Anatomia cichego paraliżu. Co atak na polską ciepłownię mówi o dojrzałości naszej transformacji

Gdy 29 grudnia 2025 roku w małej polskiej elektrociepłowni nagle stanęła turbina parowa, a proces kogeneracji został gwałtownie przerwany, w pierwszej chwili założono, że zawinił błąd inżynierów podwykonawcy. Rzeczywistość okazała się jednak o wiele bardziej mroczna – był to, według wiedzy CERT Polska, pierwszy zaobserwowany podczas rzeczywistego ataku przypadek wykorzystania prywatnego APN do uzyskania dostępu do sieci OT.

Dziś, po wielomiesięcznym śledztwie, którego szczegóły CERT Polska przedstawia na prestiżowej konferencji DEF CON w Las Vegas, obraz tej operacji powoli się domyka. Cała historia to nie tylko lektura jak z kryminału technologicznego – od przejęcia urządzenia brzegowego na farmie wiatrowej, przez przeskakiwanie po routerach komórkowych, po działania utrudniające późniejszą analizę ataku. To przede wszystkim bolesne studium przypadków dla całego sektora energetycznego.

Lekcja dla OZE i magazynów energii

Wektor ataku, który otworzył napastnikom drogę do sieci sterujących ciepłowni (rozpoczynający się na urządzeniach słabo zabezpieczonych farm wiatrowych), unaocznia fundamentalny problem współczesnej transformacji energetycznej. Im bardziej sieć staje się rozproszona, tym więcej posiada fizycznych i cyfrowych punktów styku.

Ten sam schemat ryzyka warto dziś odnieść do dynamicznie rozwijanego segmentu wielkoskalowych magazynów energii.

Współczesny magazyn energii nie jest już wyłącznie baterią podłączoną do transformatora. To złożona instalacja, w której za pracę odpowiadają systemy sterowania, automatyki i komunikacji. W zależności od zastosowania magazyn może wymieniać dane z systemami nadrzędnymi, systemami operatora lub innymi elementami infrastruktury energetycznej. Im więcej takich połączeń, tym większe znaczenie ma właściwe rozdzielenie warstwy komunikacyjnej od systemów odpowiedzialnych za fizyczne sterowanie instalacją.

Raport CERT Polska pokazuje, co może się wydarzyć, gdy granice między poszczególnymi segmentami infrastruktury zostaną niewłaściwie zaprojektowane. W opisanym przypadku prywatny APN nie zapewniał izolacji pomiędzy urządzeniami końcowymi, a przejęcie jednego z urządzeń pozwoliło atakującemu wykorzystać je jako drogę do kolejnych systemów. CERT Polska zaleca wprost, aby prywatne APN traktować jako sieci niezaufane względem sieci OT oraz ograniczać komunikację pomiędzy nimi do niezbędnego minimum.

W przypadku magazynów energii oznacza to konieczność zadania bardzo konkretnego pytania: czy przejęcie pojedynczego urządzenia komunikacyjnego może otworzyć drogę do systemów sterujących całą instalacją albo do innych obiektów? Jeśli odpowiedź brzmi „tak”, problemem nie jest już wyłącznie bezpieczeństwo pojedynczego routera czy sterownika. Staje się nim architektura całego systemu.

I właśnie tutaj historia z 29 grudnia 2025 roku jest szczególnie pouczająca. Nie dlatego, że pokazuje gotowy scenariusz ataku na magazyn energii, lecz dlatego, że pokazuje, jak pozornie odizolowana infrastruktura energetyczna może zostać połączona z innym obiektem przez warstwę komunikacyjną. Wraz z rozwojem rozproszonej energetyki takie zależności będą wymagały coraz większej uwagi.

Sprawność operacyjna to nie wszystko

Polska elektrociepłownia obroniła się dzięki przytomnej postawie personelu – operatorzy błyskawicznie wgrali kopie zapasowe, dzięki czemu 50 tysięcy mieszkańców nie odczuło przerw w dostawach ciepła. To sukces operacyjny, ale i brutalna lekcja z zakresu informatyki śledczej: drastyczne czyszczenie urządzeń, choć ratuje dostawy, bezpowrotnie niszczy logi i uniemożliwia szybkie ustalenie mechanizmu ataku.

Zdarzenie z grudnia 2025 roku powinno definitywnie zakończyć myślenie o prywatnym APN czy wydzielonym łączu LTE od operatora jako o bezpiecznym tunelu z definicji. Czas przestać mylić izolację sieciową z jej zabezpieczeniem. W dobie energetyki rozproszonej podstawową zasadą projektową musi stać się koncepcja Zero Trust. Każdy router komórkowy i każdy sterownik stojący na brzegu sieci, niezależnie od tego, jak głęboko w połączonym systemie się znajduje, musi być traktowany tak, jakby był wystawiony bezpośrednio na otwarty internet.