Z větrné farmy až do teplárny. Útočníci zneužili privátní síť a zastavili turbínu

Kyberútok na polskou energetiku z konce loňského roku byl ještě rozsáhlejší, než se dosud vědělo. Útočníci se přes infrastrukturu napadené větrné farmy a privátní mobilní síť dostali až do řídicích systémů další teplárny. Tam zastavili parní turbínu a přerušili kogeneraci. Podle CERT Polska jde o první známý reálný útok, při kterém byl tímto způsobem zneužit privátní APN.

Polský CERT Polska zveřejnil nové výsledky vyšetřování rozsáhlého útoku proti energetickému sektoru z 29. prosince 2025. Vedle více než třiceti objektů využívajících obnovitelné zdroje a velké teplárny s kombinovanou výrobou elektřiny a tepla, o kterých se vědělo už dříve, totiž ve stejnou dobu proběhl ještě jeden incident.

Zasažena byla menší teplárna zásobující teplem přibližně 50 tisíc obyvatel. Analýza tohoto incidentu zabrala CERT Polska více než tři měsíce a odhalila neobvyklou cestu, kterou se útočníci do průmyslové sítě dostali.

Turbína se zastavila. Nejdřív to vypadalo jako chyba při údržbě

K útoku na automatizační systémy teplárny došlo 29. prosince kolem sedmé hodiny ráno.

Útočník dokázal zasáhnout průmyslové řídicí systémy a výsledkem bylo zastavení parní turbíny a stanice pro úpravu technologické vody. Tím byl přerušen proces kogenerace, tedy společné výroby elektřiny a tepla.

Personál ale reagoval rychle. Incident proto způsobil pouze krátkodobou odstávku zařízení a nedošlo k přerušení dodávek tepla odběratelům.

Zpočátku navíc nebylo vůbec zřejmé, že jde o kybernetický útok.

V zařízení právě probíhaly údržbové práce a provozovatel předpokládal, že zastavení technologie mohl způsobit omyl techniků externího dodavatele. Událost proto CERT Polska nahlásil pouze informativně.

Bezpečnostní tým však věděl o dalších incidentech, které ve stejné době zasáhly polskou energetiku, a začal událost vyšetřovat jako možný útok. Podrobná analýza tuto hypotézu následně potvrdila.

Cesta do teplárny začala na větrné farmě

Rekonstrukce útoku ukázala neobvyklou cestu.

Na jedné z dříve napadených větrných farem se nacházelo zařízení FortiGate, které fungovalo jako VPN koncentrátor a firewall. Jeho VPN rozhraní bylo dostupné z internetu a útočník měl v době útoku administrátorská oprávnění.

V síti větrné farmy byl zároveň připojen mobilní router Teltonika RUTX50 se SIM kartou umožňující přístup do privátního APN využívaného provozovatelem distribuční sítě.

Privátní APN lze zjednodušeně chápat jako oddělenou mobilní datovou síť. Zařízení vybavená příslušnými SIM kartami spolu mohou komunikovat mimo běžný veřejný internet. Podobná řešení se používají například pro komunikaci s průmyslovými zařízeními v energetice.

Útočník se podle získaných logů do routeru Teltonika opakovaně přihlašoval prostřednictvím SSH. CERT Polska se domnívá, že následně využil SSH tunelování, kterým si otevřel přístup do privátního APN.

Jak útočník získal heslo k samotnému routeru Teltonika, se zjistit nepodařilo. CERT nevylučuje získání přihlašovacích údajů ani případné zneužití zranitelnosti zařízení.

Privátní síť otevřela cestu k dalšímu průmyslovému systému

Od 18. prosince začal útočník privátní APN opakovaně skenovat.

Hledal služby VNC a HTTP, ale také průmyslové protokoly S7 a Modbus.

Jedním z nalezených zařízení byl průmyslový řídicí systém WAGO PFC200, který se nacházel v později napadené teplárně. Jeho administrační webové rozhraní bylo dostupné z privátního APN a používalo výchozí přihlašovací údaje účtu „admin“.

Útočník se nejprve přihlásil přes webovou administraci a následně na zařízení pravděpodobně aktivoval SSH. Pomocí dalšího SSH tunelu si pak vytvořil cestu přímo do OT sítě teplárny.

WAGO přitom mělo přístup jak k systému SCADA, tak k segmentům s průmyslovými zařízeními řídícími klíčové technologické procesy.

Zjednodušená cesta útoku tak podle technické analýzy CERT Polska vypadala následovně:

1. přístup k hraničnímu zařízení na větrné farmě,
2. mobilní router Teltonika RUTX50,
3. privátní APN distribučního operátora,
4. WAGO PFC200 v teplárně,
5. OT síť teplárny,
6. průmyslové PLC Siemens.

Právě možnost komunikace mezi jednotlivými zařízeními uvnitř privátního APN byla jedním z klíčových problémů. Síť, která měla tvořit oddělené komunikační prostředí, se po kompromitaci jednoho připojeného zařízení stala cestou k dalším systémům.

Útočník měl na průzkum více než týden

Po získání přístupu se útočník nepustil okamžitě do destrukce.

Mezi 18. a 25. prosincem prováděl průzkum OT sítě teplárny a snažil se rozšiřovat svoje možnosti.

Pokoušel se přihlásit k firewallu a VPN bráně, skenoval průmyslové služby S7, Modbus a CODESYS, vzdálené plochy i webová rozhraní.

21. prosince provedl rozsáhlejší skenování jedné ze sítí. Pozoruhodné je, že začal přímo adresou systému SCADA, což podle CERT Polska naznačuje, že si důležité cíle mohl vytipovat už během předchozího průzkumu.

Na Štědrý den, respektive 25. prosince, se následně připojil prostřednictvím protokolu S7 ke třem PLC společnosti Siemens. CERT nedokázal přesný účel těchto spojení potvrdit, za pravděpodobné ale považuje další průzkum před samotnými destruktivními akcemi.

Siemens PLC přepnul do režimu STOP

Rozhodující fáze přišla 29. prosince.

Aktivita útočníka v síti teplárny začala přibližně v 5:30 a skončila až kolem 10:10. Technici přitom začali s opravami už okolo 7:30, takže určitou dobu probíhala reakce provozovatele ještě ve chvíli, kdy byl útočník stále přítomen v síti.

Po vytvoření tunelu přes WAGO se útočník připojil k webovému rozhraní SCADA a následně ke kontrolérům Siemens S7-300, S7-1200 a S7-1500.

Podle zaměstnanců teplárny byly PLC přepnuty do režimu STOP a zabezpečeny heslem, které znemožňovalo změnu jejich pracovního režimu nebo úpravu programu.

Výsledkem bylo zastavení parní turbíny a úpravny technologické vody a následné přerušení kogenerace.

Obsluha zařízení obnovila PLC do továrního nastavení a nahrála do nich zálohy programu. Tím se podařilo dobu odstávky zkrátit, současně však byly odstraněny logy uložené v řídicích jednotkách.

Útok se neomezil pouze na Siemens PLC. Útočník změnil konfiguraci také na sedmi sériových serverech a třech síťových přepínačích Moxa. Zařízení obnovil do továrního nastavení, změnil jejich hesla a nastavil jim nedosažitelné IP adresy, například 127.0.0.1. CERT hodnotí tyto kroky s vysokou mírou jistoty jako automatizované.

Po útoku začalo zahlazování stop

Aktivita v síti teplárny trvala téměř pět hodin.

Na jejím konci se útočník ještě připojil k webovému rozhraní SCADA, podle CERT Polska pravděpodobně proto, aby ověřil dopad provedených změn.

Poté poškodil WAGO PFC200, který používal jako bránu do sítě. Došlo k poškození tabulky oddílů zařízení a ani následný návrat do továrního nastavení jej nedokázal znovu zprovoznit.

Útočník poté pokračoval v zahlazování stop také na větrné farmě.

Přibližně půl hodiny po poslední aktivitě v teplárně obnovil router Teltonika RUTX50 do továrního nastavení a následně resetoval také FortiGate, který sloužil jako původní vstupní bod.

Vyšetřovatelům ale pomohla vlastnost starší verze systému RutOS. U verzí starších než 7.07 zůstávala databáze některých událostí v paměti zařízení i po továrním resetu. Díky tomu se CERT Polska podařilo část logů z Teltoniky obnovit a cestu útočníka rekonstruovat.

CERT: Takový útok přes privátní APN jsme ještě neviděli

Právě způsob průniku považuje CERT Polska za nejdůležitější zjištění nového vyšetřování.

Podle týmu šlo o první jemu známý případ reálného kybernetického útoku, při kterém byl přístup do OT prostředí získán prostřednictvím privátního APN tímto způsobem.

Útok umožnila mimo jiné konfigurace privátní sítě, která dovolovala navazovat spojení mezi jednotlivými připojenými zařízeními.

CERT Polska následně oslovil další organizace používající podobná řešení a zjistil, že taková konfigurace byla v Polsku v době průzkumu poměrně běžná. Podle jeho poznatků se používá také v dalších zemích.

Bezpečnostní tým proto doporučuje privátní APN z pohledu OT infrastruktury nepovažovat automaticky za důvěryhodné prostředí. Pokud organizace nemá nad danou sítí kontrolu a nedokáže ověřit její bezpečnostní mechanismy, měla by s ní podle CERT zacházet podobně jako s externí sítí nebo internetem.

Mezi další doporučení patří izolace jednotlivých klientů v privátním APN, omezení dostupných administračních služeb, změna výchozích hesel, striktní segmentace provozu vůči OT a centrální sběr logů.

Útok zapadal do širší operace proti polské energetice

Nově popsaný incident proběhl ve stejném období jako koordinovaná destruktivní operace proti polskému energetickému sektoru.

Původní zpráva CERT Polska popsala útoky proti nejméně třiceti větrným a fotovoltaickým objektům, velké teplárně s kombinovanou výrobou elektřiny a tepla a soukromé společnosti z výrobního sektoru.

Analýza infrastruktury použité při těchto útocích podle CERT Polska vykázala výrazný překryv s aktivitami veřejně označovanými jako Static Tundra, Berserk Bear, Ghost Blizzard nebo Dragonfly. Tyto názvy používají různé bezpečnostní společnosti pro sledování souvisejícího aktéra.

Také polská vláda útok označovala za závažnou sabotážní operaci. Premiér Donald Tusk v lednu uvedl, že mnoho indicií ukazuje na skupiny přímo spojené s ruskými službami.

U nově popsané teplárny ale CERT Polska v doplňujícím reportu samostatnou atribuci neuvádí. Bezpečnější je proto tento incident vnímat jako součást stejného časového a technického kontextu, nikoli jej bez dalšího důkazu samostatně připisovat konkrétnímu státu nebo skupině.

Nová analýza každopádně ukazuje problém, který přesahuje jedinou polskou teplárnu. Síť označená jako privátní nemusí být automaticky bezpečná. Pokud propojuje velké množství průmyslových zařízení a dovoluje jim navzájem komunikovat, kompromitace jediného z nich může otevřít cestu mnohem dál.

Zdroje

• CERT Polska – doplnění zprávy o incidentu v energetickém sektoru
• CERT Polska – kompletní technická analýza útoku na druhou teplárnu
• CERT Polska – původní zpráva o útocích z 29. prosince 2025
• Ministerstvo energetiky Polska – informace k útokům na energetický sektor
• Úřad polského premiéra – vyjádření k útokům na energetickou infrastrukturu