Il 29 dicembre 2025, attaccanti hanno spento la turbina a vapore e il sistema di trattamento dell'acqua di un impianto di cogenerazione polacco che serve circa 50.000 residenti. CERT Polska ha reso pubblici gli esiti dell'indagine l'8 agosto 2026, dopo oltre tre mesi di analisi. Il vettore d'ingresso è stato un APN cellulare privato mal configurato: la prima istanza documentata di movimento laterale OT attraverso infrastruttura mobile.
- L'attacco ha attraversato una rete cellulare privata per raggiungere il network OT di un impianto energeticamente indipendente dalla vittima primaria
- Gli attaccanti hanno operato per 11 giorni di ricognizione prima dello spegnimento, senza impiegare malware
- Tutte le azioni distruttive hanno usato funzioni legittime dei dispositivi, invocate sui protocolli standard dell'impianto
- L'interruzione è stata inizialmente classificata come errore umano del contraente; la segnalazione passiva ha ritardato l'apertura dell'incidente
Da fattoria eolica a impianto di cogenerazione: la catena del 29 dicembre
L'ingresso iniziale non è avvenuto nell'impianto colpito. Gli attaccanti hanno compromesso il firewall FortiGate di una fattoria eolica, esposto su internet senza autenticazione a più fattori. Con privilegi amministrativi sul dispositivo, secondo la ricostruzione di The Hacker News basata sul report CERT, hanno individuato un router cellulare Teltonika RUTX50 con servizio SSH attivo.
I log dell'operatore mobile hanno permesso a CERT di stabilire che l'attaccante ha utilizzato il tunneling SSH attraverso il router per raggiungere l'APN privato. Il router era dual-homed: collegato alla rete IT della fattoria e contemporaneamente alla rete cellulare. Nessuna barriera ha impedito il passaggio.
Dall'APN, l'attaccante ha scansionato i dispositivi raggiungibili e ha individuato un controller WAGO PFC200 con credenziali di amministrazione predefinite ancora attive sull'interfaccia web. Attraverso questa interfaccia ha abilitato SSH, ottenendo un punto di aggancio nel network OT dell'impianto di cogenerazione.
La fattoria eolica e l'impianto di cogenerazione non avevano alcuna relazione operativa diretta. Erano collegati solo dall'architettura di rete: entrambi clienti dello stesso operatore mobile, entrambi all'interno dello stesso APN privato, con la comunicazione device-to-device abilitata per difetto o per scelta di configurazione.
Undici giorni di ricognizione e lo STOP dei PLC Siemens
L'attività di ricognizione nel network OT è iniziata il 18 dicembre 2025. Per 11 giorni, secondo quanto riportato da HelpNetSecurity sulla base del report CERT, gli attaccanti hanno mappato l'infrastruttura. Il 25 dicembre sono state registrate connessioni a tre PLC Siemens (S7-300, S7-1200, S7-1500) sul protocollo S7: attività valutata come ricognizione, sebbene il report non confermi il contenuto specifico delle sessioni.
Il 29 dicembre, intorno alle 5:30 del mattino, gli attaccanti hanno commutato i tre PLC in modalità STOP e protetto l'operazione con password. La turbina a vapore e il sistema di trattamento dell'acqua si sono arrestati. Il personale dell'impianto ha avviato la procedura di ripristino intorno alle 7:30, mentre gli attaccanti erano ancora attivi nel network.
Parallelamente allo STOP dei PLC, l'attaccante ha reimpostato alle condizioni di fabbrica sette server seriali Moxa e tre switch, cambiando le password e assegnando indirizzi IP non raggiungibili (127.0.0.1). CERT ha valutato che la tempistica di queste azioni indichi con alta probabilità un'automazione, non intervento manuale.
Nessun malware è stato impiegato nella fase distruttiva. Ogni azione ha utilizzato funzioni supportate dai dispositivi, invocate sui protocolli che l'impianto utilizza normalmente. Questo pattern ha contribuito a occultare l'attività: l'impianto ha inizialmente classificato l'evento come probabile errore di un contraente durante manutenzione, segnalandolo solo a titolo informativo.
"A nostro conoscenza, l'incidente descritto in questo report, che ha coinvolto l'accesso a una rete OT attraverso un APN privato, è stata la prima istanza osservata di questo vettore di attacco utilizzato in un attacco informatico reale" — CERT Polska
L'architettura "isolata" che non lo era
Il report CERT identifica esplicitamente la causa radice nella configurazione dell'APN: "una misconfigurazione che permetteva a dispositivi arbitrari all'interno della rete APN privata di comunicare tra loro". L'APN privato era stato progettato come meccanismo di isolamento, non come ponte.
La tensione con le raccomandazioni regolatorie è emersa nel luglio 2026. Il 30 luglio, l'FBI e l'EPA hanno pubblicato un advisory che elencava l'APN privato come architettura isolata raccomandata per il settore idrico. L'incidente polacco dimostra che l'isolamento dell'APN è una scelta di configurazione, non una garanzia tecnica: con la comunicazione client-to-client abilitata, i confini geografici e operativi tra impianti si dissolvono.
Il controller WAGO PFC200 funzionava come ponte non per vulnerabilità software, ma per credenziali predefinite non modificate. Il router Teltonika funzionava come proxy non per flaw noto, ma per servizio SSH attivo e interfaccia amministrativa non gestita. Il firewall FortiGate funzionava come ingresso non per bug, ma per assenza di MFA su esposizione internet.
L'intera catena è costruita su gap di configurazione, non su exploit di vulnerabilità pubblicate. CERT non ha potuto confermare alcuna CVE come causa radice dell'intrusione. La password SSH del Teltonika era stata cambiata dal default; come l'attaccante l'abbia ottenuta rimane non determinato. La possibilità di una vulnerabilità non pubblicata nel router non è esclusa, ma non è provata.
Cosa fare adesso
Il report CERT Polska contiene raccomandazioni specifiche derivate dall'analisi forense. Gli operatori di infrastrutture critiche con reti cellulari private dovrebbero:
- Verificare l'effettiva attivazione dell'isolamento client-to-client nell'APN: la disabilitazione della comunicazione arbitraria tra endpoint è il controllo fondamentale emerso dall'incidente
- Rimuovere o modificare le credenziali predefinite su tutti i controller PLC e sui dispositivi di rete industriali, indipendentemente dalla percezione di esposizione
- Disabilitare i servizi di amministrazione remota non necessari sui router cellulari, o limitarli a interfacce di gestione dedicate non raggiungibili dai segmenti operativi
- Segnalare tempestivamente anomalie operative anche quando classificabili come errore umano: il ritardo nell'apertura dell'incidente ha influito sulla quantità di evidenza preservabile
L'APN come nuovo perimetro, e il perimetro che non regge
L'indagine CERT ha richiesto oltre tre mesi anche per la distruzione deliberata di evidenza. L'attaccante ha corrotto la tabella delle partizioni del WAGO, reimpostato il Teltonika a condizioni di fabbrica con IP irraggiungibile entro 30 minuti dall'ultima attività nel CHP, e cancellato il FortiGate. Solo una caratteristica specifica del sistema operativo Teltonika — versioni RutOS precedenti alla 7.07 conservano il database eventi dopo factory reset — ha permesso il recupero dei login SSH ripetuti.
Marcin Dudek, responsabile di CERT Polska, ha presentato il caso alla DEF CON 34 con una sintesi che coglie il problema di fondo: quello che appariva come errore umano si è rivelato una caccia di tre mesi attraverso false piste, dispositivi di accesso remoto dimenticati, hardware industriale cancellato, connettività cellulare e infrastruttura ritenuta isolata.
L'attore di questa specifica intrusione non è stato identificato. Il più ampio ciclo di attacchi del 29 dicembre 2025 — che ha colpito oltre 30 impianti a energia rinnovabile e un grande impianto di cogenerazione servente circa 500.000 abitanti — è stato attribuito da fonti esterne a gruppi collegati al servizio di intelligence russo FSB, con denominazioni Sandworm o Electrum secondo ESET e altri analisti. CERT Polska ha esplicitamente non attribuito questo incidente APN a nessun attore specifico. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore di questa intrusione a quello della campagna più ampia allo stato attuale.
Il caso polacco non condanna l'APN privato come tecnologia. Conferma invece che la sicurezza delle architetture OT non può delegare l'isolamento a etichette di rete: se il client può parlare al client, il perimetro è una convenzione amministrativa, non una barriera tecnica. E le convenzioni amministrative, nel settore energetico, stanno producendo conseguenze fisicamente misurabili.
Fonti
- https://thehackernews.com/2026/08/hackers-breach-polish-power-plant.html
- https://thomasharris6.wordpress.com/2026/08/11/hackers-breach-polish-power-plant-controls-via-private-cellular-network-and-shut-turbine/
- https://www.bleepingcomputer.com/news/security/hackers-breached-a-small-polish-energy-plant-via-private-apn-last-year/
- https://therecord.media/poland-uncovers-critical-infrastructure-attack-hidden
- https://securityaffairs.com/196955/security/hackers-cross-from-it-to-ot-through-a-private-apn-in-poland.html
- https://www.techtimes.com/articles/323883/20260811/cellular-network-feds-recommended-ot-isolation-let-hackers-breach-polish-plant.htm
- https://cert.pl/en/posts/2026/08/incident-follow-up-report-energy-sector-2025/
- https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/
- https://www.welivesecurity.com/en/eset-research/dynowiper-update-technical-analysis-attribution/
- https://www.helpnetsecurity.com/2026/08/11/poland-energy-sector-cyberattack-heating-plant-private-apn/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.