisana aktywność o charakterze destrukcyjnym przypisywana do tego klastra aktywności – podsumowuje CERT.
Nowe wątki
Jak wynika z najnowszych danych, atak z 29 grudnia był bardziej złożony niż pierwotnie zakładano. W tym samym czasie doszło do cyberataku na „mniejszą elektrociepłownię”, która według podanych informacji dostarczała ciepło dla 50 tys. mieszkańców.
Atak doprowadził do zatrzymania turbiny parowej i stacji uzdatniającej wodę do celów technicznych. Działanie poskutkowało przerwaniem kogeneracji, jednak przestój w wytwarzaniu został określony jako krótkotrwały i nie doszło do przerw w dostawach ciepła dla odbiorców.
CERT przeprowadził analizę uzyskanych materiałów, wytypował urządzenie, które posłużyło do przeprowadzenia ataku, i prześledził kroki przestępców. Po raz pierwszy wykorzystano dostęp do sieci OT za pomocą prywatnego APN w celu przeprowadzenia ataku. Sieć Operational Technology (OT) to infrastruktura i systemy sterowania przemysłowego. Za jej pomocą przeprowadza się monitoring i zarządza procesami, maszynami i urządzeniami w czasie rzeczywistym. Nazwa Punktu Dostępu (ang. Access Point Name, APN) to konfiguracja sieciowa w telefonie, wymagana do poprawnego działania internetu – informuje urządzenie, jak połączyć się z internetem komórkowym (LTE/5G).
Wykonanie ataku było możliwe m.in. z powodu błędnej konfiguracji, która pozwoliła na nawiązywanie połączeń pomiędzy dowolnymi urządzeniami w ramach prywatnej sieci APN. Podobna konfiguracja, jak wskazały ankiety przeprowadzone wśród użytkowników, była w Polsce popularnym rozwiązaniem.
Nie tylko duże OZE na celowniku hakerów
Atak budzi niepokój z uwagi na swoją skalę, jednak celem cyberprzestępców są nie tylko wielkoskalowe instalacje, ale również urządzenia należące do prosumentów. Redakcja Gramwzielone.pl rozmawiała z dr. Robertem Koślą, przewodniczącym rady Fundacji Bezpieczna Cyberprzestrzeń, o tym, jak zabezpieczyć swoją instalację, wykryć ingerencję i jak zareagować.
Więcej informacji na ten temat można przeczytać w artykule: Cyberbezpieczeństwo prosumentów. Jak chronić fotowoltaikę i magazyn przed atakami?
Marcin Karwowski
marcin.karwowski@gramwzielone.pl
© Materiał chroniony prawem autorskim. Wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu tylko za zgodą wydawcy E-Magazyny Sp. z o.o.
