Atak z 29 grudnia 2025: sześć decyzji, które przesądziły o wyniku. Lekcje dla każdego obiektu z systemami sterowania

Co dokładnie stało się 29 grudnia 2025?

Główny raport CERT Polska z 30 stycznia 2026 opisuje trzy fronty tego samego dnia. W co najmniej 30 stacjach elektroenergetycznych farm OZE unieruchomiono sterowniki i odcięto komunikację z operatorem sieci. W dużej elektrociepłowni napastnik, obecny w sieci od wiosny, uruchomił oprogramowanie niszczące na ponad stu maszynach, ale zostało ono zatrzymane przez ochronę stacji roboczych. W zakładzie produkcyjnym wszedł przez urządzenie brzegowe, którego konfiguracja wyciekła wcześniej na forum przestępcze.

Uzupełnienie raportu, opublikowane kilka miesięcy później, dodaje czwarty front, o którym pisano najmniej: mniejszą elektrociepłownię dostarczającą ciepło dla około 50 tysięcy mieszkańców. Około godziny 7:00 zatrzymano tam turbinę parową i stację uzdatniania wody, co przerwało proces kogeneracji. Obsługa zareagowała szybko, przestój był krótki i odbiorcy nie odczuli przerwy w dostawach ciepła.

Droga do tej elektrociepłowni jest najważniejszą lekcją całego incydentu, dlatego opisuję ją osobno.

Jak napastnik dostał się do elektrociepłowni przez cudzą farmę wiatrową?

Nie przez jej własne urządzenie brzegowe. Próby logowania do firewalla elektrociepłowni nie powiodły się. Napastnik wszedł inną drogą, w jedenastu krokach, które CERT Polska zrekonstruował z odzyskanych logów:

1. Przejął urządzenie brzegowe na farmie wiatrowej (brama VPN dostępna z internetu, bez drugiego składnika logowania).
2. Znalazł w sieci farmy router komórkowy, który zapewniał zapasową łączność z operatorem sieci dystrybucyjnej przez prywatny APN. Panel administracyjny routera był dostępny z VLAN-u zarządzanego przez przejęty firewall.
3. Zalogował się do routera i zestawił przez SSH tunel do prywatnego APN.
4. Przeskanował sieć APN i znalazł w niej sterownik PLC należący do elektrociepłowni, z panelem WWW wystawionym na interfejsie widocznym z APN i z domyślnym hasłem konta administratora.
5. Włączył na sterowniku SSH, zestawił kolejny tunel i przez tydzień prowadził rozpoznanie sieci OT elektrociepłowni. Skanował ją w niedzielę 21 grudnia, a do sterowników Siemens łączył się po raz pierwszy w Boże Narodzenie.
6. 29 grudnia przełączył sterowniki w tryb STOP i zabezpieczył je hasłem, po czym uszkodził sterownik, przez który wszedł, router na farmie i firewall farmy, żeby zatrzeć ślady.

Trzy fakty z tego opisu zasługują na osobne zdanie. Po pierwsze, elektrociepłownia i farma to różne organizacje: bezpieczeństwo jednej zależało od konfiguracji drugiej. Po drugie, prywatny APN operatora był traktowany jako sieć zaufana, a pozwalał na komunikację między dowolnymi podłączonymi urządzeniami. CERT Polska ustalił na podstawie ankiet, że w momencie badania była to często spotykana konfiguracja w Polsce. Po trzecie, elektrociepłownia początkowo uznała zdarzenie za błąd inżynierów podwykonawcy prowadzących prace utrzymaniowe i zgłosiła je wyłącznie informacyjnie. Dopiero CERT Polska, znając inne zdarzenia z tego dnia, poprowadził sprawę jako atak.

Sześć decyzji, które przesądziły o wyniku

Każda z nich została podjęta, albo pominięta, w dniu uruchamiania systemów. Żadna nie wymaga zaawansowanej techniki, żeby ją naprawić.

Decyzje 5 i 6 rzadko pojawiają się w rozmowach o bezpieczeństwie, a w tym incydencie okazały się równie ważne jak firewall. Obiekt bez logów zbieranych poza urządzeniami nie jest w stanie ustalić, co się stało, ani udowodnić ubezpieczycielowi, że dochował staranności. Obiekt, który każdą niewyjaśnioną awarię traktuje jak błąd wykonawcy, może nie zauważyć ataku, dopóki nie powtórzy się gdzie indziej.

Dlaczego to dotyczy każdego obiektu, nie tylko energetyki?

Bo napastnik nie wykorzystał niczego, co byłoby specyficzne dla energetyki. Wykorzystał cechy, które ma większość obiektów z systemami sterowania:

• Wielu dostawców, jedna sieć. Falowniki, telemechanikę, SCADA, router komórkowy i firewall dostarczają różne firmy. W hotelu tę samą rolę pełnią system recepcyjny, zamki, automatyka budynkowa i monitoring; w terminalu system operacyjny terminalu, bramy, wagi i suwnice. Każdy wykonawca odpowiada za swój system. Nikt nie odpowiada za to, jak wyglądają razem.
• Zdalny dostęp jako warunek pracy. Obiekt bezobsługowy albo obsługiwany przez firmę serwisową musi być osiągalny z zewnątrz. Pytanie brzmi tylko, dla kogo i na jakich warunkach.
• Sieci trzecich uznawane za zaufane. Prywatny APN operatora, kanał serwisowy producenta, łącze do chmury dostawcy. Elektrociepłownia nie miała wpływu na konfigurację APN i nie mogła jej zweryfikować, a mimo to sterownik podłączony do tej sieci miał panel administracyjny bez zmienionego hasła.
• Warstwa niewidoczna po odbiorze. W żadnym protokole odbioru nie ma rubryki „hasło fabryczne zmienione" ani „interfejs administracyjny routera odseparowany". To trzeba sprawdzić, zanim obiekt zacznie pracować.

Co powinien obejmować odbiór warstwy logicznej?

Niezależnie od branży lista jest ta sama. Odbiór powinien opierać się na dowodach, czyli na eksportach konfiguracji, wynikach testów i zapisach zdarzeń, a nie na oświadczeniu wykonawcy.

1. Inwentaryzacja: pełna lista urządzeń, wersji oprogramowania, kont i wszystkich kanałów zdalnego dostępu, w tym tych, o których nikt już nie pamięta.
2. Ekspozycja: co jest widoczne z internetu i z sieci trzecich (APN, chmura producenta, VPN serwisowy) i dlaczego.
3. Uwierzytelnianie: drugi składnik na każdym zdalnym wejściu, konta imienne, brak haseł fabrycznych i brak wspólnych haseł między obiektami.
4. Segmentacja: praktyczny test przejścia między strefami, a nie rysunek w projekcie; interfejsy administracyjne urządzeń brzegowych poza siecią produkcyjną.
5. Wykrywanie: ochrona stacji roboczych i serwerów, która zatrzyma działanie niszczące, oraz zapisy zdarzeń zbierane poza urządzeniami.
6. Odtwarzalność: kopie konfiguracji, które da się odtworzyć bez kasowania dowodów, oraz procedura postępowania po awarii, która zakłada, że awaria może być atakiem.

Wykonawca, firma serwisowa i dział IT patrzą na te punkty z własnej perspektywy: terminu, dostępności i utrzymania tego, co dostali. Dlatego w innych branżach budowlanych odbiór prowadzi niezależny inspektor. Systemy sterowania nie różnią się pod tym względem, tylko wada jest niewidoczna, dopóki nie jest za późno. Tę rolę pełni niezależny nadzór nad bezpieczeństwem systemów IT/OT, prowadzony w imieniu inwestora, a nie wykonawcy.

Źródła

• CERT Polska (NASK): Raport z incydentu w sektorze energii 29.12, 30 stycznia 2026
• CERT Polska (NASK): Uzupełnienie raportu z incydentu w sektorze energii 29 grudnia 2025

Wszystkie fakty dotyczące przebiegu ataków pochodzą z publicznie dostępnych raportów CERT Polska. Nazwy producentów urządzeń pominięto celowo: w żadnym z opisanych przypadków przyczyną nie była marka sprzętu, lecz jego konfiguracja.