Sandworm ha usato una private APN per colpire una centrale energetica polacca

Un attacco distruttivo senza blackout

CERT.PL ha documentato un nuovo attacco contro il settore energetico polacco, attribuito ad attori legati al governo russo e identificati con il gruppo Sandworm.

Il bersaglio era una piccola centrale di cogenerazione che fornisce calore a circa 50.000 residenti. Gli aggressori hanno interrotto il processo di cogenerazione, arrestando una turbina a vapore e un sistema di trattamento dell’acqua, ma non hanno provocato interruzioni nella fornitura di calore o elettricità.

L’incidente si è verificato durante attività di manutenzione ed è stato inizialmente scambiato per un errore ingegneristico. L’analisi successiva di CERT.PL ha confermato l’origine malevola.

Alcuni dispositivi ICS sono stati danneggiati in modo permanente, probabilmente per ostacolare l’analisi forense. Il ripristino dei sistemi ha comunque limitato rapidamente il downtime.

La private APN come ponte verso le reti industriali

Secondo CERT.PL, è il primo caso osservato in cui una private APN viene utilizzata come vettore d’attacco. La configurazione, tuttavia, sarebbe diffusa in Polonia e in altri Paesi.

La catena d’intrusione è iniziata con la compromissione di un dispositivo Fortinet VPN/firewall esposto a Internet presso un parco eolico. Nella stessa rete gli aggressori hanno individuato un router cellulare Teltonika e ne hanno raggiunto l’interfaccia amministrativa.

Attraverso il servizio SSH del router hanno creato un tunnel verso una private APN gestita dal distribution system operator, o DSO. Questa rete collegava il sistema SCADA del gestore ai sistemi ICS delle sottostazioni.

Il percorso ha permesso agli aggressori di individuare un PLC Wago nella centrale CHP. Il servizio SSH attivo sul dispositivo è stato quindi sfruttato come punto d’accesso alle reti OT dell’impianto.

Dopo circa una settimana di ricognizione, gli attaccanti hanno raggiunto PLC Siemens e li hanno impostati in modalità “stop”. Hanno inoltre configurato una password per impedire agli operatori di cambiare lo stato operativo e la logica di controllo.

Dispositivi colpiti e danni agli impianti

L’operazione ha coinvolto componenti di più vendor:

• dispositivi Fortinet usati come VPN e firewall;
• router cellulari Teltonika;
• un PLC Wago utilizzato come gateway verso la rete OT;
• PLC Siemens portati in modalità “stop”;
• server seriali e switch Moxa resi inaccessibili agli operatori;
• azionamenti a frequenza variabile ABB e Schneider Electric.

Non è noto quali azioni siano state eseguite sugli apparati ABB e Schneider Electric. Alcuni tentativi di connessione non sono riusciti.

Il controller Wago è stato danneggiato tramite la corruzione della tabella delle partizioni. Il factory reset non ha risolto il problema: il dispositivo non si è più avviato e non ha conservato log utili alle indagini.

Il personale ha ripristinato i PLC colpiti alle impostazioni di fabbrica, ricaricando poi la logica di controllo dai backup. Questa procedura ha permesso di ridurre i tempi di fermo, ma non ha recuperato il gateway Wago.

L’episodio si inserisce in una campagna più ampia. L’attacco precedente, divulgato nel dicembre 2025, aveva interessato circa 30 siti tra centrali CHP e centri di dispacciamento per impianti eolici e solari. Anche in quel caso erano stati compromessi sistemi ICS e danneggiati alcuni dispositivi, senza interruzioni elettriche.

Misure necessarie per ridurre il rischio

Le organizzazioni che utilizzano router cellulari e private APN dovrebbero proteggere con particolare attenzione le interfacce amministrative esposte o raggiungibili dalla rete interna. Le versioni dei prodotti coinvolti non sono state rese note.

Tra le misure indicate dall’analisi rientrano:

• disabilitare SSH quando non necessario, oppure limitarlo a indirizzi e account autorizzati;
• separare rigorosamente private APN, SCADA, reti ICS e reti OT;
• impedire che un router cellulare possa diventare un ponte verso sistemi industriali critici;
• verificare la presenza di PLC, gateway e apparati di rete amministrabili tramite SSH;
• mantenere backup offline delle configurazioni e della logica dei PLC;
• monitorare accessi anomali ai router, tunnel inattesi e collegamenti laterali tra reti di gestione e sistemi industriali.

La presenza ricorrente di architetture simili in più Paesi amplia il rischio oltre il singolo impianto: una private APN progettata per facilitare la connettività può diventare, se non adeguatamente segmentata, un percorso diretto verso l’ambiente operativo.