Osoby, które zarządzają systemami w jednostkach energetycznych powinny zwrócić szczególną uwagę na kwestię oprogramowania i sterowników - radził w poniedziałek minister energii Miłosz Motyka. Odniósł się do sobotniego raportu CERT Polska ws. zeszłorocznego cyberataku na elektrociepłownię.
Zgodnie z najnowszym raportem CERT Polska, w wyniku grudniowego cyberataku na elektrociepłownię dostarczającą ciepło dla 50 tys. mieszkańców, w jednostce doszło do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. To z kolei doprowadziło do przerwania kogeneracji czyli procesu, który polega na jednoczesnej produkcji energii elektrycznej i cieplnej.
„Dzięki szybkiej reakcji obsługi elektrociepłowni incydent spowodował jedynie krótkotrwały przestój instalacji i nie doprowadził do przerw w dostawach ciepła do odbiorców” - zaznaczyli eksperci w raporcie.
- Kwestia oprogramowania, kwestia sterowników na pewno jest tą, która powinna być na pierwszej linii uwagi tych, którzy zarządzają systemami w danych jednostkach - mówił w poniedziałek w radiowej „Jedynce” minister energii Miłosz Motyka pytany, jakie wnioski zostały wciągnięte z incydentu.
Dodał, że prowadzone są działanie związane z minimalizowaniem ryzyka skutecznych cyberataków w sektorze energetyki. - Aspekt związany z lepszą wiedzą specjalistyczną, nauką, odpowiednimi szkoleniami, przygotowaniem pod nowe ryzyka, większymi środkami na lepszy sprzęt; to wszystko już się dzieje - wskazał Motyka. Poinformował ponadto, że w Ministerstwie Energii działa zespół, który zajmuje się kwestami cyberbezpieczeństwa.
- Widzimy, że komponent cyfrowy będzie na pewno najmocniej narażony na wszelkiego rodzaju ryzyka, ale też oczywiście nie bagatelizujemy innych zagrożeń. Zespół, który zajmuje się tymi kwestiami w Ministerstwie Energii, także przygotowuje rekomendacje pod kątem tych innych zagrożeń, zagrożeń hybrydowych. Współpracujemy z wojskiem, ze służbami - mówił minister.
Jak wynika z opublikowanego w sobotę raportu CERT Polska, w grudniowym ataku hakerzy wykorzystali metodę, z którą specjaliści nie spotkali się nigdy wcześniej.
Atakujący prowadzili bowiem działania ze sterownika WAG PFC200 z wbudowanym modemem komórkowym i kartą SIM. Karta działała w wydzielonej, prywatnej sieci transmisji danych (prywatny APN), obsługiwanej przez operatora energetycznego (OSD) działającego w elektrociepłowni – wskazali eksperci.
Oznacza to, że hakerzy prowadzili działania z przemysłowego sterownika, z którego następnie dostali się do urządzeń i systemów przemysłowych (OT) działających w elektrociepłowni.
„Wykorzystanie dostępu do sieci OT za pomocą prywatnego APN było według naszej wiedzy pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku. Jego wykonanie było możliwe m.in. z powodu błędnej konfiguracji, która pozwalała na nawiązywanie połączeń pomiędzy dowolnymi urządzeniami w ramach sieci prywatnego APN” - wskazali eksperci.
Zaznaczyli, że jest to częsta konfiguracja w polskich podmiotach, korzystających z rozwiązań opartych na prywatnym APN. W związku z tym CERT Polska zarekomendował jednostkom m.in.: przeprowadzenie audytu konfiguracji prywatnego APN, traktowanie prywatnego APN jako sieci niezaufanej względem sieci OT oraz monitorowanie ruchu pomiędzy siecią OT a prywatnym APN. Zarekomendowano także zmianę domyślnych poświadczeń.
Pod koniec stycznia tego roku CERT Polska poinformował w raporcie, że 29 grudnia 2025 r. doszło do ataku na co najmniej 30 farm wiatrowych i fotowoltaicznych w Polsce, dużą elektrociepłownię, dostarczającą ciepło dla blisko 500 tys. odbiorców oraz na firmę z sektora produkcyjnego. Atak miał cel destrukcyjny i spowodował zerwanie komunikacji między obiektami a operatorami sieci dystrybucyjnej (OSD), ale nie miał on wpływu na bieżącą produkcję energii elektrycznej. W tym samym czasie został przeprowadzony atak na elektrownię dostarczającą ciepło dla 50 tys. mieszkańców, którego szczegóły CERT Polska opisał w sobotnim raporcie.
CERT Polska to działający w instytucie badawczym NASK zespół reagowania na incydenty w sieci i przyjmujący zgłoszenia o podejrzanych i nietypowych zdarzeniach. (PAP)
mbl/ mick/
