Czego nas uczy destrukcyjny atak na polską energetykę? Analiza i wnioski

Koniec grudnia 2025 roku zapisze się w historii polskiego cyberbezpieczeństwa jako moment, w którym wirtualne zagrożenia brutalnie zderzyły się z fizyczną rzeczywistością. W okresie mrozów i zamieci śnieżnych doszło do bezprecedensowego, skoordynowanego uderzenia na infrastrukturę krytyczną w naszym kraju. Cel? Nie kradzież danych czy wymuszenie okupu. Celem była czysta destrukcja – cyfrowy odpowiednik podpalenia.

Z raportu opublikowanego przez CERT Polska, NASK oraz Ministerstwo Cyfryzacji wyłania się mrożący krew w żyłach obraz. Ofiarą padło co najmniej 30 farm odnawialnych źródeł energii (wiatrowych i fotowoltaicznych), duża elektrociepłownia ogrzewająca niemal pół miliona odbiorców oraz prywatna spółka produkcyjna.

Czego uczy nas to zdarzenie, gdzie popełniono kardynalne błędy i jak możemy uchronić nasze organizacje przed podobnym scenariuszem?

Anatomia cyfrowego sabotażu – jak hakerzy weszli do sieci?

Atakujący, przypominający swoim profilem działania zaawansowanej grupy APT "Static Tundra" (w przeszłości łączonej m.in. z atakami na ukraińską energetykę), wykazali się świetnym rozpoznaniem infrastruktury przemysłowej (OT) i korporacyjnej (IT). Zastosowali złośliwe oprogramowanie typu Wiper (odmiany DynoWiper oraz LazyWiper), którego jedynym zadaniem było bezpowrotne kasowanie plików, niszczenie dysków i fizyczne uszkadzanie sprzętu.

Jednak to, co najbardziej przeraża, to fakt, że hakerzy nie musieli korzystać z magicznych podatności zero-day. Wykorzystali to, co od lat stanowi piętę achillesową wielu firm:

• Dziurawe brzegi sieci i brak MFA: Wektorem wejścia we wszystkich zaatakowanych obiektach były urządzenia brzegowe Fortigate, pełniące funkcję koncentratorów VPN. Interfejsy były wystawione do internetu, a logowanie odbywało się bez wieloskładnikowego uwierzytelniania (MFA).
• Domyślne hasła w automatyce przemysłowej (OT): Kiedy napastnicy dostali się do sieci farm OZE, mieli ułatwione zadanie. Logowali się do sterowników przemysłowych (np. RTU Hitachi, komputery HMI Mikronika, serwery portów Moxa) używając wbudowanych, fabrycznych poświadczeń (np. konta "Default" lub "root").
• Zabójczy recykling haseł: Raport obnażył powszechną w branży patologię – te same hasła były używane na wielu różnych obiektach. Przejęcie dostępu do jednej farmy wiatrowej oddawało hakerom klucze do kilkudziesięciu kolejnych.
• Przejęcie Active Directory i "zceglenie" sprzętu: W elektrociepłowni atakujący po cichu miesiącami prowadzili rekonesans. Wykradli bazę Active Directory (plik ntds.dit), co dało im pełnię władzy nad domeną, a następnie za pomocą zwykłych polityk GPO rozesłali Wipera. Z kolei na farmach OZE hakerzy wgrywali zmodyfikowany firmware do sterowników, wprowadzając je w nieskończoną pętlę restartów, co skutecznie zrywało komunikację z operatorami sieci dystrybucyjnej.

3 gorzkie lekcje, które musimy odrobić

Ten bezprecedensowy atak to brutalna weryfikacja teoretycznych procedur bezpieczeństwa. Wyciągamy z niego następujące wnioski:

Teoria to za mało. Dlaczego warto ćwiczyć na cyberpoligonach takich jak CDeX?

Wnioski z raportów są oczywiste, ale dlaczego wciąż dochodzi do takich ataków? Ponieważ procedury na papierze nie obronią infrastruktury w sytuacji kryzysowej. Kiedy na monitorach znikają pliki, a sterowniki SCADA przestają odpowiadać, decyduje "pamięć mięśniowa" zespołu bezpieczeństwa (SOC) i inżynierów. Zespoły muszą trenować w warunkach bojowych, ale testowanie destrukcyjnego malware'u na żywych systemach produkcyjnych jest wykluczone.

Odpowiedzią są nowoczesne cyberpoligony (Cyber Ranges), takie jak polska platforma CDeX (Cyber Defence eXercise Platform). Dlaczego wdrażanie tego typu rozwiązań to dzisiaj rynkowy "must-have" dla krytycznych sektorów?

• Cyfrowe Bliźniaki (Digital Twins): CDeX pozwala na odtworzenie 1:1 Twojej rzeczywistej infrastruktury IT/OT w całkowicie izolowanym, wirtualnym środowisku. Dzięki temu możesz testować zabezpieczenia, sprawdzać jak sieć reaguje na ataki i uczyć się na błędach bez ryzyka zatrzymania prawdziwej produkcji czy dostaw prądu.
• Dedykowane scenariusze dla energetyki i przemysłu: Platforma oferuje ponad 500 godzin hiperrealistycznych treningów, w 100% pokrywających techniki z matrycy MITRE ATT&CK. W kontekście ataku z 29 grudnia, niezwykle cenne są wbudowane scenariusze, takie jak: „SCADA: Reusable Energy Scenario” (nastawiony na farmy wiatrowe), „Secure OT architecture: Defense of SCADA/ICS” (ochrona przed atakami na urządzenia przemysłowe) oraz zaawansowane moduły uczące obrony przed przejęciem domeny (Windows AD Advanced Attacks).
• Manewry Blue vs Red Team: Teoria z sal wykładowych to przeszłość. CDeX umożliwia organizację ćwiczeń "live-fire", w których Twój zespół (Blue Team) aktywnie broni zreplikowanej infrastruktury, podczas gdy druga część ekipy (Red Team) lub wbudowane zautomatyzowane boty przeprowadzają wyrafinowane ataki.
• Bezpieczeństwo testów i mierzalność: Ćwiczenia mogą przyjmować angażującą formę Capture The Flag (CTF). Trenerzy na bieżąco monitorują postępy, widzą w jakich obszarach zespół ma braki i mogą dynamicznie zmieniać warunki ataku.

Podsumowanie

Atak na polską energetykę uświadamia nam, że zagrożenie sabotażem jest jak najbardziej realne, a cyberprzestępcy bezlitośnie wykorzystują podstawowe zaniedbania. Koszty przestoju infrastruktury krytycznej są dziś gigantyczne.

Nie możemy opierać bezpieczeństwa wyłącznie na nadziei. Inwestycja w zaawansowane platformy treningowe takie jak CDeX pozwala przejść od teorii do twardej praktyki. Zespół, który "przeżył" i odparł symulowany atak niszczącego wipera na wirtualnym poligonie, w prawdziwym życiu zareaguje szybciej, pewniej i skuteczniej. W świecie cyberbezpieczeństwa zasada „trenuj tak, jak będziesz walczył” jest dziś ważniejsza niż kiedykolwiek.

Chcesz być na bieżąco z najważniejszymi analizami ze świata cyberbezpieczeństwa i dowiedzieć się więcej o praktycznej ochronie infrastruktury IT i OT? Czytaj regularnie mojego bloga na istrus.pl!