Хакеры проникли в сеть небольшой польской ТЭЦ через приватный сегмент мобильной сети и остановили работу паровой турбины и системы очистки технической воды. Специалисты CERT Polska считают, что это первый известный случай реальной кибератаки, в которой приватный APN использовали для бокового перемещения между промышленными объектами.
Инцидент произошел еще 29 декабря 2025 года, однако подробности расследования в CERT Polska раскрыли только сейчас. Сообщается, что пострадавшая от атаки ТЭЦ обеспечивает теплом около 50 000 человек. Персонал начал восстановление примерно в 7:30 утра, пока атакующие еще находились в сети, но перебоев с теплом и электричеством у потребителей не возникло.
Изначальной точкой входа для хакеров стала сеть отдельно расположенной ветроэлектростанции: через нее злоумышленники получили административный доступ к устройству FortiGate, которое использовалось как файрвол и VPN-концентратор. При этом VPN был доступен из интернета, а для части аккаунтов не требовалась многофакторная аутентификация.
Далее хакеры получили доступ к роутеру Teltonika RUTX50, через него проникли в приватный APN (Access Point Name), который использовался для организации закрытой частной сети поверх инфраструктуры мобильного оператора. Через нее специалисты энергетической компании связывались с удаленным промышленным оборудованием. Главной проблемой оказалась некорректная конфигурация APN: подключенные к нему девайсы могли свободно взаимодействовать друг с другом, без клиентской изоляции.
В результате атакующие просканировали сеть и обнаружили на ТЭЦ контроллер WAGO PFC200, чей веб-интерфейс был доступен через APN и защищен только учетными данными администратора по умолчанию. Злоумышленники включили SSH и, по оценке CERT Polska, использовали этот контроллер как мост для проникновения в OT-сеть предприятия — сегмент с промышленными системами, управляющими оборудованием ТЭЦ.
Хакеры занимались разведкой как минимум с 18 декабря. 25 декабря они подключились к трем PLC Siemens, а ранним утром 29 декабря перешли к деструктивным действиям. Так, злоумышленники перевели контроллеры Siemens S7-300, S7-1200 и S7-1500 в режим STOP и защитили паролями, из-за чего остановились турбина, система очистки воды и когенерация.
Кроме того, злоумышленники сбросили до заводских настроек семь шлюзов Moxa и три коммутатора, сменили пароли и назначили им недоступные IP-адреса. После атаки хакеры также повредили таблицу разделов контроллера WAGO, сбросили настройки роутера Teltonika и устройства FortiGate, а также уничтожили часть логов и осложнив проведение расследования.
Аналитики подчеркивают, что никакая специализированная малварь в ходе этой атаки не применялась: все вредоносные действия выполнялись с помощью штатных функций оборудования и по обычным промышленным протоколам. Также в CERT Polska не смогли подтвердить эксплуатацию какой-либо конкретной уязвимости в роутере Teltonika RUTX50.
Исследователи предупреждают, что подобная конфигурация приватных APN широко распространена не только в Польше. В CERT Polska рекомендуют считать такие сети недоверенными, использовать изоляцию клиентов, жестко ограничивать доступ из APN к OT-системам, отключать ненужные интерфейсы управления и не использовать учетные данные по умолчанию.
