Des pirates ont perturbé les opérations d’une centrale centrale centrale polonaise de chauffage et d’électricité combinée après avoir trouvé une voie inattendue vers son réseau via un système cellulaire privé utilisé pour connecter des équipements énergétiques à distance.
L’attaque de décembre 2025 a temporairement arrêté une turbine à vapeur et le système de traitement de l’eau de la centrale. L’établissement chauffe environ 50 000 habitants, mais les clients n’ont pas perdu le chauffage ni l’électricité lors de l’incident.
CERT Polska a révélé les détails de l’attaque le 8 août après une enquête de plus de trois mois. Selon les enquêteurs, les assaillants ne sont pas entrés initialement par la centrale elle-même. Au lieu de cela, l’intrusion a commencé dans un parc éolien séparé.
Après avoir compromis les systèmes là-bas, les assaillants ont découvert que l’équipement du parc éolien était connecté à un réseau cellulaire privé exploité par la société locale de distribution d’électricité. Le même réseau était également utilisé pour communiquer avec des équipements d’autres régions.
Une configuration de sécurité permettait aux appareils utilisant ce réseau privé de communiquer entre eux. Cela a donné aux assaillants l’opportunité de passer du parc éolien compromis vers le matériel relié à la centrale.
CERT Polska a déclaré qu’il s’agissait de la première cyberattaque réelle connue de l’agence où un réseau cellulaire privé de ce type a été utilisé comme voie d’accès à un environnement de contrôle industriel.
Les assaillants ont commencé à explorer le réseau le 18 décembre. Au cours de cette activité, ils ont découvert un contrôleur industriel accessible via la connexion cellulaire et toujours protégé par ses identifiants administrateur par défaut.
Les enquêteurs pensent que l’appareil compromis a alors permis d’accéder au réseau opérationnel de la centrale. Quelques jours plus tard, le 25 décembre, les assaillants se sont connectés à trois contrôleurs industriels à l’intérieur de l’installation. CERT Polska estime qu’il s’agissait d’une reconnaissance menée en préparation de la perturbation qui a suivi.
L’attaque principale eut lieu dans la matinée du 29 décembre. Une activité malveillante a été détectée d’environ 5h30 à 10h10. Le personnel de l’usine a commencé à récupérer les systèmes affectés vers 7h30, ce qui signifie que les assaillants étaient apparemment encore actifs alors que les travaux de restauration étaient déjà en cours.
Les intrus modifiaient l’état de fonctionnement de plusieurs contrôleurs Siemens et les protégeaient avec des mots de passe. Cela a provoqué l’arrêt de fonctionnement de la turbine à vapeur et du système de traitement de l’eau de procédé, interrompant le processus de cogénération de la centrale. D’autres équipements réseau ont été délibérément réinitialisés et reconfigurés pour que les opérateurs ne puissent plus y accéder normalement.
CERT Polska a déterminé qu’au moins certaines de ces actions étaient probablement automatisées parce que plusieurs changements se produisaient dans une séquence étroitement coordonnée. Les enquêteurs n’ont trouvé aucune preuve qu’un logiciel malveillant spécialisé soit nécessaire pour provoquer cette perturbation. Au lieu de cela, les attaquants utilisaient des fonctions déjà intégrées aux équipements industriels et réseau concernés.
Ils ont également tenté d’interférer avec les systèmes qui leur avaient permis d’accéder à l’usine. Plusieurs dispositifs ont été réinitialisés ou endommagés, entraînant la perte de journaux potentiellement utiles et d’autres preuves médico-légales.
Au départ, le personnel ne réalisait pas qu’il faisait face à une cyberattaque. La maintenance était en cours dans l’installation à ce moment-là, si bien que la perturbation a d’abord été suspectée d’être due à une erreur de l’entrepreneur.
Les enquêteurs n’ont pas encore publiquement identifié l’agresseur responsable de cet incident en particulier.