Le 8 août, CERT Polska a rendu public un incident survenu en décembre 2025 : des attaquants ont réussi à atteindre les systèmes de contrôle d’une centrale combinée chaleur-électricité (CHP) en Pologne. Leur méthode ne reposait pas sur une infection “classique”, mais sur une exploitation d’un APN privé utilisé pour joindre à distance des équipements industriels.
La centrale alimente environ 50 000 habitants. Les opérations de rétablissement ont commencé vers 7 h 30, pendant que les intrus étaient encore présents sur le réseau. Fait notable : les clients n’ont ni perdu la chaleur ni l’électricité.
Que s’est-il passé dans la centrale polonaise ?
Selon le rapport, les attaquants ont d’abord pris le contrôle d’éléments accessibles via le réseau de communication reliant la partie “distante” à l’infrastructure OT. Ensuite, ils ont déclenché des actions qui ont interrompu la cogénération.
Dans la matinée, les contrôleurs ont été placés en mode d’arrêt (STOP) et protégés par des mots de passe. Résultat : la turbine à vapeur et le système de traitement de l’eau du process ont été stoppés. Le document précise que ces actions ont été effectuées via des fonctions supportées par les équipements, sans besoin de malware dans les étapes destructrices décrites.
Durant la période d’activité interne — de 5 h 30 à environ 10 h 10 — plusieurs composants ont aussi subi des remises à zéro d’usine. Des serveurs de périphériques série et des commutateurs ont vu leurs paramètres modifiés, avec notamment des attributions d’adresses rendant des services non joignables.
Le rôle central de l’APN privé
Le point clé de l’incident tient à la façon dont la connectivité à distance était organisée. Le trajet d’accès utilisait un APN privé (Private APN), c’est-à-dire un réseau de données cellulaires dédié, géré par l’opérateur du réseau de distribution et employé pour atteindre des équipements distants.
Dans la configuration observée, la communication entre clients sur le même APN était autorisée. Autrement dit, des appareils situés sur l’APN pouvaient échanger entre eux, ce qui a permis aux attaquants de se déplacer depuis un environnement déjà compromis (une installation éolienne) jusqu’à un contrôleur présent sur la centrale.
CERT Polska indique que ce vecteur — accéder à un réseau de contrôle industriel via un APN privé dans un contexte d’attaque réelle — serait, à sa connaissance, la première observation de ce type dans un incident ayant réellement eu lieu dans le monde.
Pourquoi cette “architecture” a favorisé l’attaque
Deux idées reviennent dans le rapport : d’une part, la technologie de communication imposée pour le transfert de données n’avait pas été remise en question ; d’autre part, l’accès et l’administration des équipements sur l’interface de gestion n’étaient pas couverts par des exigences équivalentes.
Le réseau de distribution imposait que les communications vers l’unité distante (RTU) passent par le protocole série DNP3.0. Cette contrainte était respectée par l’installation éolienne.
En revanche, la gestion du routeur cellulaire reposait sur une autre interface, connectée à un port Ethernet, puis à un VLAN derrière un pare-feu compromis. Ainsi, le contrôle de l’acheminement “données industrielles” ne protégeait pas l’administration du dispositif réseau.
Les identifiants par défaut et la prise de contrôle
L’enchaînement a ensuite mis en évidence un problème classique mais critique : des identifiants par défaut. Sur l’APN privé, l’attaquant a identifié un contrôleur WAGO PFC200 dont l’interface d’administration web était exposée, avec un compte administrateur disposant de valeurs par défaut.
CERT Polska estime que des actions ultérieures ont permis d’activer ou d’exploiter ce service, puis de poursuivre la progression vers les réseaux OT de la centrale. Cette partie du raisonnement s’appuie notamment sur la chronologie et des observations de connexions (notamment via SSH et des corrélations temporelles).
Du parc éolien à la centrale : une transition opérée
Les intrus ne seraient pas partis de zéro sur la centrale. Le chemin décrit commence sur une installation éolienne, séparée de la CHP et qui ne “porte” pas le réseau reliant directement les deux sites.
Sur le site éolien, un équipement FortiGate a joué le rôle de pare-feu et de point de terminaison VPN. Le rapport indique que le VPN était accessible depuis Internet et permettait des connexions sans authentification multifacteur. L’attaquant disposerait en outre de privilèges administrateur sur l’appareil, ce qui aurait facilité l’obtention d’informations de connexion pour atteindre tous les segments du réseau.
Ensuite, les mécanismes de connectivité ont permis d’atteindre la partie cellulaire où se trouvait l’APN privé. Le document suggère que l’attaquant aurait utilisé un tunnel SSH à travers le routeur pour accéder à l’APN.
Le facteur logiciel : pas de correctif unique identifié
Autre conséquence importante de l’enquête : le rapport ne permet pas de conclure à l’exploitation d’une vulnérabilité unique menant directement à l’intrusion. Les investigations n’ont pas établi de CVE clairement associée à l’incident.
CERT précise aussi qu’il n’a pas été possible de déterminer si une faille sur le routeur Teltonika (notamment un modèle RUTX50) avait été utilisée. Les vérifications mentionnées indiquent que, parmi les vulnérabilités publiques examinées, aucune n’aurait permis à un attaquant non authentifié d’obtenir un mot de passe.
À l’inverse, il existe un ensemble de causes techniques plausibles, y compris un scénario où des identifiants auraient été obtenus par d’autres chemins. Le document évoque aussi la possibilité d’un problème non publié, sans pour autant l’affirmer.
Pourquoi le système a semblé “normal” au début
Le rapport souligne un détail qui arrive souvent dans les incidents OT : la première lecture du dysfonctionnement n’a pas été considérée comme une attaque.
Pendant une période de maintenance, l’interruption a été attribuée à une erreur de prestataire et seulement enregistrée à titre informatif. Ce n’est que grâce à la connaissance d’événements similaires que CERT a ouvert une investigation structurée. L’enquête a aussi relevé qu’une reconnaissance interne avait eu lieu avant les actions destructrices, avec par exemple un scan de ports commençant à partir d’une adresse associée au système SCADA.
Recommandations pratiques de CERT Polska
Le cœur des recommandations porte sur la réduction du risque lié aux réseaux privés et à la segmentation.
- Auditer la configuration de l’APN privé et activer l’isolement entre clients (client isolation).
- Traiter l’APN comme non fiable du point de vue OT, puis segmenter et restreindre les flux.
- Supprimer les services d’administration inutiles accessibles depuis l’interface atteignable via l’APN.
- Changer les identifiants par défaut et appliquer des règles de durcissement.
CERT ajoute que ses observations montrent une pratique fréquente en Pologne : des organisations laissant, sur des APN privés, une connectivité “tout vers tout”. Selon CERT, cette configuration pourrait également être largement déployée dans d’autres pays.
Leçons à retenir pour les opérateurs
Au-delà du cas polonais, l’incident met en évidence un risque récurrent : une connectivité “dédiée” ne garantit pas la sécurité si l’architecture autorise la propagation latérale entre équipements. Un réseau cellulaire privé peut être performant pour atteindre des sites distants, mais il doit être conçu avec une séparation stricte et des règles d’accès minimales.
Enfin, même si la présence d’identifiants par défaut accélère la compromission, le rapport insiste surtout sur le fait que la progression a pu être rendue possible par la combinaison de la configuration réseau, de l’exposition de services de gestion et de l’absence de contraintes équivalentes à celles imposées pour les échanges de données industrielles.
Conclusion
Cette intrusion en Pologne illustre comment des attaquants peuvent viser une infrastructure OT en s’appuyant sur la connectivité. Dans le cas décrit, l’APN privé a servi de tremplin : la configuration permettait des communications entre clients, ce qui a facilité le pivot depuis un site compromis jusqu’à des contrôleurs de la centrale.
Les enseignements pratiques sont clairs : isolez les clients sur l’APN, traitez la connectivité comme un risque à contrôler, limitez l’accès à la gestion et supprimez les comptes ou paramètres par défaut. Si vous appliquez ces mesures, vous réduisez fortement la probabilité qu’un incident réseau se transforme en perturbation physique.
Source: https://thehackernews.com/2026/08/hackers-breach-polish-power-plant.html
