Hackers interrumpieron las operaciones de una central combinada de calor y energía en Polonia tras encontrar una ruta inesperada hacia su red a través de un sistema celular privado utilizado para conectar equipos energéticos remotos.
El ataque de diciembre de 2025 detuvo temporalmente una turbina de vapor y el sistema de tratamiento de agua de la planta. La instalación proporciona calefacción a aproximadamente 50.000 residentes, pero los clientes no perdieron la calefacción ni la electricidad durante el incidente.
CERT Polska reveló detalles del ataque el 8 de agosto tras una investigación que duró más de tres meses. Según los investigadores, los atacantes no entraron inicialmente por la central eléctrica en sí. En cambio, la intrusión comenzó en un parque eólico separado.
Tras comprometer los sistemas allí, los atacantes descubrieron que el equipo del parque eólico estaba conectado a una red celular privada operada por la compañía local de distribución eléctrica. La misma red también se utilizaba para comunicarse con equipos en otros lugares.
Una configuración de seguridad permitía que los dispositivos que usaban esta red privada se comunicaran entre sí. Esto dio a los atacantes la oportunidad de desplazarse del parque eólico comprometido hacia equipos conectados a la central eléctrica.
CERT Polska afirmó que fue el primer ciberataque real conocido por la agencia en el que se utilizó una red móvil privada de este tipo como vía de acceso a un entorno de control industrial.
Los atacantes comenzaron a explorar la red el 18 de diciembre. Durante esta actividad, descubrieron un controlador industrial al que se podía acceder a través de la conexión celular y que seguía protegido por sus credenciales de administrador por defecto.
Los investigadores creen que el dispositivo comprometido proporcionó entonces una ruta hacia la red operativa de la central eléctrica. Varios días después, el 25 de diciembre, los atacantes se conectaron con tres controladores industriales dentro de la instalación. CERT Polska cree que se trató de un reconocimiento realizado en preparación para la posterior interrupción.
El ataque principal tuvo lugar durante la mañana del 29 de diciembre. Se detectó actividad maliciosa aproximadamente desde las 5:30 a.m. hasta las 10:10 a.m. El personal de la planta comenzó a recuperar los sistemas afectados alrededor de las 7:30 a.m., lo que significa que los atacantes aparentemente seguían activos mientras los trabajos de restauración ya estaban en marcha.
Los intrusos cambiaron el estado operativo de varios controladores Siemens y los protegieron con contraseñas. Esto provocó que la turbina de vapor y el sistema de tratamiento de agua de proceso dejaran de funcionar, interrumpiendo el proceso de cogeneración de la planta. Otros equipos de red se reajustaron deliberadamente y reconfiguraron para que los operadores ya no pudieran acceder a él con normalidad.
CERT Polska determinó que al menos algunas de estas acciones probablemente estaban automatizadas porque se producían múltiples cambios en una secuencia estrechamente coordinada. Los investigadores no encontraron pruebas de que se necesitara malware especializado para causar la interrupción. En su lugar, los atacantes utilizaron funciones ya integradas en el equipo industrial y de red afectado.
También intentaron interferir con los sistemas que les habían proporcionado la ruta de acceso a la planta. Varios dispositivos fueron reiniciados o dañados, lo que provocó la pérdida de registros potencialmente útiles y otras pruebas forenses.
Inicialmente, el personal no se dio cuenta de que estaba enfrentándose a un ciberataque. En ese momento se realizaba mantenimiento en la instalación, por lo que inicialmente se sospechó que la interrupción se debió a un error del contratista.
Los investigadores no han identificado públicamente al agresor responsable de este incidente en particular.