Em um incidente que acende o alerta máximo para a segurança de infraestruturas críticas, atacantes conseguiram desligar uma turbina a vapor e o sistema de tratamento de água de uma usina de cogeração de energia na Polônia.
O vetor de entrada utilizado foi inédito na história da cibersegurança industrial: uma rede celular privada (APN) que a operadora de distribuição local utilizava para se comunicar com equipamentos remotos.
A usina afetada fornece aquecimento e energia para aproximadamente 50.000 residentes. A resposta ao incidente começou rapidamente, enquanto os invasores ainda estavam ativos na rede, o que evitou a interrupção dos serviços para a população. O incidente, ocorrido em dezembro de 2025, foi detalhado pelo CERT Polska após uma investigação minuciosa de mais de três meses.
Fontes:
- Título original: Hackers Breach Polish Power Plant Controls via Private Cellular Network and Shut Turbine
- URL: https://thehackernews.com/2026/08/hackers-breach-polish-power-plant.html
O Vetor de Ataque Inédito: O Perigo das Redes APN Sem Isolamento
O caminho utilizado pelos invasores passou por uma APN (Access Point Name) privada, uma rede de dados celular dedicada e gerenciada pela operadora do sistema de distribuição. Devido a uma falha grave de arquitetura, a configuração da APN permitia que dispositivos arbitrários dentro da mesma rede se comunicassem diretamente entre si.
Essa permissividade permitiu que o atacante realizasse um movimento lateral (pivot) a partir de uma rede comprometida de um parque eólico — que era totalmente independente — até alcançar o controlador da usina termelétrica.
De acordo com o CERT Polska, este é o primeiro caso documentado no mundo real onde um vetor de ataque através de APN privada foi utilizado para invadir uma rede de Controle Industrial (OT).
Anatomia da Invasão: Do Parque Eólico aos Controladores de Processo
A invasão não aconteceu em um único salto. Foi um trabalho de engenharia reversa e exploração em três etapas:
1. A Invasão Inicial no Parque Eólico O ataque começou na rede de um parque eólico, onde um dispositivo FortiGate atuava tanto como firewall quanto como concentrador VPN. A VPN estava exposta à internet e permitia conexões sem autenticação multifator (MFA). O atacante obteve privilégios administrativos e extraiu credenciais que davam acesso a todos os segmentos da rede.
2. O Túnel SSH e o Roteador Celular O parque eólico utilizava um roteador Teltonika RUTX50 para enviar dados de telemetria via protocolo serial DNP3.0. Logs da operadora móvel indicam que o atacante utilizou tunelamento SSH através desse roteador para alcançar a APN celular privada, contornando as defesas de borda.
3. Varredura e Exploração do Controlador WAGO Ao navegar pela APN privada, o atacante realizou uma varredura e localizou um controlador WAGO PFC200 que expunha sua interface web de administração com as credenciais padrão de fábrica (admin/admin). O invasor ativou o serviço SSH neste controlador e o utilizou como um novo “ponto de salto” para entrar diretamente na rede de Tecnologia de Operação (OT) da usina termelétrica.
Sabotagem Industrial Sem o Uso de Malware
Diferente de ataques cibernéticos tradicionais (como Ransomware), esta operação baseou-se inteiramente no uso indevido de funções legítimas dos próprios dispositivos de rede — uma técnica sorrateira conhecida como Living off the Land.
Em 25 de dezembro, o invasor conectou-se a três CLPs (Controladores Lógicos Programáveis) Siemens utilizando o protocolo nativo S7, realizando o reconhecimento do ambiente. No dia 29 de dezembro, a sabotagem real foi executada:
-
Paralisação: Os controladores Siemens S7-300, S7-1200 e S7-1500 foram colocados em modo STOP e protegidos por senha, desligando instantaneamente a turbina e o sistema de tratamento de água.
-
Caos na Rede: Sete servidores seriais Moxa e três switches de rede foram restaurados para os padrões de fábrica (factory reset), tiveram suas senhas alteradas e receberam endereços IP de loopback inativos (como
127.0.0.1). -
Destruição de Rastros: O invasor corrompeu a tabela de partição do controlador WAGO (impedindo sua inicialização) e apagou os logs do roteador Teltonika e do firewall FortiGate.
Recomendações de Segurança para Redes OT e Telecomunicações
Embora as APNs privadas constem em muitos guias de conformidade como uma “alternativa segura”, este ataque prova que a falta de configuração adequada anula qualquer benefício de infraestrutura. Para mitigar esse risco, aplique imediatamente estas defesas:
-
Ativar o Isolamento de Clientes (Client Isolation): Configure a APN privada no nível da operadora para impedir comunicações diretas de dispositivo para dispositivo (client-to-client traffic).
-
Zero Trust para Redes Externas: Trate a rede APN como totalmente “não confiável” pelo lado da rede OT, implementando firewalls rígidos e microsegmentação.
-
Desativar Serviços Desnecessários: Remova interfaces de gerenciamento web, SSH ou Telnet de qualquer porta que seja acessível externamente pela APN.
-
Gestão Implacável de Credenciais: É inadmissível que dispositivos em campo operem com senhas de fábrica. Aplique políticas de MFA (Autenticação Multifator) obrigatórias em todas as VPNs.