Rosyjskie grupy hakerskie uderzyły w polską energetykę? CERT Polska ujawnia szczegóły
W ostatni piątek, zespół CERT Polska odsłania kulisy skoordynowanych cyberataków, które były wymierzone w kluczowe elementy krajowej infrastruktury energetycznej. Celem działań hakerów było ponad 30 farm wiatrowych i fotowoltaicznych, prywatna firma z sektora produkcyjnego oraz duża elektrociepłownia dostarczająca ciepło niemal pół milionowi odbiorców. Do incydentów doszło 29 grudnia 2025 roku. Według CERT Polska, ataki miały charakter destrukcyjny, jednak nie doprowadziły do przerw w dostawach energii elektrycznej ani ciepła. Skutki techniczne były poważne, ale system elektroenergetyczny zachował stabilność.
Kto stoi za atakami? Rosyjskie powiązania
CERT Polska przypisał ataki grupie znanej jako Static Tundra. (Jej inne nazwy to Berserk Bear, Dragonfly, Energetic Bear czy Ghost Blizzard). Grupa ta jest od lat łączona z działalnością rosyjskich służb specjalnych.
Jednocześnie firmy ESET i Dragos wskazują, że z „umiarkowanym prawdopodobieństwem” za część aktywności mogła odpowiadać inna państwowa grupa – Sandworm, znana z wcześniejszych ataków na infrastrukturę energetyczną Ukrainy. CERT Polska nie potwierdził jednak jednoznacznie tej hipotezy.
W październiku zeszłego roku zwracaliśmy uwagę na skalę ataków wymierzonych w Polskę. Już wtedy Minister Cyfryzacji Krzysztof Gawkowski, podkreślał, że polskie instytucje notują 2-4 tys. incydentów dziennie, z czego 700-1000 trafia do rejestru jako zdarzenia stwarzające realne zagrożenie. Niestety, wrogie akcje kierowane są coraz częściej przeciwko sektorowi wodno-kanalizacyjnemu, a także energetycznemu.
Ataki na OZE i elektrociepłownię. Co dokładnie się wydarzyło?
Jak czytamy w raporcie, w przypadku farm odnawialnych źródeł energii napastnicy uzyskali dostęp do wewnętrznych sieci podstacji. Pozwoliło im to na prowadzenie rozpoznania oraz działań zakłócających w tym na uszkodzenie oprogramowania kontrolerów i uruchomienie złośliwego oprogramowania typu wiper o nazwie DynoWiper. Zakłócona została komunikacja z operatorem systemu dystrybucyjnego, jednak produkcja energii nie została wstrzymana.
Znacznie bardziej złożony był atak na elektrociepłownię. CERT ustalił, że włamanie poprzedziła wielomiesięczna kradzież danych, sięgająca marca 2025 roku. Następnie hakerzy próbowali jednocześnie zniszczyć dane na wielu komputerach, używając programu typu wiper. Atak miał charakter sabotażu, ale został w ostatniej chwili zablokowany przez systemy bezpieczeństwa.
DynoWiper i LazyWiper w użyciu
DynoWiper to złośliwe oprogramowanie zaprojektowane do trwałego niszczenia danych. Program inicjuje generator liczb pseudolosowych, uszkadza pliki, a następnie je usuwa. Nie posiada mechanizmów trwałości ani komunikacji z serwerami sterującymi i nie próbuje maskować swojej aktywności.
W ataku na firmę z sektora produkcyjnego wykorzystano inny wiper – LazyWiper. Oprogramowanie nadpisywało pliki losowymi sekwencjami danych, uniemożliwiając ich odzyskanie. Co ciekawe, CERT Polska zwrócił uwagę, że fragmenty kodu mogły zostać wygenerowane przy użyciu modelu językowego AI.
Słabe zabezpieczenia?
Co szczególnie niepokoi, według raportu, jednym z kluczowych czynników umożliwiających ataki były podstawowe błędy w konfiguracji systemów. W wielu przypadkach używano domyślnych loginów i haseł, nie wdrożono uwierzytelniania wieloskładnikowego, a urządzenia działały na przestarzałym oprogramowaniu.
Firma Hitachi Energy potwierdziła, że zaatakowane zdalne terminale RTU nie miały m.in. włączonych zalecanych mechanizmów ochronnych. Podobne problemy dotyczyły urządzeń Mikronika oraz serwerów Moxa NPort.
CERT Polska podkreśla, że mimo skali operacji i destrukcyjnego charakteru działań, ataki nie wpłynęły na ciągłość dostaw energii ani ciepła. Jednocześnie raport stanowi ostrzeżenie dla operatorów infrastruktury krytycznej. Warto podkreślić, że zaniedbania w obszarze cyberbezpieczeństwa, nawet te najbardziej podstawowe, mogą stać się punktem wejścia dla zaawansowanych grup sponsorowanych przez państwa.
Chcesz być na bieżąco z cyberzagrożeniami? Obserwuj nas i śledź kolejne wpisy! Komentujemy, analizujemy, a także ostrzegamy.