Hacker störten den Betrieb eines polnischen Wärmekraftwerks, nachdem sie einen unerwarteten Zugang zu dessen Netzwerk über ein privates Mobilfunksystem gefunden hatten, das zur Verbindung von entfernten Energiegeräten verwendet wurde.
Der Angriff im Dezember 2025 legte vorübergehend eine Dampfturbine und das Wasseraufbereitungssystem der Anlage ab. Die Anlage versorgt etwa 50.000 Bewohner mit Wärme, aber die Kunden verloren während des Vorfalls weder Heizung noch Strom.
CERT Polska gab am 8. August nach einer über drei Monate dauernden Untersuchung Details des Angriffs bekannt. Laut Ermittlern sind die Angreifer zunächst nicht durch das Kraftwerk selbst eingedrungen. Stattdessen begann der Einbruch an einem separaten Windpark.
Nachdem sie dort die Systeme kompromittiert hatten, entdeckten die Angreifer, dass die Geräte im Windpark mit einem privaten Mobilfunknetz des örtlichen Stromversorgers verbunden waren. Dasselbe Netzwerk wurde auch zur Kommunikation mit anderen Geräten genutzt.
Eine Sicherheitskonfiguration ermöglichte es Geräten, die dieses private Netzwerk nutzten, miteinander zu kommunizieren. Dies gab den Angreifern die Möglichkeit, sich vom kompromittierten Windpark zu den mit dem Kraftwerk verbundenen Geräten zu bewegen.
CERT Polska erklärte, es sei der erste reale Cyberangriff, der der Behörde bekannt war, bei dem ein privates Mobilfunknetz dieser Art als Route in eine industrielle Kontrollumgebung genutzt wurde.
Die Angreifer begannen am 18. Dezember, das Netzwerk zu erkunden. Während dieser Aktivität entdeckten sie einen industriellen Controller, der über die Mobilfunkverbindung erreichbar war und weiterhin durch seine Standard-Administratorzugangsdaten geschützt war.
Die Ermittler gehen davon aus, dass das kompromittierte Gerät dann eine Verbindung zum Betriebsnetz des Kraftwerks bereitgestellt hat. Einige Tage später, am 25. Dezember, verbanden sich die Angreifer mit drei Industriekontrolleuren innerhalb der Anlage. CERT Polska geht davon aus, dass dies eine Aufklärung zur Vorbereitung auf die anschließende Störung war.
Der Hauptangriff fand am Morgen des 29. Dezember statt. Böswillige Aktivitäten wurden von etwa 5:30 Uhr bis 10:10 Uhr festgestellt. Das Anlagenpersonal begann gegen 7:30 Uhr morgens mit der Wiederherstellung der betroffenen Systeme, was bedeutet, dass die Angreifer offenbar noch aktiv waren, während die Wiederherstellungsarbeiten bereits im Gange waren.
Die Eindringlinge änderten den Betriebszustand mehrerer Siemens-Controller und schützten sie mit Passwörtern. Dies führte dazu, dass die Dampfturbine und das Prozesswasseraufbereitungssystem den Betrieb unterbrachen, wodurch der Kraft-Wärme-Kopplungsprozess unterbrochen wurde. Andere Netzwerkgeräte wurden absichtlich zurückgesetzt und umkonfiguriert, sodass die Bediener nicht mehr normal erreichbar waren.
CERT Polska stellte fest, dass zumindest einige dieser Aktionen wahrscheinlich automatisiert waren, da mehrere Änderungen in einer eng koordinierten Abfolge stattfanden. Die Ermittler fanden keine Hinweise darauf, dass spezialisierte Malware notwendig war, um die Störung zu verursachen. Stattdessen nutzten die Angreifer Funktionen, die bereits in die betroffenen Industrie- und Netzwerkgeräte eingebaut waren.
Sie versuchten auch, Systeme zu stören, die ihren Zugang zur Anlage bereitgestellt hatten. Mehrere Geräte wurden zurückgesetzt oder beschädigt, was zum Verlust potenziell nützlicher Protokolle und anderer forensischer Beweise führte.
Anfangs wussten die Mitarbeiter nicht, dass sie es mit einem Cyberangriff zu tun hatten. Zu diesem Zeitpunkt fand Wartungsarbeiten in der Anlage statt, sodass zunächst vermutet wurde, dass die Störung auf einen Fehler des Auftragnehmers zurückzuführen war.
Die Ermittler haben den Täter für diesen speziellen Vorfall nicht öffentlich identifiziert.