Gli hacker hanno interrotto le operazioni di una centrale termica e elettrica combinata polacca dopo aver trovato una via inaspettata verso la sua rete tramite un sistema cellulare privato utilizzato per collegare apparecchiature energetiche remote.
L’attacco del dicembre 2025 ha temporaneamente bloccato una turbina a vapore e il sistema di trattamento dell’acqua dell’impianto. La struttura fornisce riscaldamento a circa 50.000 residenti, ma i clienti non hanno perso né riscaldamento né elettricità durante l’incidente.
Il CERT Polska ha rivelato i dettagli dell’attacco l’8 agosto dopo un’indagine durata più di tre mesi. Secondo gli investigatori, gli aggressori non sono inizialmente entrati attraverso la centrale elettrica stessa. Invece, l’intrusione iniziò in un parco eolico separato.
Dopo aver compromesso i sistemi lì, gli aggressori hanno scoperto che le apparecchiature del parco eolico erano collegate a una rete cellulare privata gestita dalla compagnia locale di distribuzione elettrica. La stessa rete veniva utilizzata anche per comunicare con apparecchiature altrove.
Una configurazione di sicurezza permetteva ai dispositivi che utilizzavano questa rete privata di comunicare tra loro. Questo ha dato agli aggressori l’opportunità di spostarsi dal parco eolico compromesso verso le attrezzature collegate alla centrale.
CERT Polska ha dichiarato che si tratta del primo attacco informatico reale noto all’agenzia in cui una rete cellulare privata di questo tipo è stata utilizzata come via d’accesso a un ambiente di controllo industriale.
Gli aggressori hanno iniziato a esplorare la rete il 18 dicembre. Durante questa attività, scoprirono un controller industriale raggiungibile tramite la connessione cellulare e ancora protetto dalle credenziali amministrative predefinite.
Gli investigatori ritengono che il dispositivo compromesso abbia poi fornito una via di accesso alla rete operativa della centrale. Alcuni giorni dopo, il 25 dicembre, gli aggressori si sono collegati a tre controllori industriali all’interno della struttura. CERT Polska ritiene che si tratti di una ricognizione condotta in preparazione alla successiva interruzione.
L’attacco principale avvenne la mattina del 29 dicembre. Attività malevole è stata rilevata dalle 5:30 fino alle 10:10. Il personale dell’impianto iniziò a recuperare i sistemi colpiti intorno alle 7:30, il che significava che gli aggressori erano apparentemente ancora attivi mentre erano già in corso i lavori di restauro.
Gli intrusi cambiarono lo stato operativo di diversi controller Siemens e li proteggevano con password. Questo causò l’interruzione della turbina a vapore e del sistema di trattamento dell’acqua di processo, interrompendo il processo di cogenerazione dell’impianto. Altre apparecchiature di rete furono deliberatamente resettate e riconfigurate in modo che gli operatori non potessero più raggiungerle normalmente.
CERT Polska ha stabilito che almeno alcune di queste azioni erano probabilmente automatizzate perché si verificavano molteplici modifiche in una sequenza strettamente coordinata. Gli investigatori non hanno trovato prove che fosse necessario un malware specializzato per causare l’interruzione. Invece, gli attaccanti hanno utilizzato funzioni già integrate nelle apparecchiature industriali e di rete interessate.
Hanno anche tentato di interferire con i sistemi che avevano fornito il loro percorso di accesso all’impianto. Diversi dispositivi sono stati resettati o danneggiati, causando la perdita di registri potenzialmente utili e altre prove forensi.
Inizialmente, il personale non si era reso conto di essere oggetto di un attacco informatico. In quel momento si stava svolgendo manutenzione presso la struttura, quindi inizialmente si sospettò che la interruzione fosse dovuta a un errore dell’appaltatore.
Gli investigatori non hanno ancora identificato pubblicamente l’aggressore responsabile di questo particolare incidente.