Sandworm a utilisé un APN privé pour cibler une centrale énergétique polonaise

Une attaque destructive sans coupure de courant

CERT.PL a documenté une nouvelle attaque visant le secteur énergétique polonais, attribuée à des acteurs liés au gouvernement russe et associés au groupe Sandworm.

La cible était une petite centrale de cogénération fournissant de la chaleur à environ 50 000 habitants. Les attaquants ont interrompu le processus de cogénération en arrêtant une turbine à vapeur et un système de traitement de l’eau, sans toutefois provoquer de coupure de la fourniture de chaleur ou d’électricité.

L’incident s’est produit pendant des opérations de maintenance et a d’abord été attribué à une erreur d’ingénierie. L’analyse menée par CERT.PL a ensuite confirmé son origine malveillante.

Certains équipements ICS ont été endommagés de manière irréversible, probablement pour compliquer l’analyse forensique. La restauration des systèmes a néanmoins permis de limiter rapidement le downtime.

L’APN privé comme passerelle vers les réseaux industriels

Selon CERT.PL, il s’agit du premier cas observé d’utilisation d’un APN privé comme vecteur d’attaque. Cette architecture serait toutefois répandue en Pologne et dans d’autres pays.

La chaîne d’intrusion a commencé par la compromission d’un équipement Fortinet VPN/firewall exposé sur Internet dans un parc éolien. Sur le même réseau, les attaquants ont identifié un routeur cellulaire Teltonika et accédé à son interface d’administration.

À travers le service SSH du routeur, ils ont créé un tunnel vers un APN privé géré par le gestionnaire du réseau de distribution, ou DSO. Ce réseau reliait le système SCADA de l’opérateur aux systèmes ICS des sous-stations.

Ce chemin a permis aux attaquants d’identifier un automate programmable industriel (PLC) Wago dans la centrale de cogénération. Le service SSH actif sur l’équipement a ensuite été exploité comme point d’accès aux réseaux OT de l’installation.

Après environ une semaine de reconnaissance, les attaquants ont atteint des PLC Siemens et les ont placés en mode « stop ». Ils ont également défini un mot de passe empêchant les opérateurs de modifier l’état de fonctionnement et la logique de contrôle.

Équipements ciblés et dommages causés aux installations

L’opération a impliqué des composants de plusieurs fournisseurs :

• des équipements Fortinet utilisés comme VPN et firewall ;
• des routeurs cellulaires Teltonika ;
• un PLC Wago servant de passerelle vers le réseau OT ;
• des PLC Siemens placés en mode « stop » ;
• des serveurs série et des commutateurs Moxa rendus inaccessibles aux opérateurs ;
• des variateurs de fréquence ABB et Schneider Electric.

Les actions exécutées sur les équipements ABB et Schneider Electric ne sont pas connues. Certaines tentatives de connexion ont échoué.

Le contrôleur Wago a été endommagé par la corruption de la table de partition. La réinitialisation d’usine n’a pas résolu le problème : l’équipement ne s’est plus lancé et n’a conservé aucun journal utile à l’enquête.

Le personnel a réinitialisé les PLC ciblés aux paramètres d’usine, puis rechargé la logique de contrôle à partir des sauvegardes. Cette procédure a permis de réduire la durée d’interruption, mais n’a pas permis de récupérer la passerelle Wago.

Cet épisode s’inscrit dans une campagne plus vaste. L’attaque précédente, révélée en décembre 2025, avait touché environ 30 sites, notamment des centrales de cogénération et des centres de dispatching pour des installations éoliennes et solaires. Là encore, des systèmes ICS avaient été compromis et certains équipements endommagés, sans provoquer de coupures électriques.

Mesures nécessaires pour réduire le risque

Les organisations utilisant des routeurs cellulaires et des APN privés devraient protéger tout particulièrement les interfaces d’administration exposées ou accessibles depuis le réseau interne. Les versions des produits concernés n’ont pas été communiquées.

L’analyse recommande notamment de :

• désactiver SSH lorsqu’il n’est pas nécessaire, ou le limiter aux adresses et aux comptes autorisés ;
• séparer strictement les APN privés, les réseaux SCADA, ICS et OT ;
• empêcher qu’un routeur cellulaire puisse servir de passerelle vers des systèmes industriels critiques ;
• rechercher la présence de PLC, de passerelles et d’équipements réseau administrables via SSH ;
• conserver des sauvegardes hors ligne des configurations et de la logique des PLC ;
• surveiller les accès anormaux aux routeurs, les tunnels inattendus et les connexions latérales entre les réseaux d’administration et les systèmes industriels.

La présence récurrente d’architectures similaires dans plusieurs pays étend le risque au-delà d’une seule installation : un APN privé conçu pour faciliter la connectivité peut devenir, s’il n’est pas correctement segmenté, un accès direct à l’environnement opérationnel.