Hackers desativaram uma turbina a vapor e o sistema de tratamento de água de processo de uma usina de cogeração na Polônia ao acessar o ambiente por meio da rede móvel privada usada pela operadora local da rede elétrica para alcançar equipamentos remotos.
A usina abastece cerca de 50.000 moradores com calor. A recuperação começou por volta das 7h30, enquanto os invasores ainda estavam ativos na rede, e os clientes não ficaram sem aquecimento nem eletricidade.
O CERT Polska divulgou o incidente, ocorrido em dezembro de 2025, em 8 de agosto, após uma investigação que durou mais de três meses. Em janeiro, o primeiro-ministro da Polônia havia afirmado que duas usinas de cogeração foram atingidas; esta foi a segunda.
O caminho usado passou por um APN privado, sigla para access point name, uma rede celular de dados dedicada e gerenciada pela operadora do sistema de distribuição. Uma configuração que permitia que quaisquer dispositivos nesse APN se comunicassem entre si permitiu ao atacante saltar de uma rede de parque eólico comprometida para um controlador na usina de cogeração.
Segundo o CERT, acessar uma rede de controle industrial por meio de um APN privado foi, até onde se sabe, “o primeiro caso dessa técnica de ataque observado em um ciberataque real”. O parque eólico e a usina são instalações separadas, e nenhuma delas opera a rede que as conectava.
O relatório não atribui a invasão a um CVE específico, e os investigadores não conseguiram determinar se uma vulnerability no roteador Teltonika havia sido explorada. Assim, não há um único patch de software a ser aplicado.
O controlador WAGO acessível via APN ainda usava credenciais administrativas padrão, enquanto o APN privado permitia tráfego de cliente para cliente. A primeira recomendação do CERT é auditar a configuração do APN privado e ativar o isolamento entre clientes.
O órgão também orienta a tratar o APN como não confiável do lado da tecnologia operacional, ou OT, segmentar e restringir o tráfego, remover serviços de gerenciamento desnecessários das interfaces alcançáveis pelo APN e trocar as credenciais padrão.
Segundo o CERT, levantamentos feitos por ele mostram que organizações polonesas que operam APNs privados com frequência permitem que qualquer dispositivo na rede alcance qualquer outro. A entidade acredita que configurações semelhantes são amplamente usadas em outros países. O serviço SSH do roteador, a interface web do controlador e o APN permissivo estavam todos funcionando conforme configurados.
O caminho do ataque começou em um parque eólico, onde um equipamento FortiGate servia ao mesmo tempo como firewall e concentrador de VPN. A VPN estava exposta à internet e permitia contas sem MFA. O atacante tinha privilégios administrativos no dispositivo e provavelmente os usou para obter credenciais de VPN que davam acesso a todos os segmentos da rede.
A operadora de distribuição exigia que as comunicações com a unidade terminal remota da subestação fossem feitas pelo protocolo serial DNP3.0, e essa exigência foi atendida. Mas não havia exigências equivalentes para a interface de gerenciamento do roteador celular, que ficava em uma segunda interface, uma porta Ethernet conectada a uma VLAN atrás do firewall comprometido.
O parque eólico cumpriu a exigência de DNP3.0 que lhe foi passada e ainda assim forneceu o caminho de entrada. Essa exigência regulava como os dados trafegavam, não como o equipamento que os transportava era administrado.
O roteador era um Teltonika RUTX50, cuja senha padrão havia sido alterada na implantação. Os investigadores encontraram vários logins SSH bem-sucedidos, mas não conseguiram determinar como o atacante obteve essa senha.
Registros da operadora móvel levaram o CERT a concluir que o atacante provavelmente usou tunelamento SSH pelo roteador para alcançar o APN privado. A partir de 18 de dezembro, o atacante fez varreduras no APN e encontrou um controlador WAGO PFC200 expondo sua interface de administração web com credenciais administrativas padrão. Atividades posteriores de SSH sugerem que o serviço provavelmente foi habilitado por essa interface, e a correlação de horários levou o CERT a concluir que o atacante provavelmente usou o WAGO como túnel para entrar na rede OT da usina.
Em 25 de dezembro, o atacante conseguiu se conectar a três PLCs da Siemens pelo protocolo S7, atividade que o CERT considera muito provavelmente uma etapa de reconhecimento para as ações destrutivas posteriores.
Em 29 de dezembro, a atividade do atacante dentro da rede da usina de cogeração ocorreu entre cerca de 5h30 e 10h10, com a recuperação da planta começando por volta de 7h30. Segundo a equipe da usina, controladores Siemens S7-300, S7-1200 e S7-1500 foram colocados em modo STOP e protegidos por senha, desligando a turbina e o sistema de tratamento de água de processo e interrompendo a cogeração.
Sete servidores seriais Moxa e três switches também foram redefinidos para o padrão de fábrica, tiveram suas senhas alteradas e receberam endereços IP inalcançáveis, como 127.0.0.1. O CERT afirma que o horário dos eventos indica, com alto grau de confiança, que essas ações foram automatizadas. Nada disso exigiu malware, e o relatório não descreve nenhum.
Cada etapa destrutiva usou uma função suportada do dispositivo, acionada pelos protocolos em operação na usina.
Depois, o atacante danificou a própria trilha de acesso. A tabela de partições do controlador WAGO foi corrompida, o que o impediu de inicializar e não gerou registros úteis. Cerca de 30 minutos após a última atividade observada na usina, o atacante redefiniu o roteador Teltonika para o padrão de fábrica, trocou a senha de administrador e atribuiu a ele o endereço inalcançável 127.0.0.1. Em seguida, redefiniu o FortiGate, o que resultou na perda dos registros.
O CERT afirma que as versões do RutOS anteriores à 7.07 mantinham o banco de dados de eventos após uma redefinição para o padrão de fábrica, razão pela qual os registros de login por SSH sobreviveram.
A usina não interpretou o episódio inicialmente como um ataque. Como havia manutenção em andamento, a operadora registrou a interrupção como provável erro de contratada e a reportou apenas para informação. O CERT abriu um incidente porque já tinha conhecimento de eventos semelhantes. O reconhecimento dentro da rede da usina ocorreu entre 18 e 25 de dezembro, incluindo uma varredura de portas iniciada a partir do endereço do sistema SCADA.
Nenhum autor é identificado nesse incidente. A campanha mais ampla de dezembro recebeu quatro avaliações separadas em janeiro, feitas pelo governo da Polônia, pelo CERT Polska, pela ESET e pela Dragos. Cada uma delas trata de um aspecto diferente, como a preparação da campanha, sua infraestrutura, o wiper malware usado contra outros alvos e seu desenho mais amplo. Nenhuma delas aborda esta invasão específica.
Os APNs privados ainda aparecem em orientações federais como uma opção de isolamento. Um alerta conjunto do FBI e da EPA, publicado em 30 de julho, sobre ataques contra PLCs do setor de água expostos à internet, lista um APN privado entre as arquiteturas isoladas que os operadores devem considerar para alcançar equipamentos OT por links móveis.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...