Hackers interromperam as operações de uma usina polonesa combinada de calor e energia após encontrarem uma rota inesperada para sua rede por meio de um sistema celular privado usado para conectar equipamentos de energia remota.
O ataque de dezembro de 2025 desligou temporariamente uma turbina a vapor e o sistema de tratamento de água da usina. A instalação fornece aquecimento para aproximadamente 50.000 moradores, mas os clientes não perderam o aquecimento nem a eletricidade durante o incidente.
O CERT Polska revelou detalhes do ataque em 8 de agosto após uma investigação que durou mais de três meses. Segundo os investigadores, os atacantes inicialmente não entraram pela usina em si. Em vez disso, a intrusão começou em um parque eólico separado.
Após comprometer os sistemas lá, os atacantes descobriram que equipamentos no parque eólico estavam conectados a uma rede celular privada operada pela empresa local de distribuição de eletricidade. A mesma rede também era usada para se comunicar com equipamentos em outros lugares.
Uma configuração de segurança permitia que dispositivos usando essa rede privada se comunicassem entre si. Isso deu aos atacantes a oportunidade de se moverem do parque eólico comprometido para equipamentos conectados à usina.
O CERT Polska afirmou que foi o primeiro ciberataque real conhecido pela agência em que uma rede celular privada desse tipo foi usada como rota para um ambiente de controle industrial.
Os atacantes começaram a explorar a rede em 18 de dezembro. Durante essa atividade, eles descobriram um controlador industrial que podia ser acessado pela conexão celular e ainda estava protegido por suas credenciais padrão de administrador.
Os investigadores acreditam que o dispositivo comprometido então forneceu uma rota para a rede operacional da usina. Alguns dias depois, em 25 de dezembro, os atacantes conectaram-se a três controladores industriais dentro da instalação. O CERT Polska acredita que isso foi um reconhecimento realizado em preparação para a subsequente interrupção.
O ataque principal ocorreu na manhã de 29 de dezembro. Atividade maliciosa foi detectada aproximadamente das 5h30 até as 10h10. O pessoal da usina começou a recuperar os sistemas afetados por volta das 7h30, o que significa que os atacantes aparentemente ainda estavam ativos enquanto os esforços de restauração já estavam em andamento.
Os invasores mudaram o estado operacional de vários controladores Siemens e os protegeram com senhas. Isso fez com que a turbina a vapor e o sistema de tratamento de água de processo parassem de operar, interrompendo o processo de cogeração da usina. Outros equipamentos de rede foram deliberadamente reconfigurados e reconfigurados para que os operadores não pudessem mais acessá-los normalmente.
O CERT Polska determinou que pelo menos algumas dessas ações provavelmente foram automatizadas porque múltiplas mudanças ocorreram em uma sequência coordenada de forma rigorosa. Os investigadores não encontraram evidências de que um malware especializado fosse necessário para causar a interrupção. Em vez disso, os atacantes usaram funções já integradas aos equipamentos industriais e de rede afetados.
Eles também tentaram interferir nos sistemas que haviam fornecido sua rota para a usina. Vários dispositivos foram resetados ou danificados, resultando na perda de registros potencialmente úteis e outras evidências forenses.
Inicialmente, o pessoal não percebeu que estava lidando com um ciberataque. A manutenção estava ocorrendo na instalação na época, então a interrupção foi inicialmente suspeitada de ter resultado de um erro do empreiteiro.
Os investigadores não identificaram publicamente o agressor responsável por esse incidente específico.