O lecție din energetică despre încrederea oarbă
La sfârșitul lunii decembrie 2025, un atac coordonat a lovit sectorul energetic dintr-o țară vecină. Poveștile de acest gen tind să se estompeze repede. Apare câteva articole și apoi liniște. Dar unul dintre incidentele documentate ulterior de echipa națională de răspuns la incidente merită să ne oprim asupra lui, pentru că spune ceva incomod despre felul în care construim securitatea: nu ne pică sistemele acolo unde ne așteptăm.
O centrală de cogenerare care furniza căldură pentru aproximativ 50.000 de locuitori a fost oprită parțial în urma unui atac care nu a venit prin internet, nu a folosit un malware sofisticat și nu a exploatat o vulnerabilitate „zero-day” spectaculoasă. A venit dintr-o direcție pe care aproape nimeni nu o consideră o amenințare: rețeaua privată de date a operatorului de distribuție.
Ce s-a întâmplat, pe scurt
Atacatorul nu a intrat direct în centrală, ci a folosit o cale ocolită. Punctul de intrare a fost un echipament dintr-un parc eolian: un PLC (controler logic programabil, folosit pentru automatizarea proceselor industriale) de tip WAGO PFC200, dotat cu un modem celular integrat. Acest PLC era expus direct pe internet, fără autentificare în 2 pași.
De acolo, printr-un router celular configurat neglijent, atacatorul a ajuns într-o rețea APN privată administrată de operatorul de distribuție a energiei. Aici a fost problema centrală: deși era numită „privată”, această rețea permitea comunicarea liberă între orice două dispozitive conectate la ea, indiferent cui aparțineau.
Practic, o dată intrat pe această poartă laterală, atacatorul putea „vedea” și accesa echipamente aparținând unor companii complet diferite, fără nicio barieră de separare între ele. A scanat rețeaua, a găsit un controler industrial protejat doar cu parola implicită de fabrică, l-a folosit ca punct de trecere și a ajuns astfel în rețeaua operațională a centralei.
Concluzia echipei de investigație e îngrijorătoare: acesta pare să fie primul caz documentat în care o rețea OT (tehnologie operațională, adică sistemele industriale care controlează echipamentele fizice) a fost compromisă printr-o rețea APN privată. Iar configurația vulnerabilă care a permis atacul nu era o excepție, ci, dimpotrivă, era una comună, întâlnită nu doar în țara respectivă, ci oriunde.
De ce contează asta pentru tine, chiar dacă nu deții o centrală electrică
Aici e tentația: „Noi nu operăm infrastructură critică, nu ne privește.” Ba ne privește pe toți, iată de ce.
Incidentul nu este, în esență, o poveste despre energetică. Este o poveste despre încredere acordată implicit unei rețele pe care nu o controlezi.
Fiecare companie modernă are echivalentul unui „APN privat”: un furnizor de servicii, o rețea de la partener, un canal de comunicație gestionat de altcineva, pe care îl tratăm ca fiind sigur pur și simplu pentru că nu e „internetul public”. Un VPN de la un furnizor. O integrare cu un sistem al unui client.
Eticheta „privat” ne dă un sentiment de siguranță pe care realitatea nu îl susține. Rețeaua din acest caz era privată în sensul că nu oricine se putea conecta la ea, dar odată ce erai înăuntru, nimic nu te oprea să te plimbi liber.
Câteva idei pe care le desprindem, dincolo de detaliile tehnice:
Atacatorii nu intră pe ușa din față; ei intră prin cel mai slab dispozitiv conectat și apoi se deplasează lateral. În acest caz, punctul de intrare (parcul eolian) și ținta finală (centrala) nici măcar nu aparțineau aceleiași organizații. Securitatea ta depinde de securitatea celor cu care ești interconectat.
Parola implicită, sau “din fabrică”, nu e sigură. O parolă nemodificată pe un controler, un port administrativ lăsat expus, o interfață care nu ar fi trebuit să fie accesibilă din acea rețea, sunt genul de mici greșeli care trec neobservate tocmai pentru că nu sunt spectaculoase. Nu necesită exploit-uri sofisticate și nu apar în titluri de presă; sunt, pur și simplu, detalii de configurare omise, amânate sau uitate în graba instalării unui echipament.
Ce nu monitorizezi, nu poți apăra. Investigația a durat peste trei luni și a fost îngreunată de faptul că atacatorul și-a acoperit urmele: a resetat dispozitive, a corupt sisteme de fișiere, a șters jurnale. În multe organizații, o astfel de activitate ar fi trecut complet nedetectată, pentru că pur și simplu nu există vizibilitate asupra a ceea ce se întâmplă între segmentele de rețea.
Un incident „neexplicat” merită raportat. Un detaliu ușor de trecut cu vederea: entitatea afectată a crezut inițial că a fost o simplă eroare a unui inginer în timpul unor lucrări de mentenanță. Abia pentru că echipa de răspuns cunoștea alte incidente similare, a decis să investigheze și a descoperit atacul. De câte ori punem o defecțiune „ciudată” pe seama ghinionului, fără să ne întrebăm dacă nu cumva a fost ceva mai mult.
Ce poți face concret: recomandările Fort Cyber
Principiile de mai jos sunt formulate ca să se aplice oricărei organizații, nu doar celor din energetică. Le grupăm pe câteva direcții.
1. Tratează orice rețea externă ca fiind ostilă (inclusiv pe cele „private”)
Dacă nu controlezi configurația unei rețele, tratează-o ca pe internetul public. Aplică aceleași controale de segmentare și filtrare pentru orice legătură către o rețea gestionată de un terț — furnizor, partener, operator.
2. Segmentează, segmentează, segmentează
Izolează segmentele critice. Blochează comunicarea liberă între dispozitive unde nu se justifică nevoia de a comunica. Pentru echipamente conectate la rețele externe, folosește „allowlist”: permiți explicit doar ce e necesar, blochezi restul.
3. Elimină configurațiile și credențialele implicite
Schimbă toate parolele din fabrică, pe orice dispozitiv. Dezactivează serviciile nefolosite. Nu lăsa expuse interfețe web, SSH sau Telnet decât unde e strict necesar. Minimizează porturile accesibile din exterior.
4. Impune autentificare multifactor (MFA)
Punctul de intrare din acest incident permitea autentificarea fără MFA. Un al doilea factor ar fi putut, singur, să oprească întregul lanț de atac. Aplică MFA pe orice acces de la distanță, pe contul administrativ și pe interfața expusă.
5. Logging și monitorizare centralizată
Colectează jurnalele dispozitivelor-punte către rețele externe și stochează-le centralizat, unde un atacator nu le poate șterge. Monitorizează traficul dintre segmente și urmărește abaterile de la tiparul normal.
6. Monitorizare SOC pentru dispozitivele cu conexiune GSM
Verifică și cercetează dacă nu este relevant și fezabil să implementezi o soluție de endpoint protection pentru dispozitivele care comunică prin GSM. Traficul de pe acestea poate fi monitorizat printr-un provider de SOC 24/7 pentru a identifica traficul “neobișnuit”.
7. Verifică-ți lanțul de furnizori și interconexiunile
Include în evaluările de risc dispozitivele terților, integrările cu partenerii și legăturile dedicate. Verifică ce poate atinge fiecare partener din rețeaua ta dacă e compromis.
8. Testează-ți apărarea înainte să o facă altcineva
Include rețelele externe, punctele de interconectare și dispozitivele de graniță în teste de penetrare, exerciții red team și analize de arhitectură.
8. Raportează și ce pare doar „ciudat”
Semnalează nu doar incidentele confirmate, ci și defecțiunile inexplicabile și comportamentele neobișnuite ale sistemelor.
În loc de concluzie
Ce ne place cel mai mult la acest caz (dacă se poate spune „place” despre un atac) este cât de banale au fost, individual, toate greșelile care l-au făcut posibil.
O parolă neschimbată. Un port lăsat deschis. O rețea considerată sigură fără să fie. Niciuna nu ar fi făcut singură diferența. Împreună, au deschis drumul de la o turbină eoliană până la sistemul de căldură al unui oraș întreg.
Securitatea cibernetică se pierde în detaliile pe care le amânăm, în presupunerile pe care nu le verificăm, în încrederea pe care o acordăm pentru că e mai comod decât să întrebăm.
Dacă articolul de față te-a făcut să te gândești la o rețea din propria organizație pe care o considerai „sigură pur și simplu pentru că e privată”, atunci și-a atins scopul. Iar dacă ai nevoie de ajutor, suntem aici.
Rămâneți vigilenți.
Acest articol are caracter informativ și de opinie. El se bazează pe analiza publică a unui incident real din sectorul energetic, publicată de echipa națională de răspuns la incidente cibernetice a Poloniei (CERT Polska / NASK).
