La cybersécurité industrielle en Europe reste sous pression. La CERT.PL a publié un rapport détaillant une deuxième attaque visant le réseau électrique polonais, avec un objectif qualifié de purement destructeur. Cette fois, les investigations soulignent un point particulièrement préoccupant : l’usage de réseaux privés APN comme vecteur d’attaque.
Au cœur de l’incident, les attaquants ont cherché à perturber la production et la continuité des opérations dans des installations énergétiques, en se focalisant sur des systèmes de contrôle industriels plutôt que sur la génération électrique elle-même.
Une attaque visant les systèmes de contrôle industriels
Selon le rapport, des acteurs menaçants liés à l’appareil d’État russe, notamment l’APT Sandworm, ont mené l’opération à la fin du mois de décembre 2025. Environ 30 sites auraient été concernés : des centrales de cogénération chaleur-électricité (CHP) et des centres de dispatch d’énergies renouvelables, tels que l’éolien et le solaire.
Dans ce contexte, les hackers auraient obtenu un accès aux ICS (Industrial Control Systems). Toutefois, leur action a surtout ciblé des fonctions de surveillance de la sécurité et de la stabilité du réseau, plutôt que des éléments directement liés à la production d’électricité.
Le CERT indique aussi que, même si certains équipements ICS ont été endommagés durablement, l’attaque n’a pas entraîné de coupures électriques à grande échelle.
La seconde attaque : un impact local sur une installation CHP
Le rapport récemment publié décrit une attaque complémentaire à celle déjà connue, toujours en décembre 2025. Cette fois, l’objectif aurait été une installation CHP de plus petite taille fournissant de la chaleur à environ 50 000 résidents.
Le sabotage a conduit à l’arrêt d’une turbine à vapeur et d’un système de traitement de l’eau, perturbant ainsi le processus de cogénération. Néanmoins, les systèmes ont pu être rétablis rapidement, et l’alimentation en chaleur et en électricité n’a pas été interrompue.
Au départ, l’incident a été attribué à une erreur technique survenue pendant des opérations de maintenance. L’enquête a finalement conclu qu’il s’agissait bien d’activités malveillantes.
Pourquoi les réseaux privés APN inquiètent autant
Le signal d’alerte majeur concerne l’infrastructure de communication. D’après le CERT polonais, il semble s’agir de la première fois qu’un acteur menaceur emploie des réseaux privés APN comme vecteur pour atteindre des objectifs dans le secteur de l’énergie.
Les réseaux privés APN sont conçus pour permettre la communication entre le système SCADA de l’opérateur de distribution (DSO) et les ICS déployés au niveau des postes. Autrement dit, ils servent de “liaison” technique entre des couches de supervision et des équipements industriels.
Le CERT met en garde sur un risque : la configuration vulnérable associée à ce type de réseau serait fréquemment observée en Pologne, mais aussi dans d’autres pays.
Du périmètre réseau vers l’OT : une chaîne d’accès détaillée
Le déroulé de l’intrusion montre comment les attaquants ont progressé depuis des équipements connectés à Internet jusqu’aux systèmes opérationnels. L’intrusion a démarré sur un pare-feu et un dispositif VPN Fortinet présents sur un site éolien, connectés au réseau public.
À partir de là, les pirates ont identifié un routeur cellulaire Teltonika sur le même réseau et ont accédé à son interface d’administration. Ensuite, ils ont exploité un service SSH pour mettre en place un tunnel reliant l’environnement à un réseau APN privé géré par l’opérateur de distribution.
Une fois la connectivité établie, les attaquants ont réalisé un scan du réseau privé APN afin d’identifier les systèmes présents. Leur reconnaissance a mené à la détection d’un automate programmable Wago déployé sur une installation CHP.
Leur accès à cet automate a reposé sur un autre service SSH. Ce point est crucial : il leur a permis d’atteindre directement les réseaux OT (Operational Technology) de la centrale.
Sabotage des contrôleurs et perturbation des opérations
Après une phase d’observation et de reconnaissance s’étalant sur environ une semaine, les acteurs menaçants ont ciblé des contrôleurs Siemens. Ils auraient basculé ces unités en mode “stop” et défini un mot de passe empêchant les opérateurs de modifier l’état de fonctionnement et la logique de contrôle.
Ces actions ont provoqué l’arrêt de la turbine à vapeur et du traitement de l’eau, ce qui a perturbé la cogénération.
Heureusement, le personnel en charge de l’exploitation a pu réduire la durée de l’interruption. La restauration s’est appuyée sur la remise des automates concernés à leurs paramètres d’usine et le rechargement de la logique depuis des sauvegardes.
Équipements secondaires visés : verrouillage d’accès et durcissement à l’encontre des opérateurs
L’enquête rapporte aussi des actions ciblant d’autres maillons de l’architecture industrielle. Des serveurs de périphériques série Moxa et des commutateurs réseau Moxa auraient été configurés de manière à bloquer ou empêcher l’accès légitime des opérateurs.
Par ailleurs, des variateurs de fréquence provenant d’ABB et de Schneider Electric auraient été ciblés. Le rapport précise toutefois qu’il reste incertain de leurs actions exactes sur ces équipements, et que certaines tentatives de connexion n’auraient pas abouti.
Dans la lignée de ce qui avait déjà été observé lors de l’attaque précédente, certains équipements ICS compromis auraient été “brickés”, c’est-à-dire rendus inutilisables.
Dommages permanents et difficulté de récupération des traces
La CERT.PL souligne que certains appareils auraient été endommagés de façon permanente pendant les tentatives des attaquants de dissimuler leurs traces.
Le rapport décrit notamment le cas du contrôleur Wago utilisé comme passerelle. Les attaquants auraient corrompu sa table de partition, empêchant le dispositif de la lire. Lorsqu’une tentative de remise en état a été effectuée via un reset d’usine, le problème de table de partition n’aurait pas été résolu. En conséquence, l’appareil n’aurait pas pu démarrer.
Enfin, l’enquête indique qu’aucune trace utile n’a pu être récupérée depuis cet équipement pendant l’investigation.
Ce que les organisations peuvent retenir
Cette affaire rappelle que la sécurité des environnements industriels ne se limite pas aux systèmes OT “au cœur”. La chaîne d’attaque décrite montre que des éléments périphériques—VPN, pare-feu, routeurs, services d’accès et l’architecture de communication via réseaux privés APN—peuvent devenir des points d’entrée décisifs.
Le fait que la chaleur et l’électricité n’aient pas été interrompues, malgré des actions destructrices localisées, met aussi en évidence l’importance de capacités de restauration et de sauvegardes mobilisables rapidement.
À mesure que les attaquants raffinent leurs tactiques, les organisations énergétiques gagneront à évaluer la robustesse de leurs liaisons privées, à vérifier les configurations exposées et à renforcer la gouvernance autour des accès distants et des parcours réseau entre couches SCADA et ICS.
Conclusion
La deuxième attaque contre le secteur énergétique polonais, documentée par la CERT.PL, illustre une menace réelle et méthodique contre les systèmes industriels. Surtout, elle met en lumière un usage inédit des réseaux privés APN comme vecteur pour atteindre des équipements OT.
Même si la remise en service a été rapide et que l’approvisionnement n’a pas été coupé, l’incident prouve qu’un sabotage ciblé peut viser des fonctions critiques et provoquer des dommages durables. La meilleure défense passe par une approche globale : sécuriser les accès, réduire les expositions et renforcer la résilience opérationnelle.
