Hacker attraversano APN privata: arrestata turbina impianto…

CERT Polska ha documentato la prima osservazione reale di un attacco che ha attraversato una rete cellulare privata per pivotare da una wind farm a un impianto

CERT Polska ha reso pubblico l'8 agosto 2026 il resoconto di un'intrusione che il 29 dicembre 2025 ha arrestato una turbina a vapore e il sistema di trattamento acqua in un impianto termoelettrico polacco. Il dossier descrive il percorso di un attacco che ha attraversato una rete cellulare privata gestita dal distribution system operator locale, spostandosi da una wind farm compromessa verso il controller dell'impianto termico. La fonte cita esplicitamente la valutazione di CERT: si tratta della prima istanza osservata in un cyberattacco reale di questo vettore.

L'impianto serve circa 50.000 residenti. Il recupero operativo è iniziato alle 7:30 del mattino, mentre gli intrusi erano ancora attivi nella rete. Secondo la fonte, i consumatori non hanno subito interruzioni di riscaldamento o elettricità.

Punti chiave

CERT Polska ha documentato la prima osservazione reale di attacco attraverso una APN privata cellulare con client-to-client traffic abilitato, pivotando da una wind farm a un impianto termoelettrico.
L'attacco del 29 dicembre 2025 ha messo in STOP mode PLC Siemens S7-300, S7-1200 e S7-1500 e ha arrestato turbina a vapore e sistema trattamento acqua; nessun malware è stato utilizzato.
La compromissione è iniziata da un FortiGate VPN esposto a internet senza MFA nella wind farm, con pivot attraverso router Teltonika RUTX50 e APN privata verso un controller WAGO PFC200 con credenziali default.
Sette server seriali Moxa e tre switch sono stati factory-reset con IP assegnati a 127.0.0.1; l'attaccante ha corrotto la tabella partizioni del WAGO e cancellato log, ma log SSH sono sopravvissuti per una caratteristica del firmware RutOS precedente alla versione 7.07.

Come si è mosso l'attaccante nella rete cellulare

Il percorso inizia nella wind farm, dove un FortiGate VPN era esposto a internet senza autenticazione a più fattori. L'attaccante ha ottenuto privilegi amministrativi su quel dispositivo. Da lì, la compromissione si è estesa a un router Teltonika RUTX50 collegato a una VLAN secondaria. La password default del router era stata cambiata durante il deployment, ma il dossier non specifica come l'attaccante l'abbia ottenuta. Log dell'operatore mobile indicano ripetuti login SSH riusciti e successivo tunneling attraverso il router verso la APN privata.

La configurazione della APN permetteva comunicazione arbitraria device-to-device: il cosiddetto client-to-client traffic. Questa impostazione ha consentito all'attaccante di scansionare la rete e individuare un controller WAGO PFC200 con interfaccia web esposta e credenziali amministrative di default. Dal 18 dicembre 2025 l'attaccante ha condotto ricognizione sulla APN. Attività SSH successive suggeriscono che il servizio sia stato abilitato via interfaccia web del WAGO, creando un tunnel nella rete OT dell'impianto termoelettrico.

Il 25 dicembre l'attaccante si è connesso a tre PLC Siemens su protocollo S7, in una fase valutata come ricognizione. Quattro giorni dopo, tra le 5:30 e le 10:10 del 29 dicembre, i PLC sono stati messi in STOP mode e protetti con password. Il sistema di cogenerazione è stato interrotto.

La distruzione forense e ciò che è sopravvissuto

Dopo l'azione sui PLC, l'attaccante ha eseguito operazioni di sabotaggio sui dispositivi di rete. Sette server seriali Moxa e tre switch sono stati factory-reset, con password modificate e indirizzi IP assegnati a 127.0.0.1. La fonte valuta queste azioni probabilmente automatizzate. Il controller WAGO ha subito corruzione della tabella partizioni che ha impedito il boot. Circa trenta minuti dopo l'ultima attività rilevata nell'impianto termico, anche il router Teltonika e il FortiGate della wind farm sono stati factory-reset, con perdita dei log.

Tuttavia, log relativi a connessioni SSH sono sopravvissuti. La fonte spiega che versioni di RutOS precedenti alla 7.07 conservano il database eventi anche dopo un factory reset. Il dossier non specifica quale versione fosse installata sul router Teltonika coinvolto.

Il personale dell'impianto non ha inizialmente classificato l'evento come attacco. La manutenzione era in corso, e l'interruzione è stata registrata come probabile errore di un contraente.

Cosa fare adesso

La raccomandazione principale che emerge dal report CERT Polska è l'abilitazione del client isolation sulle APN private cellulari. Sondaggi condotti da CERT indicano che configurazioni con client-to-client traffic abilitato sono comuni in Polonia e probabilmente diffuse a livello internazionale. Gli operatori di infrastrutture critiche che utilizzano APN private per collegare facility remote devono verificare che la configurazione impedisca comunicazione arbitraria tra dispositivi endpoint.

Il caso evidenzia tre controlli specifici da applicare alla catena di compromissione documentata. Primo: le VPN di accesso remoto esposte a internet richiedono autenticazione a più fattori. Il FortiGate della wind farm ne era privo. Secondo: i dispositivi industriali con interfaccia web esposta su reti raggiungibili da altre facility devono avere credenziali modificate dai valori di default. Il WAGO PFC200 conservava credenziali amministrative non modificate. Terzo: i log di sistemi intermedi come i router cellulari devono essere archiviati esternamente, non solo localmente. Il factory reset del Teltonika ha cancellato i log locali; la sopravvivenza di quelli SSH è stata accidentale, legata a una caratteristica del firmware non documentata come meccanismo di conservazione.

Il dossier non stabilisce un CVE come causa dell'intrusione. CVE-2023-32349 e CVE-2023-32350 nel firmware Teltonika richiedono privilegi esistenti; i flaw nel modem del RUTX50 causano solo denial of service. Non esiste quindi una singola patch software da applicare secondo la fonte.

"the first instance of this attack vector being observed in a real-world cyberattack"
— CERT Polska, citato da The Hacker News

La paradosse della APN raccomandata come isolamento

La contraddizione al centro di questo incidente è che la tecnologia attraversata è la stessa raccomandata per proteggere le infrastrutture critiche. Le APN private cellulari sono progettate per isolare il traffico da quello pubblico. La configurazione con client-to-client abilitato inverte questa logica: trasforma la APN in un ponte tra facility che non condividono gestione né confini organizzativi. Wind farm e impianto termoelettrico erano strutture separate, e nessuna delle due gestiva la rete che le collegava.

La natura dell'attacco amplifica la rilevanza del caso. Nessun malware è stato impiegato: ogni passaggio ha utilizzato funzioni supportate dei dispositivi compromessi. Questo riduce la tracciabilità forense e elimina la dipendenza da vulnerabilità zero-day o exploit pubblici. L'attaccante ha operato come amministratore legittimo, sfruttando credenziali deboli e configurazioni errate per muoversi attraverso layer di rete normalmente separati.

Cosa non è nel dossier

La fonte non specifica se altri dispositivi sulla APN siano stati compromessi o scannerizzati oltre il WAGO PFC200 identificato. Non chiarisce se l'attaccante avesse accesso fisico o remoto alla wind farm prima della compromissione del FortiGate. Il movente non è determinato, e non emerge se l'obiettivo fosse il sabotaggio puro, la ricognizione a lungo termine, o entrambi. Il motivo per cui l'attaccante non abbia completato la distruzione forense prima dell'ultima attività — lasciando sopravvivere i log SSH — resta non spiegato.

La disclosure è avvenuta dopo un'indagine di oltre tre mesi. Questo è il secondo di due impianti CHP colpiti il 29 dicembre 2025: il primo era stato divulgato a gennaio 2026. Il ritardo riflette la complessità forense di un attacco senza malware e con distruzione parziale delle evidenze.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti