Atacantes desligaram uma turbina a vapor e o sistema de tratamento de água de processo em uma usina polonesa de cogeração (produção combinada de calor e energia, conhecida pela sigla CHP) ao acessar a rede celular privada usada pela operadora local da rede elétrica para alcançar equipamentos remotos.
A usina fornece calor para cerca de 50 mil moradores. A recuperação começou por volta das 7h30, enquanto os invasores ainda estavam ativos dentro da rede, e os clientes não perderam calor nem eletricidade.
O CERT Polska (Centro de Resposta a Emergências Cibernéticas da Polônia) revelou o incidente de dezembro de 2025 em 8 de agosto, após uma investigação que durou mais de três meses. O primeiro-ministro da Polônia havia dito em janeiro que duas usinas de cogeração (CHP, na sigla em inglês para Combined Heat and Power) foram atingidas. Esta é a segunda.
O caminho passou por uma APN (Access Point Name, ou nome de ponto de acesso) privada: uma rede celular de dados dedicada, gerenciada pela operadora do sistema de distribuição. Uma configuração que permitia que dispositivos quaisquer daquela APN se comunicassem entre si possibilitou ao atacante se deslocar de uma rede de parque eólico comprometida até um controlador na usina de cogeração.
O CERT afirma que acessar uma rede de controle industrial por meio de uma APN privada foi, até onde se sabe, "o primeiro caso desse vetor de ataque observado em um ataque cibernético real". O parque eólico e a usina são instalações separadas, e nenhum dos dois opera a rede que os conectava.
Recomendações do CERT
O relatório não estabelece uma CVE (vulnerabilidade comum catalogada) como causa da invasão, e os investigadores não conseguiram determinar se uma vulnerabilidade no roteador Teltonika foi explorada, de modo que não há um patch de software único a ser aplicado.
O controlador WAGO acessível pela APN ainda tinha credenciais padrão de administrador, enquanto a APN privada permitia tráfego entre clientes. A primeira recomendação do CERT é auditar a configuração da APN privada e ativar o isolamento entre clientes.
O órgão também orienta tratar a APN como não confiável do lado da tecnologia operacional (OT, na sigla em inglês), segmentando e restringindo o tráfego, removendo serviços de gerenciamento desnecessários das interfaces acessíveis pela APN e alterando as credenciais padrão.
O CERT afirma que suas pesquisas constataram que organizações polonesas que operam APNs privadas geralmente permitem que qualquer dispositivo na rede alcance qualquer outro. A entidade acredita que configurações semelhantes estão amplamente implantadas em outros países. O serviço SSH (Secure Shell, acesso remoto seguro) do roteador, a interface web do controlador e a APN permissiva estavam todos funcionando conforme configurado.
Caminho do ataque
O caminho do ataque começou em um parque eólico, onde um dispositivo FortiGate atuava como firewall e concentrador de VPN. A VPN estava exposta à internet e permitia contas sem autenticação multifator (MFA). O atacante tinha privilégios administrativos no dispositivo e, provavelmente, os utilizou para obter credenciais de VPN capazes de alcançar todos os segmentos da rede.
A operadora de distribuição exigia que as comunicações com a unidade terminal remota (RTU, na sigla em inglês) da subestação ocorressem pelo protocolo serial DNP3.0 (Distributed Network Protocol, versão 3.0), e esse requisito foi atendido. No entanto, não havia requisitos equivalentes para a interface de gerenciamento do roteador celular, que ficava em uma segunda interface: uma porta Ethernet ligada a uma VLAN (rede local virtual) atrás do firewall comprometido.
O parque eólico cumpriu o requisito relativo ao DNP3.0 que lhe foi imposto e, mesmo assim, forneceu o caminho de entrada. Esse requisito regulava a forma como os dados trafegavam, e não como o dispositivo que os transportava era administrado.
O roteador era um Teltonika RUTX50 cuja senha padrão havia sido alterada durante a implantação. Os investigadores recuperaram registros de diversos logins SSH bem-sucedidos, mas não conseguiram estabelecer como o atacante obteve essa senha.
Até 11 de agosto, o site The Hacker News analisou as vulnerabilidades publicadas no firmware do roteador e não encontrou nenhuma que entregasse a senha a um atacante sem autenticação. As duas falhas da série RUT no aviso da CISA (Agência de Cibersegurança e Infraestrutura dos EUA) de 2023 sobre a Teltonika, CVE-2023-32349 e CVE-2023-32350, exigem privilégios prévios no dispositivo, e as falhas de modem do RUTX50 provocam apenas negação de serviço. Não se descarta a existência de uma falha não publicada.
Reconhecimento e ação destrutiva
Registros da operadora de telefonia móvel levaram o CERT a avaliar que o atacante provavelmente utilizou tunelamento SSH por meio do roteador para alcançar a APN privada. A partir de 18 de dezembro, o atacante escaneou a APN e encontrou um controlador WAGO PFC200 expondo sua interface web de administração com credenciais padrão de administrador. Atividade SSH subsequente sugere que o serviço foi provavelmente habilitado por essa interface, e a correlação de carimbos de tempo (timestamps) levou o CERT a avaliar que o atacante muito provavelmente usou o WAGO como túnel para entrar na rede de OT da usina.
Em 25 de dezembro, o atacante se conectou com sucesso a três CLPs (Controladores Lógicos Programáveis) da Siemens por meio do protocolo S7, atividade que o CERT considera mais provavelmente ter sido reconhecimento para as ações destrutivas posteriores.
Em 29 de dezembro, a atividade do atacante dentro da rede da usina de cogeração ocorreu das cerca de 5h30 às cerca de 10h10, com a recuperação da usina começando por volta das 7h30. Segundo funcionários da usina, controladores Siemens S7-300, S7-1200 e S7-1500 foram colocados no modo STOP (parada) e protegidos por senha, desligando a turbina e o sistema de tratamento de água de processo e interrompendo a cogeração.
Sete servidores seriais de dispositivos Moxa e três switches também foram restaurados para os padrões de fábrica, receberam senhas alteradas e foram configurados com endereços IP (protocolo de internet) inalcançáveis, como 127.0.0.1. O CERT afirma que o horário indica, com alto grau de confiança, que essas ações foram automatizadas. Nada disso exigiu malware, e o relatório não descreve nenhum.
Cada etapa destrutiva utilizou uma função compatível do dispositivo, invocada pelos protocolos que a usina já operava.
O atacante então danificou o próprio caminho de entrada. A tabela de partições do controlador WAGO foi corrompida, deixando-o incapaz de inicializar e sem gerar logs úteis. Cerca de 30 minutos após a última atividade observada na usina de cogeração, o atacante restaurou o roteador Teltonika para os padrões de fábrica, alterou sua senha de administrador e configurou o endereço inalcançável 127.0.0.1; em seguida, restaurou o FortiGate para os padrões de fábrica, fazendo com que seus logs fossem perdidos.
O CERT afirma que versões do RutOS anteriores à 7.07 mantinham seu banco de dados de eventos após uma restauração de fábrica, razão pela qual os registros de login SSH foram preservados.
Investigação e contexto
A usina não interpretou inicialmente o ocorrido como um ataque. Havia manutenção em andamento, então o operador registrou a interrupção como provável erro de contratada e a reportou apenas a título informativo; o CERT abriu um incidente porque já tinha conhecimento de eventos semelhantes. O reconhecimento dentro da rede da usina ocorreu de 18 a 25 de dezembro, incluindo uma varredura de portas iniciada a partir do endereço do sistema SCADA (Supervisory Control and Data Acquisition, supervisão, controle e aquisição de dados).
Nenhum agente é nomeado para este incidente. A campanha mais ampla de dezembro resultou em quatro avaliações separadas em janeiro, vindas do governo da Polônia, do CERT Polska, da ESET e da Dragos. Cada uma tem escopo diferente: a preparação da campanha, sua infraestrutura, o malware wiper (apagador de dados) usado contra outros alvos e seu formato mais amplo. Nenhuma delas aborda esta invasão.
APNs privadas ainda aparecem em orientações federais como opção de isolamento. Um aviso conjunto do FBI (Polícia Federal dos EUA) e da EPA (Agência de Proteção Ambiental dos EUA) de 30 de julho, sobre ataques a CLPs do setor de água expostos à internet, lista a APN privada entre as arquiteturas isoladas que operadoras devem considerar para acessar equipamentos de OT por meio de enlaces celulares.
