Prywatny APN nie był granicą

Pisaliśmy, że Polska jako państwo weszła do grona zweryfikowanych obrońców. Dziesiątego sierpnia CERT Polska opublikował raport, który pokazuje, po co ta zdolność jest potrzebna — i jak wygląda atak, którego analiza zajęła ponad trzy miesiące.

29 grudnia 2025 roku, podczas mrozów i śnieżyc tuż przed sylwestrem, skoordynowana fala ataków uderzyła w polską energetykę. O trzydziestu instalacjach wiatrowych i słonecznych oraz dużej elektrociepłowni pisano w raporcie ze stycznia. Ale tego samego dnia zaatakowano jeszcze jeden obiekt — małą elektrociepłownię dostarczającą ciepło pięćdziesięciu tysiącom mieszkańców. Napastnikom udało się wyłączyć turbinę parową i system uzdatniania wody.

Analiza tego incydentu zajęła CERT ponad trzy miesiące i dlatego nie trafiła do pierwotnego raportu. Powód, dla którego trwała tak długo, jest w nim opisany wprost: wektor ataku nie był wcześniej obserwowany w żadnym znanym incydencie.

Napastnicy przeszli do sieci sterowania przez prywatny APN — dedykowany kanał komórkowy zarządzany przez operatora systemu dystrybucyjnego. Czyli przez dokładnie ten rodzaj rozwiązania, które w wielu zaleceniach figuruje jako sposób na odseparowanie systemów przemysłowych od internetu.

Łańcuch: od farmy wiatrowej do sterownika w ciepłowni

Warto prześledzić tę drogę krok po kroku, bo każde ogniwo jest osobną lekcją.

Wejście nastąpiło na farmie wiatrowej, przez urządzenie Fortinet pełniące funkcję firewalla i koncentratora VPN, wystawione do internetu. Kluczowy szczegół: VPN akceptował lokalnie skonfigurowane konta bez uwierzytelniania wieloskładnikowego. To dało napastnikowi przyczółek w rozproszonym środowisku energetyki odnawialnej.

Z tej sieci atakujący zidentyfikowali router komórkowy Teltonika RUTX50 podłączony do prywatnego APN operatora systemu dystrybucyjnego i uzyskali dostęp do jego interfejsu administracyjnego.

I tu jest sedno całego incydentu. APN miał przenosić komunikację między infrastrukturą SCADA operatora a urządzeniami w terenie. Ale — cytując ustalenie CERT — atak umożliwiła między innymi błędna konfiguracja pozwalająca dowolnym urządzeniom w sieci prywatnego APN komunikować się ze sobą. Kanał, który miał łączyć urządzenia z centralą, w praktyce łączył je również między sobą.

Napastnicy znaleźli w ten sposób sterownik PLC w elektrociepłowni, którego interfejs zarządzania był osiągalny z APN i wciąż chroniony domyślnymi poświadczeniami administratora. Stamtąd, wykorzystując dostęp SSH na sterowniku Wago, weszli do sieci technologicznej obiektu.

Skutki były konkretne i destrukcyjne. Zmieniono konfigurację siedmiu serwerów portów szeregowych Moxa i trzech przełączników — podmieniając poświadczenia i przypisując nieosiągalne adresy, w tym pętlę zwrotną 127.0.0.1, czyli adres wskazujący urządzenie na samo siebie. Sięgnięto do interfejsów napędów ABB. Turbina parowa i system uzdatniania wody zostały wyłączone. Operatorzy przywrócili instalację, zanim ucierpiały dostawy ciepła lub energii do odbiorców.

Dlaczego to jest ważniejsze niż jeden obiekt

Prywatny APN to usługa operatora telekomunikacyjnego, w której zestaw kart SIM działa we własnej, wydzielonej przestrzeni adresowej, bez wyjścia do publicznego internetu. W energetyce, wodociągach i transporcie jest to standardowy sposób łączenia rozproszonych obiektów, których nie opłaca się spinać światłowodem. Jego atrakcyjność polega właśnie na tym, że wygląda jak sieć prywatna — bo formalnie nią jest.

Założenie, które przy tym powstaje, jest jednak subtelnie fałszywe. „Odseparowany od internetu" i „segmentowany wewnętrznie" to dwie różne własności, a APN domyślnie daje tylko pierwszą. Jeśli wszystkie urządzenia w takiej sieci mogą się ze sobą komunikować, to każde z nich jest bramą do wszystkich pozostałych — a wystarczy, że jedno stoi na farmie wiatrowej z VPN-em bez drugiego składnika uwierzytelniania.

To jest ten sam kształt problemu, który opisujemy od miesięcy przy zupełnie innych systemach: luka istniejąca wyłącznie w kompozycji, nie w żadnym pojedynczym komponencie. Fortinet działał. APN działał. Sterownik działał. Każdy element robił to, do czego go przeznaczono. Podatność mieszkała w założeniu, że skoro APN jest prywatny, to jego wnętrze nie wymaga dalszej segmentacji.

Warto przy tym zauważyć, że żaden element tego łańcucha nie był wyrafinowany. VPN bez drugiego składnika, domyślne hasło na sterowniku, płaska sieć wewnętrzna. To jest lista, którą każdy audytor zna na pamięć — tyle że rozłożona na trzy różne organizacje i dwie technologie, przez co nikt nie widział jej w całości.

Kontekst: to była druga część tej samej operacji

Ten incydent nie jest odosobniony i trzeba go czytać razem z tym, co działo się równolegle.

Tego samego dnia zaatakowano systemy komunikacji i sterowania w około trzydziestu lokalizacjach, w tym elektrociepłowniach oraz centrach dyspozycji dla instalacji wiatrowych i słonecznych. Napastnicy uzyskali dostęp do systemów przemysłowych, celując głównie w monitorowanie bezpieczeństwa i stabilności sieci, a nie w same systemy wytwarzania. Część urządzeń została trwale uszkodzona, ale nie doszło do przerw w dostawach prądu. W szczytowym momencie zagrożone było zasilanie nawet pięciuset tysięcy osób.

Co do przypisania trzeba być precyzyjnym, bo źródła używają różnych nazw. ESET powiązał atak z rosyjską grupą Sandworm — z średnim poziomem pewności, na podstawie silnego pokrywania się analizowanego malware'u i technik z wcześniejszą działalnością tej grupy. Część relacji przypisuje incydent w małej elektrociepłowni grupie Electrum, powiązanej z Rosją i traktowanej jako spokrewniona z Sandwormem. Przypisanie ataków tego typu jest z natury probabilistyczne i tak należy je traktować.

Cel był przy tym opisany jednoznacznie: czysto destrukcyjny. Nie kradzież danych, nie okup, nie szpiegostwo. Wyłączenie infrastruktury w mroźny grudniowy dzień.

Uczciwie: co zadziałało

Przy takich incydentach łatwo skupić się wyłącznie na tym, co zawiodło, więc odnotujmy też drugą stronę.

Operatorzy przywrócili instalację, zanim ucierpieli odbiorcy. Turbina i uzdatnianie wody wróciły do pracy, ciepło i prąd płynęły dalej. Przy ataku wymierzonym w wyrządzenie szkody, w środku zimy, to nie jest drobiazg — to jest różnica między incydentem technicznym a kryzysem humanitarnym.

CERT Polska poświęcił ponad trzy miesiące na analizę pojedynczego obiektu i opublikował ustalenia razem z opisem wektora, którego wcześniej nikt nie widział. Można było ten wątek pominąć — nie trafił do styczniowego raportu i nikt by o niego nie pytał. Publikacja opisu nowego wektora ataku na infrastrukturę krytyczną jest wkładem w wiedzę wspólną, a nie tylko sprawozdaniem.

Co z tego wynika dla obrońcy

Rzecz pierwsza dotyczy każdego, kto używa prywatnego APN do łączenia rozproszonych obiektów — a w polskiej energetyce, wodociągach i transporcie jest to rozwiązanie powszechne. Sprawdź, czy urządzenia w twoim APN mogą komunikować się ze sobą. Jeśli tak, nie masz sieci prywatnej, tylko płaską sieć rozciągniętą na wszystkie lokalizacje. Izolacja urządzeń w APN jest zwykle opcją konfiguracyjną po stronie operatora, a nie ustawieniem domyślnym, i trzeba o nią poprosić.

Rzecz druga wynika z punktu wejścia. VPN akceptujący lokalne konta bez drugiego składnika uwierzytelniania, na urządzeniu brzegowym w obiekcie rozproszonym, jest dziś przyczółkiem, nie zabezpieczeniem. Obiekty typu farma wiatrowa bywają traktowane jako peryferia, bo „nic tam nie ma" — a ten incydent pokazuje, że mają dokładnie to, czego napastnik potrzebuje: łączność z resztą.

Rzecz trzecia jest najbardziej banalna i dlatego najbardziej wstydliwa. Sterownik przemysłowy z domyślnymi poświadczeniami administratora, osiągalny z sieci, do której da się dostać. Inwentaryzacja domyślnych haseł na urządzeniach OT to zadanie nudne, żmudne i nieefektowne — i jest jedynym ogniwem tego łańcucha, które dałoby się usunąć w jedno popołudnie.

Rzecz czwarta wiąże się z kalendarzem. Podmioty kluczowe i ważne mają czas do 3 października na samoidentyfikację i wpis do wykazu, a nad wszystkim stoi osobista odpowiedzialność kierownictwa za nadzór nad procedurami. Ten raport jest gotową listą pytań kontrolnych dla operatora energetycznego: czy mamy drugi składnik na wszystkich VPN-ach, czy nasz APN jest segmentowany, czy znamy domyślne hasła na naszych sterownikach.

Jedna myśl na koniec

Prywatny APN jest w wielu opracowaniach wymieniany jako sposób na odseparowanie systemów sterowania — i słusznie, bo faktycznie odcina je od publicznego internetu. Ten incydent nie podważa tej rekomendacji. Podważa sposób, w jaki ją rozumiemy.

Sieć prywatna nie jest tym samym co sieć bezpieczna, a „brak wyjścia na zewnątrz" nie jest tym samym co „brak drogi w środku". Napastnik nie musiał przebijać się przez granicę APN, bo wszedł do niego legalnie, z urządzenia, które miało prawo tam być — i dopiero w środku okazało się, że wszystko widzi wszystko. Granica istniała dokładnie tam, gdzie ją narysowano. Problem polegał na tym, że wewnątrz niej nie było już żadnej.

Źródła

CERT Polska — raport uzupełniający dotyczący incydentu w sektorze energetycznym z 29 grudnia 2025 roku, z opisem wektora przez prywatny APN, błędnej konfiguracji umożliwiającej komunikację między urządzeniami oraz stwierdzeniem, że wektor nie był wcześniej obserwowany w znanych incydentach: https://cert.pl/

SecurityWeek — relacja z raportu z opisem łańcucha od urządzenia Fortinet na farmie wiatrowej przez router Teltonika do systemów sterowania oraz kontekstem grudniowej kampanii wymierzonej w trzydzieści obiektów: https://www.securityweek.com/novel-private-apn-pivot-let-hackers-sabotage-second-polish-energy-facility/

BleepingComputer — szczegóły dotyczące skali obiektu, wyłączenia turbiny parowej i systemu uzdatniania wody oraz cytat z raportu o błędnej konfiguracji APN: https://www.bleepingcomputer.com/news/security/hackers-breached-a-small-polish-energy-plant-via-private-apn-last-year/

GBHackers — techniczne szczegóły dotyczące sterownika Wago, zmian konfiguracji siedmiu serwerów Moxa i trzech przełączników oraz braku uwierzytelniania wieloskładnikowego na koncentratorze VPN: https://gbhackers.com/siemens-plc-network/

Security Affairs — kontekst przypisania ataku, w tym ocena ESET wiążąca kampanię z grupą Sandworm ze średnim poziomem pewności: https://securityaffairs.com/196955/security/hackers-cross-from-it-to-ot-through-a-private-apn-in-poland.html