APN privata nuovo vettore attacco OT: centrale polacca…

CERT Polska ha documentato il primo caso reale di APN privata come vettore di attacco OT. Un attacco del 29 dicembre 2025 ha colpito una centrale di cogenerazione

Il 29 dicembre 2025, poco dopo le 7 del mattino, i sistemi di controllo industriale di una centrale di cogenerazione polacca hanno subito un attacco coordinato che ha fermato una turbina a vapore e l'impianto di trattamento acque di processo. La notizia non è il danno in sé, contenuto dal personale senza interruzione della fornitura a circa 50.000 residenti, ma il vettore d'accesso: una APN privata, rete cellulare dedicata gestita dal distributore di energia, mai osservata prima in un attacco reale contro infrastrutture OT. CERT Polska ha pubblicato il report follow-up l'8 agosto 2026, presentato da Marcin Dudek al DEF CON di Las Vegas, dopo un'indagine durata oltre tre mesi.

Punti chiave

Il 29 dicembre 2025 un attacco coordinato ha colpito una centrale di cogenerazione polacca servendo circa 50.000 residenti, con fermo turbina e impianto trattamento acque; il personale ha contenuto l'episodio senza interruzione fornitura.
Il vettore di accesso alla rete OT è stato una APN privata — rete cellulare dedicata del distributore — che CERT Polska dichiara "the first instance of this attack vector being observed in a real-world cyberattack".
La catena di pivot ha attraversato: FortiGate VPN internet-facing compromesso → router cellulare Teltonika RUTX50 in sottostazione → APN privata → controllore WAGO PFC200 con modem cellulare integrato → rete OT, con credenziali default "admin" sul WAGO e SSH abilitato via interfaccia web.
La configurazione APN con comunicazione arbitraria tra dispositivi è "commonly encountered in Poland" e, secondo CERT Polska, "widely used in other countries around the world".

Il triplo salto che ha trasformato il cellulare industriale in ponte d'attacco

L'architettura di telecontrollo cellulare è stata progettata per affidabilità, non per security. Il risultato è una catena di trust implicita che l'attaccante ha attraversato in tre salti misurabili. Primo: oltre 30 sottostazioni eoliche e fotovoltaiche esponevano firewall FortiGate con VPN internet-facing, autenticazione locale senza MFA, privilegi amministrativi. Da lì, l'attaccante ha raggiunto la LAN interna della sottostazione.

Secondo: su quella LAN si trovava un router cellulare Teltonika RUTX50 con interfaccia seriale RS485 verso RTU e porta Ethernet su VLAN del firewall compromesso. La password era stata cambiata rispetto al default, ma il meccanismo esatto di compromissione non è stato determinato dall'indagine. Il database eventi SQLite di RutOS, versione precedente alla 7.07, sopravvive a factory reset: le tracce di accessi web e SSH sono state ricostruite dal team forense.

Terzo: dal Teltonika, l'attaccante è entrato nell'APN privata gestita dal DSO. Su quella rete cellulare flat, dove i dispositivi comunicano arbitrariamente tra loro, si trovava il WAGO PFC200 — controllore con modem cellulare integrato che dialogava con il distributore tramite SIM APN. Il WAGO espondeva l'interfaccia web amministrativa su WAN con credenziali di fabbrica "admin" non cambiate. SSH era disabilitato di fabbrica; l'attaccante lo ha abilitato via web, aprendo il tunnel verso la rete OT.

La correlazione timestamp tra log APN e LAN locale indica, secondo l'analisi CERT, un secondo tunnel SSH "molto probabile" verso la rete OT. Non è una vulnerabilità di prodotto singolo: è la combinazione sistemica di APN flat, management esposto su WAN e credenziali default che ha creato il percorso.

La timeline nascosta: 11 giorni di ricognizione invisibile

L'attacco non è stato improvviso. Il 18 dicembre 2025, undici giorni prima del fermo turbina, sono iniziate scansioni ripetute dell'APN privata alla ricerca di porte VNC, HTTP, S7, Modbus. Il 21 dicembre, domenica, una scansione più aggressiva ha mappato la rete interna della centrale: bersagli S7/102, Modbus/502, CODESYS/11740, RTSP/554, RDP, VNC, HTTP/HTTPS. Otto giorni di latenza tra ricognizione e impatto suggeriscono un attore con tempo, risorse e familiarità con gli ambienti industriali.

Il 29 dicembre, l'esecuzione ha colpito PLC Siemens portandoli in stop mode con password di blocco; Moxa serial device server e switch sono stati riconfigurati; ci sono stati tentativi su inverter ABB e Schneider Electric VFD, non tutti completati. Il personale ha contenuto il fermo in un intervallo breve, ripristinando da factory reset e backup. Alcuni dispositivi sono stati danneggiati permanentemente per copertura tracce: il WAGO PFC200 ha subito corruzione della partition table, irrecuperabile anche dopo factory reset, con tentativo fallito di dissaldatura del chip memoria per recupero dati.

Un incidente quasi invisibile: la metodologia che ha svelato la campagna

L'episodio della centrale APN non compariva nel report iniziale di CERT Polska del 30 gennaio 2026. È stato ricondotto alla campagna coordinata solo grazie a una segnalazione per "malfunzionamento inspiegabile", come documenta ICT Security Magazine citando la metodologia investigativa: "senza una segnalazione trasmessa per un semplice malfunzionamento inspiegato, l'episodio non sarebbe stato ricondotto alla campagna".

Il report iniziale, pubblicato il 30 gennaio 2026, documentava attacchi puramente distruttivi contro oltre 30 impianti eolici e fotovoltaici, una grande centrale CHP da circa mezzo milione di utenti e un'azienda manifatturiera. Il malware era identico; l'infrastruttura sovrapposta a cluster tracciati come 'Static Tundra', 'Berserk Bear', 'Ghost Blizzard', 'Dragonfly'. CISA ha validato la minaccia con alert del 10 febbraio 2026 (BOD 26-02), confermando accesso iniziale via edge device internet-facing vulnerabili, wiper malware, danni permanenti al firmware di RTU, perdita di view e control, credenziali default per pivot interno.

L'attribution a 'Sandworm' compare in SecurityWeek ma non è verificata nelle fonti primarie CERT estratte; il dossier non stabilisce quale denominazione ufficiale il CERT adotti tra i cluster citati nel report originale.

"To the best of our knowledge, the use of a private APN to gain access to the OT network was the first instance of this attack vector being observed in a real-world cyberattack" — CERT Polska, Follow-Up Report, 8 agosto 2026

Perché è importante

Le APN private sono considerate segmenti "sicuri per definizione" nelle architetture OT/SCADA: rete cellulare dedicata, non internet, spesso esclusa dai programmi di vulnerability management e monitoraggio SOC. Questo caso dimostra che l'APN diventa il percorso meno sorvegliato quando un singolo dispositivo edge — router cellulare in sottostazione — è compromesso, trasformando la rete cellulare in ponte di lateral movement invisibile.

La configurazione con comunicazione arbitraria tra dispositivi APN è dichiarata da CERT Polska "commonly encountered in Poland" e "widely used in other countries around the world", ma il dossier non specifica l'estensione geografica esatta né fornisce il survey pubblicato. L'impatto immediato riguarda operatori DSO e TSO con reti telecontrollo cellulari, integratori che installano router cellulari con interfacce di management non hardenizzate, team SOC che non monitorano traffico APN come se fosse una VLAN interna.

Il brief non documenta misure correttive specifiche per questa tipologia di architettura. Il dossier non specifica la natura dei dati esposti attraverso il WAGO compromesso, né elenca CVE per le vulnerabilità sfruttate. Il meccanismo esatto di compromissione del Teltonika RUTX50 resta indeterminato: la password era stata cambiata, ma come l'attaccante l'abbia ottenuta o se abbia sfruttato una vulnerabilità non dichiarata, il report CERT non lo chiarisce.

Cosa non torna: i punti oscuri dell'indagine

L'indagine ha lasciato interrogativi tecnici aperti. Il contenuto effettivo del WAGO PFC200 è irrecuperabile: il chip memoria è stato dissaldato ma i dati non sono stati estratti. Le azioni precise su dispositivi ABB e Schneider Electric VFD restano parziali — tentativi non tutti riusciti. L'identità specifica dell'attaccante è dichiarata attraverso sovrapposizioni infrastrutturali a cluster noti, ma non emergono sovrapposizioni infrastrutturali che colleghino l'attore a una denominazione unificata allo stato attuale.

Ciò che il caso rende evidente è l'asimmetria di visibilità: l'attaccante ha operato per 11 giorni su una rete che il difensore non considerava un perimetro. La "fiducia implicita nel cellulare industriale" — l'assunto che la rete dedicata del distributore sia intrinsecamente isolata — ha creato una zona cieca dove la ricognizione, la persistenza e il pivot sono stati indistinguibili dal traffico legittimo fino al fermo fisico della turbina.

Il costo di questa fiducia non si misura solo nell'incidente polacco. Si misura nella diffusione globale di una configurazione architetturale che nessuno ha modellato come superficie di attacco, e che ora ha il suo primo caso documentato.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti