Privatni APN otvorio put do upravljanja poljskom elektranom
Napadači su u decembru 2025. preko privatne mobilne mreže ušli u sistem kombinovane toplane i elektrane u Poljskoj, zaustavili parnu turbinu i sistem za obradu procesne vode. Postrojenje snabdeva toplotom približno 50.000 stanovnika, ali tokom incidenta nije došlo do prekida isporuke grejanja ni električne energije. CERT Polska je slučaj objavio 8. avgusta, nakon istrage duže od tri meseca.
Ključni element napada bio je privatni APN, namenski mobilni data-sistem kojim operator distributivne mreže povezuje udaljenu opremu. Podešavanje je dopuštalo da uređaji na APN-u međusobno komuniciraju, pa je napadač sa kompromitovane mreže vetroparka mogao da se lateralno kreće do kontrolera u odvojenom CHP postrojenju.
Privatna mobilna mreža nije automatska izolacija
CERT Polska navodi da je ovo, prema njegovim saznanjima, prvi zabeleženi slučaj stvarne sajber-operacije u kojoj je industrijska kontrolna mreža dostignuta tim putem. Vetropark i elektrana su odvojeni objekti, a mrežom koja ih je povezivala nije upravljao nijedan od njih.
Početna tačka bila je mreža vetroparka sa FortiGate uređajem koji je istovremeno služio kao zaštitni zid i VPN koncentrator. VPN je bio izložen internetu, a nalozi su mogli da pristupe bez višefaktorske autentifikacije. Napadač je imao administratorske privilegije na uređaju i verovatno je došao do VPN podataka za pristup segmentima mreže.
Komunikacija prema udaljenoj terminalnoj jedinici podstanice koristila je serijski DNP3.0, kako je zahtevao distributivni operator. Međutim, taj zahtev nije obuhvatao upravljački interfejs mobilnog rutera Teltonika RUTX50. Njegov Ethernet interfejs bio je povezan sa VLAN-om iza kompromitovanog zaštitnog zida, što je ostavilo dodatni put za pristup.
Podrazumevani nalozi i podržane funkcije uređaja
Od 18. decembra napadač je skenirao APN i pronašao WAGO PFC200 kontroler čiji je veb administrativni interfejs bio dostupan sa podrazumevanim administratorskim podacima. Zapisi ukazuju da je SSH verovatno uključen preko tog interfejsa, a zatim je tunelom ostvaren pristup OT mreži postrojenja.
Napadač se 25. decembra uspešno povezao sa tri Siemens PLC uređaja preko S7 protokola. Četiri dana kasnije, Siemens S7-300, S7-1200 i S7-1500 kontroleri prebačeni su u režim STOP i zaštićeni lozinkama. Sedam Moxa serijskih servera i tri mrežna prekidača vraćeni su na fabrička podešavanja, dobili su promenjene lozinke i nedostižne IP adrese, uključujući 127.0.0.1.
CERT sa visokim stepenom pouzdanosti ocenjuje da su destruktivne radnje bile automatizovane. Izveštaj ne opisuje malver: korišćene su podržane funkcije uređaja i protokoli koje postrojenje inače koristi. Napadač je potom oštetio particionu tabelu WAGO kontrolera, resetovao Teltonika ruter i FortiGate, čime su izgubljeni brojni zapisi.
Praktične mere za OT okruženja
Istraga nije utvrdila jedan CVE niti potvrđenu ranjivost rutera kao uzrok upada. Zato odgovor ne može biti samo instaliranje zakrpe. CERT preporučuje proveru konfiguracije privatnog APN-a i uključivanje izolacije klijenata, uz tretiranje APN-a kao nepouzdanog sa stanovišta OT mreže.
To podrazumeva segmentaciju i ograničavanje saobraćaja, uklanjanje nepotrebnih upravljačkih servisa sa interfejsa dostupnih preko APN-a i promenu podrazumevanih naloga. Slični obrasci izloženih VPN pristupa, slabih naloga i lateralnog kretanja vide se i u izloženih VPN pristupa, slabih naloga i lateralnog kretanja, gde kombinacija više propusta povećava operativni rizik.
Za organizacije je praktičan zaključak da privatnu mobilnu povezanost treba proveravati kao svaki drugi pristupni sloj: odvojiti klijente, uvesti MFA za udaljeni pristup, ograničiti administraciju uređaja i redovno testirati da li put iz IT mreže može da dosegne OT kontrolere.