Un segundo ataque contra infraestructura energética de Polonia fue revelado por CERT.PL. Los atacantes, vinculados al grupo Sandworm, accedieron a sistemas de control industrial (ICS) en una planta de calefacción y cogeneración (CHP) que suministra calor a 50.000 residentes. El ataque paralelo al incidente de diciembre de 2025 que afectó aproximadamente 30 sitios, incluyó centros de despacho de energía renovable, logró desactivar una turbina de vapor y un sistema de tratamiento de agua, interrumpiendo temporalmente el proceso de cogeneración.
Por qué importa: Este es el primer caso documentado de un Private APN (Red de Acceso Personal Privada) utilizado como vector de ataque contra infraestructura crítica. CERT.PL advierten que configuraciones similares vulnerables son comunes en Polonia y otros países.
Lo esencial
- Sandworm infiltró la red privada de un operador de distribución (DSO) a través de un router Teltonika comprometido conectado a internet.
- El ataque causó la desactivación de sistemas críticos pero fueron restaurados rápidamente sin interrumpir el suministro de energía ni calor.
- Los atacantes accedieron a controladores Wago y Siemens, activando el modo 'stop' y estableciendo contraseñas para evitar intervención de operadores.
La cadena de infiltración desde el perímetro hasta la red OT
La intrusión comenzó en un dispositivo Fortinet VPN y firewall ubicado en una granja eólica conectada a internet. Los atacantes identificaron un router celular Teltonika en la misma red y accedieron a su interfaz administrativa. Utilizaron un servicio SSH habilitado en el dispositivo para establecer un túnel que permitía comunicación hacia el Private APN gestionado por el operador de distribución (DSO), la cual conecta el sistema SCADA y los ICS de las subestaciones.
El descubrimiento dentro de la red privada
Una vez dentro del Private APN, los atacantes realizaron escaneos y localizaron un controlador lógico programable (PLC) Wago en la planta CHP. El SSH habilitado en este controlador les otorgó acceso a las redes de tecnología operacional (OT) de la instalación. Tras una semana de reconocimiento, los atacantes conectaron a PLCs Siemens y los configuraron en modo 'stop', además de establecer una contraseña para impedir que los operadores revertieran los cambios.
El ataque fue confundido inicialmente con error operacional
El incidente ocurrió durante trabajos de mantenimiento en la planta, razón por la cual inicialmente fue interpretado como un error de ingeniería. Solo después de la investigación de CERT.PL se confirmó que la desactivación fue resultado de actividad maliciosa. Los sistemas fueron restaurados con rapidez y no hubo interrupciones en el suministro de electricidad ni calefacción a los residentes afectados.
La vulnerabilidad del Private APN como vector emergente
CERT.PL subraya que este es aparentemente el primer caso documentado de un Private APN siendo utilizado como vector de ataque. El reporté advierte que esta configuración vulnerable ha sido hallada de manera común en instalaciones de Polonia y otros países alrededor del mundo, elevando la preocupación sobre la seguridad de estas redes de comunicación especializada.
