Cyberatak na elektrociepłownię. Wykorzystano prywatny APN

Pod koniec grudnia 2025 r. polski sektor energetyczny stał się celem szeroko zakrojonej kampanii cyberataków. Jak przekazał wcześniej CERT Polska, działania objęły co najmniej 30 farm wiatrowych i fotowoltaicznych, dużą elektrociepłownię dostarczającą ciepło dla blisko 500 tys. odbiorców oraz przedsiębiorstwo z sektora produkcyjnego.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski określił wówczas incydent jako „największy atak na sektor energetyki w ostatnich latach, który mógł spowodować blackout” w Polsce. CyberDefence24 przypomniał, że atak miał miejsce pod koniec grudnia, w okresie zimowych mrozów.

Zaatakowano kolejną elektrociepłownię

Jak informuje CyberDefence24, najnowsze ustalenia CERT Polska pokazują, że w tym samym czasie zaatakowana została także mniejsza elektrociepłownia, dostarczająca ciepło dla około 50 tys. odbiorców. Eksperci analizowali incydent przez ponad trzy miesiące.

„29 grudnia około godziny 7:00 doszło do ataku na systemy automatyki” – czytamy w raporcie CERT Polska.

W wyniku cyberataku zatrzymano turbinę parową oraz stację uzdatniania wody do celów technicznych. Doprowadziło to do przerwania procesu kogeneracji, czyli jednoczesnego wytwarzania energii elektrycznej i ciepła.

Jak podkreśla CyberDefence24, przestój był jednak krótkotrwały i nie doprowadził do przerw w dostawach ciepła. Kluczowa okazała się szybka reakcja personelu elektrociepłowni. Choć cyberatak doprowadził do zatrzymania procesu technologicznego, szybka reakcja pracowników pozwoliła uniknąć przerw w dostawach ciepła.

Hakerzy wykorzystali sterownik przemysłowy

Według ustaleń CERT Polska atakujący wykorzystali sterownik WAGO PFC200 wyposażony we wbudowany modem komórkowy.

Urządzenie to służyło do komunikacji z systemami operatora sieci dystrybucyjnej (OSD) i miało kartę SIM działającą w wydzielonej, prywatnej sieci transmisji danych (prywatny APN), obsługiwanej przez OSD – wskazali eksperci.

Jak podaje CyberDefence24, właśnie wykorzystanie prywatnego APN jest jednym z najważniejszych ustaleń dotyczących incydentu. Atakujący, wykorzystując sterownik przemysłowy, uzyskali dostęp do urządzeń i systemów OT działających w elektrociepłowni.

„Wykorzystanie dostępu do sieci OT za pomocą prywatnego APN było według naszej wiedzy pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku” – podkreśla CERT Polska.

Atak był możliwy m.in. z powodu błędnej konfiguracji, która pozwalała na nawiązywanie połączeń pomiędzy urządzeniami w ramach prywatnego APN.

Minister energii: sterowniki „na pierwszej linii uwagi"

Do najnowszych ustaleń CERT Polska odniósł się 10 sierpnia minister energii Miłosz Motyka. W radiowej „Jedynce” wskazał, że szczególnej uwagi wymagają oprogramowanie oraz sterowniki wykorzystywane w jednostkach energetycznych.

„Kwestia oprogramowania, kwestia sterowników na pewno jest tą, która powinna być na pierwszej linii uwagi tych, którzy zarządzają systemami w danych jednostkach” – powiedział Motyka.

Minister zaznaczył, że po incydencie prowadzone są działania mające ograniczyć ryzyko skutecznych cyberataków na sektor energetyczny. Wymienił m.in. rozwój wiedzy specjalistycznej, szkolenia, przygotowanie na nowe rodzaje zagrożeń oraz zwiększenie środków na lepszy sprzęt.

„To wszystko już się dzieje” – podkreślił.

Motyka poinformował też, że w Ministerstwie Energii działa zespół zajmujący się cyberbezpieczeństwem. Jak zaznaczył, resort przygotowuje także rekomendacje dotyczące innych zagrożeń, w tym hybrydowych, a w tym zakresie współpracuje z wojskiem i służbami.

„Widzimy, że komponent cyfrowy będzie na pewno najmocniej narażony na wszelkiego rodzaju ryzyka, ale też oczywiście nie bagatelizujemy innych zagrożeń” – powiedział minister.

CERT Polska ostrzega przed prywatnymi APN

W związku z incydentem CERT Polska zaleca podmiotom wykorzystującym prywatne APN m.in. audyt ich konfiguracji, traktowanie takich sieci jako niezaufanych względem środowiska OT oraz monitorowanie ruchu pomiędzy obiema sieciami.

Eksperci rekomendują również zmianę domyślnych poświadczeń oraz dokładną weryfikację konfiguracji urządzeń i sterowników wykorzystywanych w infrastrukturze przemysłowej.

Ustalenia mogą mieć znaczenie także dla innych przedsiębiorstw korzystających z podobnych rozwiązań. CyberDefence24 zwraca uwagę, że opisany przypadek pokazuje możliwość wykorzystania urządzeń komunikacyjnych jako drogi wejścia do systemów przemysłowych.

Tropy prowadzą do Rosji

Pierwsze informacje o kampanii CERT Polska przedstawił pod koniec stycznia 2026 r. Według analizy za atakami prawdopodobnie stoją grupy powiązane z rosyjskim FSB, m.in. Berserk Bear, Static Tundra, Dragonfly oraz Ghost Blizzard.

CyberDefence24 wskazuje, że analiza wykazała podobieństwa między wykorzystywaną infrastrukturą, charakterem działań oraz aktywnością przypisywaną tym grupom.

Najnowszy incydent pokazuje, że zagrożenie dla energetyki nie ogranicza się do bezpośrednich ataków na najważniejsze systemy. Drogą do środowiska OT mogą stać się również urządzenia wykorzystywane do komunikacji z infrastrukturą operatorów.