Hakerzy włamali się do polskiej elektrowni przez prywatną sieć komórkową. CERT Polska ujawnia

Prywatna sieć komórkowa, która miała odizolować infrastrukturę energetyczną, stała się dla hakerów drogą do przemysłowych systemów sterowania. CERT Polska ujawnił szczegóły ataku na niewielką elektrociepłownię, która dostarcza ciepło dla około 50 tys. mieszkańców.

To jeden z najbardziej nietypowych incydentów wymierzonych w polską energetykę. Atakujący wykorzystali prywatny APN operatora, aby przejść z wcześniej zaatakowanej farmy wiatrowej do sieci technologicznej innego obiektu.

Jeden błąd otworzył drogę do elektrowni

Początek ataku miał miejsce w sieci farmy wiatrowej. Hakerzy przejęli urządzenie FortiGate, a następnie wykorzystali znajdujący się w sieci router Teltonika do uzyskania dostępu do prywatnego APN.

Problem tkwił w konfiguracji sieci. Urządzenia należące do różnych klientów mogły komunikować się ze sobą bez odpowiedniej izolacji. Napastnik mógł więc skanować kolejne obiekty i szukać słabszego punktu.

Trafił na sterownik WAGO PFC200 w elektrociepłowni. Jego interfejs był dostępny z poziomu APN, a dostęp administracyjny chroniły domyślne dane logowania.

Hakerzy dotarli do sterowników przemysłowych

Po przejęciu sterownika napastnicy uruchomili SSH i wykorzystali urządzenie jako pomost do sieci OT elektrociepłowni. Następnie przez kilka dni rozpoznawali infrastrukturę, szukając systemów SCADA oraz sterowników PLC. 25 grudnia uzyskali dostęp do trzech sterowników Siemens. Cztery dni później rozpoczęli właściwy atak.

Około 5:30 rano sterowniki zostały przełączone w tryb STOP, aktywowano ochronę hasłem, a następnie wyłączono turbinę parową i system uzdatniania wody procesowej. Elektrociepłownia przestała prowadzić normalną produkcję. Personel szybko odzyskał kontrolę nad systemami. Awaria była krótkotrwała i nie wpłynęła na dostawy ciepła dla mieszkańców.

Napastnicy zacierali ślady

Atakujący nie ograniczyli się do wyłączenia urządzeń. Zresetowali i przekonfigurowali część sprzętu Moxa, a także uszkodzili lub zresetowali sterownik WAGO, router Teltonika oraz zaporę FortiGate.

Takie działania utrudniają odtworzenie przebiegu włamania i analizę śladów pozostawionych przez napastników.

CERT Polska uznał ten incydent za pierwszy znany przypadek rzeczywistego ataku, w którym napastnik dostał się do sieci OT poprzez prywatny APN.

Prywatny APN nie jest już synonimem izolacji

Dochodzenie wykazało, że podobna konfiguracja była stosowana w Polsce szerzej. CERT Polska ostrzega również, że zbliżone rozwiązania mogą funkcjonować w innych państwach.

Wnioski są istotne dla operatorów infrastruktury krytycznej. Prywatne sieci APN powinny być traktowane jak sieci zewnętrzne, a komunikacja między klientami musi być odpowiednio izolowana. Dostęp do systemów OT powinien dodatkowo ograniczać się do niezbędnego ruchu, a nieużywane usługi administracyjne, takie jak SSH czy Telnet, należy wyłączać.

Atak pokazał przy tym coś znacznie bardziej konkretnego niż kolejny problem z hasłem. Hakerzy nie musieli bezpośrednio włamywać się do sieci przemysłowej. Wystarczyła źle zabezpieczona droga prowadząca do niej z innej części infrastruktury.