Vetor inédito: FSB entrou em usina polonesa via rede celular privada
Em 29 de dezembro de 2025, atacantes ligados ao FSB russo invadiram uma segunda usina de cogeração polonesa via APN privada — vetor nunca antes documentado em ataque real — desligando turbina a vapor e sistema de tratamento de água durante o pico do inverno. CERT Polska confirmou o incidente em 8 de agosto de 2026 após investigação de mais de três meses; não houve interrupção de fornecimento a consumidores, mas a janela de risco foi real e o método expõe infraestrutura equivalente em outros países.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O uso da APN privada como vetor de movimento lateral entre uma fazenda fotovoltaica comprometida e a rede OT da usina é, segundo o próprio CERT Polska, o primeiro caso documentado em ataque real — nenhuma fonte independente contradiz esta afirmação.
A atribuição à Centre 16 do FSB (Static Tundra/Berserk Bear) foi formalizada pelo Reino Unido e pela UE em 13 de julho de 2026 com sanções; CERT Polska alinha sua análise de infraestrutura a esse cluster, não ao GRU/Sandworm que a ESET havia indicado com confiança moderada — a divergência de atribuição entre agências é fato registrado, mas a atribuição oficial pesa mais.
O ponto de entrada foi um dispositivo FortiGate com interface VPN exposta à internet sem MFA numa fazenda fotovoltaica; dali o atacante pivotou via roteador Teltonika RUTX50 (SIM em APN privada) até um PLC Wago PFC200 com credenciais admin padrão na usina — cada elo desta cadeia é confirmado pelo relatório primário do CERT Polska.
O ataque ao segundo CHP foi inicialmente classificado como erro de empreiteiro, o que atrasou a notificação formal e permitiu que o incidente ficasse fora do relatório de janeiro de 2026; este lapso de classificação é sistêmico e provavelmente se repete em instalações similares.
A configuração de APN privada explorada não é exclusiva desta instalação — CERT Polska alertou explicitamente que o mesmo padrão de misconfiguration (ausência de isolamento entre clientes na rede celular) existe em outros operadores de distribuição na Europa.
Embora o FSB (Centre 16) tenha sido a atribuição oficial final, a disputa inicial com a hipótese Sandworm (GRU) — sustentada por ESET com confiança média e por Dragos — indica que os limites operacionais entre unidades russas de inteligência estão se tornando menos nítidos ou que há colaboração entre clusters distintos.
Analysis
O incidente divulgado em agosto de 2026 não é um ataque novo: é a revelação tardia de um ataque que ocorreu em 29 de dezembro de 2025, na mesma data e provavelmente pelo mesmo ator da campanha maior que já havia sido reportada em janeiro. A distinção importa porque o caso só foi reconhecido como ciberataque semanas depois — inicialmente, os operadores atribuíram o desligamento da turbina a vapor e do sistema de tratamento de água a erro de empreiteiro durante manutenção de rotina no período natalino. O CERT Polska só abriu investigação completa por analogia com os outros incidentes simultâneos, não por alerta interno da própria usina.
A cadeia técnica reconstruída pelo relatório complementar do CERT Polska é sólida e confirmada por fonte primária (o próprio relatório, disponível em PDF). O atacante comprometeu um dispositivo FortiGate com VPN exposta sem MFA numa fazenda fotovoltaica. Nessa fazenda havia um roteador celular Teltonika RUTX50 com SIM operando na APN privada do operador de distribuição (DSO). Essa APN não tem saída para a internet pública, mas — por misconfiguration — permitia comunicação direta entre quaisquer dispositivos conectados a ela. O atacante usou esse canal para alcançar um PLC Wago PFC200 na usina CHP, protegido apenas por credenciais admin padrão na interface web. A partir daí, habilitou SSH, pivotou para a rede OT da usina e, em 25 de dezembro, estabeleceu acesso via S7 a três PLCs Siemens. No dia 29, durante a janela de ataque, comutou os Siemens para stop mode e aplicou senha bloqueante, impedindo que os operadores revertessem o estado dos controladores pela via normal. O pessoal da usina reagiu rapidamente e restaurou a operação antes de qualquer impacto no fornecimento ao consumidor.
O ponto mais relevante do caso para a comunidade de segurança OT não é o impacto — que foi contido — mas o vetor. A APN privada é uma arquitetura recomendada por agências regulatórias (incluindo FBI e EPA nos EUA) como forma de isolar dispositivos industriais da internet pública. O que o caso demonstra é que 'isolado da internet' não equivale a 'segmentado': se qualquer dispositivo na APN pode falar com qualquer outro, um ativo comprometido num ponto remoto (fazenda eólica, subestação, medidor inteligente) vira ponto de entrada para toda a rede privada. O CERT Polska alertou explicitamente que essa misconfiguration não é exclusiva desta instalação.
A disputa de atribuição merece registro cuidadoso. A ESET atribuiu o DynoWiper (malware wiper usado na campanha maior) ao Sandworm — unidade do GRU, inteligência militar russa — com confiança média, baseando-se em sobreposição de TTPs com wipers anteriores. O CERT Polska, por sua vez, traçou a infraestrutura de comando e encontrou sobreposição substancial com o cluster Static Tundra/Berserk Bear/Ghost Blizzard, associado ao FSB (serviço de segurança doméstico russo, diferente do GRU). Em julho de 2026, UK e UE formalizaram a atribuição ao FSB Centre 16, acompanhada de sanções — o que eleva o peso desta versão para nível de fonte A. O próprio relatório complementar do CERT Polska sobre o segundo CHP não traz atribuição explícita ao mesmo ator da campanha maior, o que é dado relevante: a agência preferiu não extrapolar para além do que a evidência técnica suporta neste caso específico.
Um detalhe que a cobertura internacional subestimou: o incidente do PEC Ruciane-Nida (10 de janeiro de 2026, Mazúria) é um evento separado, envolvendo uma ciepłownia osiedlowa (caldeirão residencial de escala muito menor, ~740 apartamentos) atacada por grupo pró-russo diferente. Confundir os dois incidentes — como parte da imprensa fez — distorce a escala de cada um. O caso reportado pelo CERT Polska envolve uma usina CHP de médio porte (50 mil habitantes), com rede OT real, PLCs Siemens e Wago, e interrupção física de turbina. O caso de Ruciane-Nida é um incidente separado, com escopo e ator distintos.
Timeline
- 01 Mar 2025Investigadores traçam o início da fase de reconhecimento: capturas de tela de sistemas industriais, listas de processos exportadas e coleta de credenciais em múltiplas redes — atribuído ao mesmo ator da campanha de dezembro (Balkan Insight / CERT Polska).
- 08 Dec 2025Na grande usina CHP (alvo do primeiro relatório), o atacante realiza mudanças de configuração de sistema, habilitando compartilhamentos administrativos e criando regra de firewall mascarada como 'Microsoft Update' (relatório primário CERT Polska, janeiro 2026).
- 18 Dec 2025Início do reconhecimento na APN privada: atacante escaneia a rede e localiza o PLC Wago PFC200 na usina CHP menor, com interface web exposta e credenciais admin padrão. Protocolo SSH provavelmente habilitado via essa interface (CERT Polska follow-up report).
- 25 Dec 2025Atacante conecta-se a três PLCs Siemens via protocolo S7 — atividade que CERT Polska avalia como reconhecimento para as ações destrutivas posteriores (The Hacker News / CERT Polska).
- 29 Dec 2025Ataques coordenados atingem mais de 30 instalações renováveis e a grande usina CHP. Simultaneamente, na usina menor: atividade do atacante na rede OT de aproximadamente 05h30 às 07h30; turbina a vapor e sistema de tratamento de água desligados; PLCs Siemens comutados para modo stop com senha bloqueante. Recuperação iniciada às 07h30 com atacante ainda ativo na rede (CERT Polska / The Hacker News).
- 10 Jan 2026Incidente separado: PEC Ruciane-Nida (ciepłownia osiedlowa, Mazúria) confirma alteração de configurações do caldeirão RK1 1000 kW entre 22h e 23h — incidente distinto do CHP de 50 mil habitantes, envolvendo grupo pró-russo (CyberDefence24 / Money.pl).
- 30 Jan 2026CERT Polska publica relatório inicial sobre o ataque de 29 de dezembro, cobrindo 30+ fazendas renováveis e a grande usina CHP. O segundo CHP menor não é mencionado — investigação ainda em curso (CERT Polska, cert.pl).
- 30 Jan 2026ESET publica análise do malware DynoWiper e atribui o ataque ao Sandworm com confiança média (ESET / WeLiveSecurity).
- 10 Feb 2026CISA publica alerta amplificando o relatório do CERT Polska e destacando lacunas de segurança em OT/ICS no setor de energia (CISA).
- 13 Jul 2026Reino Unido e União Europeia atribuem formalmente os ataques de dezembro 2025 à Centre 16 do FSB russo e impõem sanções coordenadas contra 24 alvos — primeira ação sancionatória cibernética simultânea UK-UE (The Record / SC Media / OFSI).
- 08 Aug 2026CERT Polska publica relatório complementar (follow-up) revelando o ataque ao segundo CHP e o vetor inédito via APN privada (cert.pl).
- 09 Aug 2026Marcin Dudek, chefe do CERT Polska, apresenta os detalhes do incidente na DEF CON 34, Las Vegas (CERT Polska / The Record).
- 10 Aug 2026Ministro da Energia polonês Miłosz Motyka recomenda publicamente atenção redobrada a software e controladores em unidades energéticas, em reação ao relatório do CERT Polska (Portal Samorządowy).
Impact
O impacto direto ao consumidor foi zero: a turbina a vapor e o sistema de tratamento de água foram desligados, mas a equipe da usina restaurou a operação antes de qualquer interrupção no fornecimento de calor ou eletricidade a qualquer dos aproximadamente 50.000 moradores atendidos. O impacto operacional foi limitado a uma interrupção de curto prazo no processo de cogeração. O impacto estratégico, porém, é mais amplo: a campanha de 29 de dezembro como um todo atingiu mais de 30 instalações renováveis e dois CHPs, em pleno inverno com temperaturas negativas, e chegou perto o suficiente de um apagão para que um ministro polonês usasse a palavra 'blackout' para 500 mil pessoas. O impacto regulatório está se desdobrando: sanções UK-UE foram aplicadas, a CISA emitiu alerta, e o caso provavelmente acelerará revisão dos padrões de segmentação em APNs privadas usadas por operadores de distribuição.
Technical links
Recommendations
- Auditar toda APN privada operada por DSOs: verificar se o isolamento entre clientes (client isolation) está habilitado no nível do operador de rede móvel — a ausência desse controle é o que permitiu o pivô entre fazenda e usina sem cruzar nenhum firewall gerenciado pela vítima.
- Inventariar dispositivos com SIM conectados a APNs privadas em instalações OT: roteadores celulares industriais (Teltonika, Robustel, Cradlepoint e similares) devem ser tratados como pontos de entrada potenciais e incluídos no escopo de gestão de ativos OT.
- Eliminar credenciais padrão em PLCs acessíveis por qualquer rede compartilhada, incluindo APNs privadas: o Wago PFC200 foi comprometido exclusivamente porque o admin padrão estava ativo — controle básico, frequentemente ignorado em equipamentos legados.
- Segmentar a conectividade OT em APNs privadas com controles equivalentes aos aplicados a conexões WAN corporativas: firewall com inspeção de estado, listas de controle de acesso por endereço IP/MAC e monitoramento de tráfego lateral dentro da APN.
- Exigir MFA em todas as interfaces VPN expostas à internet em ativos de energia, especialmente em instalações de menor porte (fazendas renováveis, subestações) que frequentemente operam com equipes reduzidas e menor maturidade de segurança.
- Rever procedimentos de triagem de incidentes OT para incluir hipótese de ciberataque desde o primeiro registro de anomalia, mesmo quando a causa aparente seja erro humano ou falha de manutenção — o atraso de classificação neste caso prolongou a janela de resposta.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O nome e a localização exatos da usina CHP menor não foram divulgados pelo CERT Polska — a divulgação do nome pelo órgão resolveria esta lacuna e permitiria rastrear qualquer notificação regulatória à ANPD ou equivalente polonês.
O relatório complementar do CERT Polska não atribui formalmente o ataque ao segundo CHP ao mesmo ator da campanha maior — declaração explícita do CERT Polska ou acesso aos logs de infraestrutura C2 resolveriam esta lacuna.
Não está confirmado se o Teltonika RUTX50 foi comprometido por vulnerabilidade conhecida ou por credencial roubada — análise forense do firmware ou resposta do fabricante resolveriam esta lacuna.
Desconhece-se quantas outras instalações de energia na Polônia (ou na UE) operam com a mesma misconfiguration de APN — um levantamento por operadores de distribuição ou reguladores nacionais resolveria esta lacuna.
A cadeia completa de como o atacante obteve acesso inicial ao FortiGate da fazenda fotovoltaica (credencial comprometida, brute force, CVE explorado) não foi confirmada publicamente — divulgação de logs de autenticação do FortiGate ou resposta da Fortinet resolveriam esta lacuna.
Não há informação pública sobre se houve notificação formal à autoridade supervisora polonesa (UODO) ou ao ENISA além do relatório do CERT Polska.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.