Už počátkem roku CERT Polska popsal loňský koordinovaný kybernetický útok na desítky větrných a solárních elektráren i teplárnu zásobující teplem téměř milion odběratelů. Nyní se v navazující samostatné zprávě zabývá konkrétním incidentem: napadením menší teplárny, která zásobuje teplem přibližně 50 000 obyvatel. S podobným typem útoku se totiž experti zatím v praxi nesetkali.
„Chyba spočívala v tom, že zařízení různých provozovatelů včetně dotyčné elektrárny a teplárny byla připojena do stejné sdílené mobilní sítě a prostřednictvím ní i k internetu. Zařízení spolu mohla volně komunikovat, bez segmentace a izolace jednotlivých klientů. Útočníci tak dokázali „přeskočit“ z napadené větrné elektrárny do teplárny jiné firmy, aniž by ji museli napadnout přímo přes její připojení k internetu,“ shrnuje podstatu incidentu právnička expertní skupiny Frank Bold Kristína Šabová, která se věnuje energetice a kybernetické bezpečnosti obnovitelných zdrojů energie (OZE).
Nedostatečné zabezpečení energetické infrastruktury je problémem nejen v Polsku
Útočníkům podle zprávy CERT Polska pomohlo také to, že některá zařízení měla nezměněná výchozí hesla. Polský kyberbezpečnostní tým zároveň upozorňuje, že podobné nastavení sítí je v Polsku běžné. Podle něj se s velkou pravděpodobností používá i v dalších zemích.
„Jinými slovy, podobný útok se teoreticky může odehrát všude tam, kde provozovatelé energetické infrastruktury sdílejí privátní APN síť bez dostatečné izolace zařízení a kde chybí segmentace mezi touto sítí a provozními řídicími systémy,“ vysvětluje zjištění CERT Polska Kristína Šabová. Jde o takzvané OT systémy, tedy systémy, které na rozdíl od běžné kancelářské IT sítě přímo ovládají fyzická zařízení, například turbíny nebo čerpadla.
Riziko roste tam, kde se používají zařízení s výchozími hesly nebo nezabezpečenými administrátorskými rozhraními. Právě to byl případ routeru a řídicí jednotky při útoku na polskou teplárnu. Podle CERT Polska přitom nejsou nutná složitá opatření. Klíčové je oddělit provozní síť od privátní APN alespoň na úrovni firemní WAN sítě (Wide Area Network), která propojuje zařízení na různých místech. Zařízení by měla mít povolenou pouze nezbytnou komunikaci. Samozřejmostí je změna výchozích hesel a sledování neobvyklého provozu mezi OT sítí a APN.
Polské útoky z konce roku zasáhly přes 30 elektráren, výrobní podnik a velkou teplárnu
Kybernetické útoky na polská zařízení z 29. prosince 2025 patří k nejrozsáhlejším zaznamenaným zásahům do evropské kritické infrastruktury. Postihly více než 30 větrných a solárních elektráren, výrobní podnik a velkou teplárnu zásobující teplem téměř půl milionu lidí. Útočníci se do většiny obnovitelných zdrojů dostali přes zařízení FortiGate, jejichž VPN rozhraní byla přístupná z internetu bez dvoufaktorového ověření. Na více lokalitách se navíc používaly shodné přihlašovací údaje.
Po proniknutí do sítí cíleně poškodili řídicí jednotky, ochranná relé a vizualizační počítače. Tím provozovatelům dočasně znemožnili dálkové sledování a řízení zařízení. K ohrožení stability elektrické sítě ani k výpadkům dodávek elektřiny však nedošlo.
Závažnější dopad mohl mít souběžný útok na velkou teplárnu, který útočníci připravovali už od jara 2025. Dlouhodobě sbírali přihlašovací údaje a mapovali síť, než se pokusili nasadit takzvaný wiper – škodlivý program, který data nešifruje kvůli výkupnému, ale rovnou je maže. Bezpečnostnímu softwaru se podařilo útok zablokovat dříve, než způsobil škodu.
U nově popsaného napadení druhé teplárny se útoku zcela zabránit nepodařilo. Hackeři na dálku vypnuli parní turbínu a úpravnu vody, načež musela obsluha provoz ručně obnovit. Zákazníci však bez tepla nezůstali.
CERT Polska proto doporučuje všem provozovatelům, kteří k připojení zařízení k distribuční síti využívají privátní APN, aby si nechali prověřit její konfiguraci. Totéž platí pro firmy, které podobná zařízení a nastavení používají mimo Polsko.