Wybrali małą elektrownię

Od dwóch tygodni składamy obraz ataków na energetykę. Najpierw polska elektrociepłownia, gdzie napastnicy przeszli przez prywatny APN do sterowników — z raportem CERT Polska opisującym wektor krok po kroku. Potem ostrzeżenie pięciu amerykańskich agencji o atakach na sterowniki Siemensa, z konkretnymi metodami wykrywania i listą sektorów.

Trzeci element wygląda podobnie i dotyczy Wielkiej Brytanii. Ale zanim go dopiszemy do tej samej układanki, trzeba powiedzieć rzecz, której w większości relacji brakuje: wiemy o nim znacznie mniej, niż sugeruje ton doniesień.

Co jest potwierdzone, a co nie

Zacznijmy od rozdzielenia trzech warstw tej historii, bo mają zupełnie różny status.

Warstwa pierwsza — potwierdzona przez rząd. Doszło do incydentu. Brytyjski resort energii przyznał, że dotyczył on „małego generatora energii", i zapewnił, że w żadnym momencie nie było zagrożenia dla szerszego systemu energetycznego. Resort skontaktował się następnie z firmami energetycznymi, żeby ostrzec je o ryzyku ataków. To jest fakt urzędowy i można się na nim oprzeć.

Warstwa druga — pochodzi z jednego artykułu prasowego. Cztery dni przestoju, lipiec jako data, pracownicy przywracający obiekt do działania. Ujawnił to Telegraph 22 sierpnia, a pozostałe redakcje — publiczny nadawca, dwa duże dzienniki — oparły swoje teksty na tej samej relacji. To nie są cztery niezależne potwierdzenia. To jest jedno źródło przedrukowane cztery razy.

Warstwa trzecia — najsłabsza, a najczęściej powtarzana w nagłówkach. Przypisanie atakującym powiązanym z reżimem irańskim. Rząd tego nie potwierdził. Narodowe centrum cyberbezpieczeństwa milczy. Sama relacja prasowa posługuje się formułami typu „przypuszcza się, że" i „rozumie się, iż" — czyli językiem, którym dziennikarze sygnalizują, że informator nie pozwolił na twardsze sformułowanie albo sam nie był pewien.

Jeden z serwisów branżowych zauważa to wprost: z instytucji, od których należałoby oczekiwać komunikatu, nie płynie praktycznie żadna informacja. A w dyskusjach pod tekstami pojawił się zarzut dalej idący — że cała historia sprowadza się do nieoficjalnej wypowiedzi urzędnika, powołującej się na agencję, która następnie odmówiła komentarza.

Nie ma też żadnych szczegółów technicznych. Nie wiemy, jak weszli, przez co, czy dotknęli warstwy sterowania, czy tylko systemów biurowych, ani czy przestój wynikał z działania napastnika, czy z decyzji operatora o wyłączeniu obiektu na czas sprawdzania. Cztery dni przestoju małego generatora mogą oznaczać jedno albo drugie i publicznie nie da się tego rozstrzygnąć.

Warto tę różnicę zobaczyć wyraźnie, zestawiając z dwoma poprzednimi przypadkami. Przy polskiej elektrociepłowni mieliśmy raport agencji rządowej z nazwanymi urządzeniami, opisem błędnej konfiguracji i przebiegiem ataku. Przy sterownikach Siemensa — wspólny dokument pięciu agencji z metodami wykrywania i wskaźnikami. Tutaj mamy jeden artykuł i jedno zdanie rzecznika ministerstwa.

Co mimo to warto z tego wyciągnąć

Sceptycyzm co do szczegółów nie oznacza, że sprawa jest nieistotna. Oznacza, że wnioski trzeba wyciągać z tego, co potwierdzone — a to wystarcza do jednej obserwacji, która jest sensowna niezależnie od tego, kto stał za atakiem.

Obiekt był mały. Na tyle mały, że jego wyłączenie nie zrobiło różnicy w systemie, i na tyle mały, że sprawa wyszła na jaw dopiero po miesiącu. Analitycy komentujący to doniesienie zwracają uwagę, że gdyby padł duży obiekt, wiedzielibyśmy natychmiast — bo skutek byłby widoczny w sieci.

I tu jest pytanie, które warto postawić zamiast pytania o sprawcę. Jeśli ktoś celowo wybrał obiekt tej wielkości, to nie po to, żeby wyrządzić szkodę — bo szkody nie było. Wtedy wartością nie jest skutek, lecz sam fakt, że się udało.

Najtrafniej ujmuje to ekspert z firmy zajmującej się bezpieczeństwem systemów przemysłowych: utrata pojedynczego takiego obiektu jest do opanowania i nie stanowi poważnego ryzyka dla stabilności, ale są to ataki bardzo powtarzalne, które dałoby się rozwinąć na skalę. Inny komentator dokłada pytanie właściwe: niepokojąca nie jest wielkość dotkniętego generatora, tylko to, ile jeszcze takich stoi — bo ten incydent nie miał konsekwencji dla sieci, ale następny może mieć.

To jest sedno i jest niezależne od przypisania. Brytyjska sieć energetyczna zawiera wiele małych generatorów gazowych dostarczających prąd doraźnie. Jeśli wszystkie są tak samo zabezpieczone jak ten, to ich pojedyncza utrata jest nieistotna, a jednoczesna — już nie. Pytanie brzmi więc nie „jak duża była ta elektrownia", tylko „ile jest identycznych i czy różnią się czymkolwiek pod względem zabezpieczeń".

Warto przy tym zauważyć, że to jest dokładnie ta sama obserwacja, którą wyciągnęliśmy przy polskim przypadku. Tam też skala pojedynczego obiektu była niewielka, a właściwą lekcją była powtarzalność wzorca: urządzenie brzegowe bez drugiego składnika uwierzytelniania, płaska sieć w środku, sterownik z domyślnym hasłem. Nic z tego nie jest specyficzne dla jednej elektrociepłowni.

Czego nie należy z tego wyciągać

Skoro trzymamy tryb sceptyczny, wypada wskazać wnioski, które w tej sprawie krążą, a na które dane nie pozwalają.

Nie wiadomo, czy to część skoordynowanej kampanii. Zbieżność czasowa z lipcowymi atakami na amerykańskie wodociągi jest zauważalna i wielu komentatorów ją podnosi. Ale zbieżność w czasie nie jest dowodem powiązania, zwłaszcza gdy przypisanie po jednej stronie opiera się na źródle nieoficjalnym.

Nie wiadomo, czy atak dotknął warstwy sterowania. W relacjach mówi się o wyłączeniu elektrowni, co sugeruje ingerencję w procesy fizyczne — ale równie dobrze przestój mógł wynikać z decyzji operatora, który odciął instalację po wykryciu obcej obecności w sieci biurowej. To dwie zupełnie różne historie o zupełnie różnych wnioskach obronnych.

Nie wiadomo, czy to rzeczywiście pierwszy taki przypadek w Wielkiej Brytanii. Tak podaje relacja prasowa, ale skoro ten incydent wypłynął dopiero po miesiącu i wyłącznie dzięki przeciekowi, to trudno zakładać, że wiemy o wszystkich wcześniejszych.

I rzecz najogólniejsza: ten przypadek dobrze pokazuje, jak niewiele wiadomo publicznie o atakach na energetykę, gdy państwo woli sprawę wyciszyć. Cztery dni przestoju infrastruktury energetycznej stały się wiadomością nie dlatego, że ktoś je zgłosił, tylko dlatego, że dziennikarze do nich dotarli. Wnioskowanie o skali zjawiska na podstawie tego, co przecieka, jest z gruntu obarczone błędem — i warto o tym pamiętać także przy tekstach, które sami piszemy.

Co z tego wynika dla obrońcy

Rzecz pierwsza jest niezależna od tego, kto zaatakował, i wynika z pytania o powtarzalność. Jeśli twoja organizacja prowadzi wiele podobnych obiektów — generatory, przepompownie, węzły ciepłownicze, stacje uzdatniania — sprawdź, czy są zabezpieczone tak samo. Jednakowa konfiguracja oznacza, że atak skuteczny na jednym jest skuteczny na wszystkich, a to zamienia incydent lokalny w kampanię.

Rzecz druga dotyczy widoczności i wynika z tego, że sprawa wypłynęła po miesiącu. Warto zadać sobie pytanie, ile czasu w twojej organizacji zajęłoby ustalenie, że przestój obiektu miał przyczynę w cyberataku, a nie w awarii technicznej. To rozróżnienie bywa trudne, a od niego zależy, czy incydent w ogóle zostanie zgłoszony.

Rzecz trzecia jest regulacyjna i dotyczy tych, których to obejmuje po obu stronach kanału. W Wielkiej Brytanii trwają prace nad ustawą o cyberbezpieczeństwie i odporności, której wejście w życie przewiduje się na koniec roku. W Polsce podmioty kluczowe i ważne mają do 3 października czas na samoidentyfikację i wpis do wykazu, a nad wszystkim stoi osobista odpowiedzialność kierownictwa. Ten incydent, przy całej niepewności co do szczegółów, jest dobrym argumentem w rozmowie z zarządem — nie dlatego, że pokazuje irańską zdolność, lecz dlatego, że pokazuje, jak wygląda cztery dni bez działającego obiektu.

Jedna myśl na koniec

Najciekawsze w tej sprawie jest to, czego w niej nie ma. Nie ma raportu technicznego, nie ma komunikatu agencji, nie ma wskaźników kompromitacji, nie ma potwierdzonego przypisania. Jest jeden artykuł, jedno zdanie rzecznika ministerstwa i miesiąc ciszy.

Można z tego zrobić tekst o irańskiej zdolności uderzania w brytyjską infrastrukturę i większość redakcji tak zrobiła. Uczciwiej jest jednak powiedzieć, że wiemy trzy rzeczy: że mały obiekt energetyczny stał cztery dni, że rząd to potwierdził, i że po tym incydencie ostrzegł pozostałe firmy energetyczne. Wszystko inne jest domysłem — mniej lub bardziej prawdopodobnym, ale domysłem.

To akurat jest lekcja przydatna poza tą jedną sprawą. W energetyce publiczna wiedza o incydentach nie odzwierciedla ich liczby, tylko liczbę przecieków. A wnioski budowane na przeciekach mówią więcej o tym, co udało się ujawnić, niż o tym, co się wydarzyło.

Źródła

Help Net Security — omówienie sprawy z zaznaczeniem, że informacja pochodzi ze źródeł brytyjskiego dziennika, wraz z wypowiedzią przedstawiciela resortu energii o „małym generatorze energii" i kontekstem lipcowych ataków na ponad trzydzieści amerykańskich wodociągów: https://www.helpnetsecurity.com/2026/08/24/uk-power-plant-cyberattack/

SecurityWeek — analiza z wyraźnym wskazaniem, że z oczekiwanych źródeł oficjalnych, w tym narodowego centrum cyberbezpieczeństwa, nie napłynęły praktycznie żadne informacje, oraz z komentarzami ekspertów o powtarzalności tego typu ataków i pytaniem o liczbę podobnych obiektów: https://www.securityweek.com/iran-linked-hackers-shut-down-uk-power-plant-for-four-days/

CNBC — potwierdzenie stanowiska rządu brytyjskiego, że incydent dotyczył małego generatora i że w żadnym momencie nie było ryzyka dla szerszego systemu energetycznego: https://www.cnbc.com/2026/08/23/small-uk-power-plant-shut-down-after-iran-linked-cyberattack-report.html

Security Affairs — relacja z ustaleniem, że władze nie ujawniły nazwy obiektu ze względów bezpieczeństwa, a przywracanie instalacji zajęło cztery dni: https://securityaffairs.com/197734/cyber-warfare-2/uk-power-plant-disabled-for-four-days-by-iran-linked-hackers-concurrent-with-us-water-attacks.html

Intelligent CISO — zestawienie komentarzy branżowych, w tym uwagi o czterech dniach przestoju mimo powtarzanych ostrzeżeń oraz o tym, że atak trafił w obiekt niezdolny do zakłócenia szerszego systemu: https://www.intelligentciso.com/2026/08/24/experts-respond-to-reported-iran-linked-cyberattack-disrupting-uk-power-generator/