Mobilnettet ble veien inn i det polske varmekraftverket

CERT Polska la 8. august fram en oppfølgingsrapport om angrepene mot polsk energiforsyning 29. desember 2025. Rapporten tar for seg et angrep mot et varmekraftverk som leverer varme til rundt 50 000 innbyggere. En dampturbin og vannbehandlingsanlegget for prosessvann ble stanset, og kraftvarmeproduksjonen ble avbrutt. Operatørenes raske innsats gjorde avbruddet kortvarig, og verken varme eller strøm til kundene falt bort. Etter det CERT Polska kjenner til er dette første gang et privat APN er brukt som vei inn i et OT-nett i et virkelig angrep.

Hva som skjer teknisk

Et privat APN er et eget område i mobilnettet, satt av til én kunde. CERT Polska beskriver at nettselskapet bruker det til å la sitt eget SCADA-system snakke med fjernterminalene ute i anleggene, og at enhetene får SIM-kort som gir tilgang til dette området. Rapporten viser at hver kompromitterte transformatorstasjon i vindparkene hadde en FortiGate som både brannmur og VPN-konsentrator. VPN-grensesnittet var tilgjengelig fra Internett, og innlogging med kontoer definert i enhetens egen konfigurasjon krevde ikke flerfaktor. Angriperen hadde administratorrettigheter på enheten under angrepet, og brukte dem etter alt å dømme til å skaffe en VPN-konto med tilgang til alle nettsegmentene.

I det rammede anlegget sto en Teltonika RUTX50, en mobilruter med SIM-kort inn i nettselskapets private APN. Ruteren hadde to fysiske grensesnitt. Det ene var en seriell forbindelse til fjernterminalen, slik nettselskapet krevde. Det andre var Ethernet, koblet til et VLAN bak brannmuren angriperen allerede kontrollerte. CERT Polska skriver at det ikke var stilt noe krav til hvordan ruterens administrasjonsgrensesnitt skulle håndteres. Angriperen logget seg på ruteren over SSH flere ganger i desember, og brukte etter alt å dømme en SSH-tunnel for å komme inn i det private APN-et. Fra 18. desember ble APN-et skannet etter VNC, HTTP og industriprotokollene S7 og Modbus. En WAGO PFC200 eksponerte administrasjonsgrensesnittet sitt mot APN-et, og sto med standard passord på admin-kontoen. Angriperen slo på SSH gjennom nettgrensesnittet, og tunnelerte videre inn i OT-nettet på varmekraftverket.

Rekognoseringen inne i kraftverket pågikk fra 18. til 25. desember. På angrepsdagen var angriperen inne i kraftverkets nett fra klokken 05.30 til klokken 10.10. Tre Siemens-kontrollere av typene S7-300, S7-1200 og S7-1500 ble satt i STOP og låst med passord, slik at verken driftstilstanden eller styrelogikken kunne endres. Sju serielle enhetstjenere og tre nettverkssvitsjer fra Moxa ble tilbakestilt, fikk nytt passord, og fikk IP-adresser ingen kunne nå, blant annet 127.0.0.1. CERT Polska mener med høy grad av sikkerhet at dette var automatisert. Gjenopprettingen startet klokken 07.30, altså mens angriperen fortsatt var inne. Til slutt ødela angriperen WAGO-kontrolleren ved å skade partisjonstabellen, og tilbakestilte både mobilruteren og FortiGate-enheten til fabrikkinnstillinger. Loggene på FortiGate-enheten gikk tapt.

Hva det betyr for deg som har ansvar for OT-nettet

Vi mener den viktigste lærdommen ikke ligger i de enkelte svakhetene, men i tillitssonen som ble tatt for gitt. Et privat APN ser ut som et lukket nett, og blir behandlet deretter. CERT Polska skriver at angrepet blant annet ble mulig fordi vilkårlige enheter i APN-et kunne opprette forbindelse til hverandre. De skriver også at kartlegginger blant virksomheter som bruker slike løsninger viste at oppsettet var vanlig i Polen, og at tilsvarende oppsett etter det de kjenner til er utbredt også i andre land. Henger anleggene dine på et delt nett med mange andre tilknytninger, har du ikke et lukket nett. Du har et nett der den svakeste tilknytningen setter sikkerhetsnivået også for deg.

Den andre lærdommen ligger i hvordan hendelsen i det hele tatt ble oppdaget. Virksomheten antok først at driftsstansen skyldtes en feil begått av leverandørens ingeniører under vedlikehold, og meldte den bare til orientering. CERT Polska satte likevel i gang hendelseshåndtering, fordi de kjente til andre lignende hendelser. Uten den koblingen ville et angrep mot kritisk infrastruktur endt som en arkivert driftsfeil. Er du omfattet av NIS2, er dette den praktiske siden av rapporteringsplikten din. En uforklart driftsforstyrrelse er verdt å melde nettopp fordi du ikke ser hele bildet alene.

Berigo anbefaler

• Behandle det private APN-et som et utrygt nett. Forbindelsen fra OT-siden skal ha minst samme kontroll som en forbindelse mot Internett.
• Be nettselskapet eller mobiloperatøren slå på klientisolering, slik at enheter i APN-et ikke kan nå hverandre.
• Fjern administrasjonsgrensesnitt fra alt som er synlig fra APN-et, og bytt standardpassord på hver enhet som står der.
• Slipp bare gjennom trafikken som faktisk trengs mellom OT-nettet og enheten som er inngang til APN-et, og logg den sentralt.
• Ta med private APN-er og enhetene som gir tilgang til dem i neste penetrasjonstest og arkitekturgjennomgang.