Ataque inédito a OT usou parque eólico e rede celular privada como ponte para invadir usina polonesa
O CERT Polska divulgou um relatório complementar sobre um ataque cibernético realizado em 29 de dezembro de 2025 contra uma usina de cogeração na Polônia, responsável pelo fornecimento de energia para cerca de 50 mil pessoas. A ofensiva derrubou uma turbina a vapor e o sistema de tratamento de água da planta, interrompendo temporariamente o processo de cogeração. Apesar da gravidade técnica do incidente, o abastecimento de energia elétrica e de aquecimento à população não chegou a ser interrompido, segundo o documento.
A investigação, conduzida ao longo de mais de três meses pela equipe CSIRT NASK, revelou um vetor de intrusão considerado inédito: o uso de uma rede celular privada e de seus dados de APN (Access Point Name) para obter acesso não autorizado a uma rede de tecnologia operacional (OT). Em outras palavras, os atacantes exploraram uma infraestrutura móvel privada, normalmente vista como um meio seguro de conectividade, como rota de entrada para sistemas industriais críticos.
De acordo com o relatório, os criminosos aproveitaram um APN privado administrado pelo Operador do Sistema de Distribuição (DSO) para realizar movimento lateral, migrando de um parque eólico até a rede OT da usina de cogeração. O CERT Polska destaca que, até onde se sabe, é a primeira vez que se observa, em um ataque real, o uso bem-sucedido de um APN privado como vetor direto para comprometer uma rede OT.
Cadeia de ataque começa em parque eólico
A sequência de intrusão teve início em um parque eólico conectado ao mesmo ambiente de comunicação. Um dispositivo FortiGate, atuando como firewall e concentrador VPN, foi comprometido. Os invasores conseguiram privilégios administrativos no equipamento, cuja interface VPN estava exposta à internet e permitia o uso de contas sem autenticação multifator. Esse cenário reduziu significativamente a barreira de entrada para o atacante.
Depois de assumir o controle do FortiGate, o invasor mapeou a rede do parque eólico e localizou um roteador celular Teltonika RUTX50, responsável por fornecer acesso ao APN privado do DSO. A interface administrativa desse roteador estava acessível, o que foi determinante para o avanço da operação maliciosa.
Exploração do APN privado e salto para a usina
O Teltonika RUTX50 foi então utilizado para criar um túnel SSH em direção ao APN privado, abrindo um canal direto para a infraestrutura do operador. O relatório informa que a senha padrão do roteador havia sido alterada durante a implantação, o que em tese representaria uma boa prática básica de segurança. No entanto, os investigadores não conseguiram determinar se o atacante obteve essa nova senha por meio de credenciais vazadas, engenharia social ou exploração de alguma vulnerabilidade desconhecida no dispositivo.
A partir de 18 de dezembro, já com acesso ao APN, o invasor iniciou uma fase de varredura e reconhecimento, procurando serviços VNC, HTTP e protocolos industriais S7 e Modbus. Essa etapa mostrou que o ambiente do APN não possuía isolamento adequado entre clientes, permitindo que um dispositivo de um local (o parque eólico) alcançasse ativos críticos em outro ponto da infraestrutura (a usina de cogeração).
Comprometimento do controlador WAGO e acesso à rede OT
No decorrer do mapeamento, o atacante identificou um controlador WAGO PFC200 na usina, acessível pela rede APN. O dispositivo expunha sua interface web administrativa e ainda utilizava credenciais padrão, uma falha grave em um ambiente industrial conectado a infraestruturas críticas. Explorando essa fragilidade, o invasor fez login no painel web, habilitou o serviço SSH e, a partir daí, estabeleceu um novo túnel, desta vez diretamente para a rede OT interna da usina.
Entre 18 e 25 de dezembro, foram registradas atividades de reconhecimento intensivo dentro da rede OT, incluindo varreduras, tentativas de conexão e identificação de equipamentos industriais. Esse período serviu para o atacante compreender a topologia interna, localizar os ativos mais sensíveis e preparar o terreno para a etapa destrutiva.
Preparação para o ataque destrutivo
Em 25 de dezembro, os registros mostram conexões bem-sucedidas a três controladores Siemens: S7-300, S7-1200 e S7-1500. Esses modelos são amplamente utilizados para automação de processos industriais, o que indica que o invasor, nesse ponto, já estava em plena capacidade de interferir diretamente no funcionamento dos sistemas físicos da usina. O CERT Polska aponta que essas conexões provavelmente foram usadas para mapear lógicas de controle, testar comandos e garantir que, no momento certo, o ataque teria impacto operacional relevante.
Ações destrutivas e sabotagem de evidências
Na madrugada de 29 de dezembro, por volta de 5h30, o criminoso iniciou a fase destrutiva da operação. Os controladores Siemens foram colocados em modo STOP e depois protegidos com senha, impedindo que operadores locais retomassem rapidamente o controle. O resultado imediato foi o desligamento da turbina a vapor e do sistema de tratamento de água, forçando uma parada parcial da cogeração.
Paralelamente, sete servidores seriais Moxa e três switches tiveram suas configurações restauradas para o padrão de fábrica, as senhas alteradas e os endereços IP definidos para valores inacessíveis, como 127.0.0.1. Essas mudanças tornaram os equipamentos inutilizáveis na topologia original da rede. O CERT Polska avalia, com alto grau de confiança, que essas alterações foram automatizadas, sugerindo o uso de scripts ou ferramentas previamente preparadas para causar o máximo de interrupção em pouco tempo.
Logo após obter o efeito desejado, o invasor passou a eliminar vestígios. A tabela de partições do controlador WAGO foi corrompida, impedindo sua inicialização e destruindo logs que poderiam ajudar a reconstruir a linha do tempo da intrusão. O roteador Teltonika e o FortiGate também foram resetados para as configurações de fábrica, mais uma vez apagando pistas valiosas e aumentando a dificuldade da análise forense e da recuperação plena do ambiente.
Fragilidades expostas: APN não isolado e credenciais padrão
O relatório destaca dois pontos críticos que possibilitaram o sucesso do ataque: a ausência de isolamento adequado dentro do APN privado e o uso de credenciais padrão em dispositivos industriais expostos nessa rede. O APN, que deveria ser configurado de forma a segmentar e isolar clientes, na prática funcionava como uma grande rede compartilhada, permitindo que um atacante compromissado em um ponto (o parque eólico) alcançasse sistemas de outro cliente (a usina).
Além disso, o fato de o controlador WAGO PFC200 estar acessível com usuário e senha padrão ilustra uma falha de higiene básica de segurança em OT. Em ambientes industriais, onde muitas vezes prevalece a cultura de “não mexer no que está funcionando”, etapas simples como alteração de senhas e desativação de interfaces administrativas desnecessárias acabam negligenciadas, abrindo espaço para ataques com pouco esforço técnico.
Recomendações do CERT Polska para ambientes com APN privado
Diante das descobertas, o CERT Polska emitiu um conjunto de recomendações para organizações que utilizam APNs privados como parte de sua infraestrutura de conectividade operacional. Entre as principais orientações, estão:
– Realizar auditorias regulares de configuração em APNs privados, verificando segmentação, controles de acesso e rotas permitidas.
– Implementar isolamento entre clientes e entre diferentes segmentos, evitando que um comprometimento em um ponto permita o acesso a toda a rede conectada ao APN.
– Tratar o APN como uma rede não confiável, e não como uma extensão segura da rede interna, aplicando os mesmos controles de proteção usados para redes externas.
– Restringir ao máximo a comunicação entre a rede OT e o gateway do APN, permitindo apenas o tráfego estritamente necessário para a operação.
– Centralizar o monitoramento de eventos e tráfego relacionados a APNs, integrando logs a sistemas de detecção e resposta a incidentes.
– Minimizar a exposição de interfaces administrativas à internet e a redes amplas, protegendo-as com VPN robusta, autenticação multifator e listas de controle de acesso.
– Eliminar credenciais padrão de todos os dispositivos industriais e de rede, adotando políticas de senhas fortes e revisões periódicas.
O relatório ressalta ainda que, se a rede permanecer fora do controle direto da organização – especialmente quando a empresa não tem influência sobre sua configuração e não dispõe de informações suficientes para validar os mecanismos de segurança – ela deve ser encarada como uma rede externa com nível de risco equivalente ao da internet pública.
Lições para o setor de energia e para infraestruturas críticas
O episódio serve como um alerta contundente para operadores de energia, parques eólicos, plantas industriais e demais infraestruturas críticas que utilizam conectividade celular privada para monitoramento e controle remoto. A percepção de que um APN privado é, por si só, sinônimo de segurança mostrou-se equivocada. Sem segmentação e sem controles adicionais, esse tipo de serviço pode se tornar justamente o elo mais fraco da cadeia.
Outro aprendizado importante diz respeito à convergência entre TI, OT e redes móveis. Dispositivos como firewalls, roteadores celulares e controladores industriais formam hoje uma malha interligada, em que a quebra de segurança em qualquer ponto pode resultar em acesso a sistemas antes considerados isolados. Isso exige abordagens integradas de segurança, envolvendo equipes de TI, engenheiros de automação, responsáveis por telecomunicações e gestores de risco.
Boas práticas para reduzir a superfície de ataque em OT
Para além das recomendações específicas do CERT, o caso reforça a importância de um conjunto de boas práticas em ambientes industriais:
– Segmentar rigidamente as redes OT, limitando o número de caminhos possíveis entre dispositivos críticos e qualquer tipo de conectividade externa.
– Desativar serviços e portas não utilizados em controladores, gateways e roteadores industriais.
– Implementar listas de controle de acesso baseadas em princípio de privilégio mínimo, inclusive dentro da própria rede OT.
– Utilizar sistemas de detecção de intrusão específicos para protocolos industriais (como S7 e Modbus), capazes de identificar comandos suspeitos e alterações anômalas em controladores.
– Estabelecer processos formais de gestão de mudanças, garantindo que qualquer exposição de interface administrativa ou novo acesso remoto seja previamente avaliado sob a ótica de segurança.
Papel da autenticação forte e da gestão de identidade
O comprometimento do FortiGate, cuja VPN aceitava contas sem autenticação multifator, evidencia o impacto da ausência de autenticação forte em pontos críticos de entrada. A adoção de MFA deve ser encarada como obrigatória para qualquer tipo de acesso remoto a infraestruturas essenciais, seja por VPN, portais web ou interfaces de gerenciamento.
Além disso, a gestão de identidade e acesso em ambientes OT precisa evoluir, abandonando a prática de contas compartilhadas e de senhas estáticas de longa duração. A associação clara entre identidades individuais e ações realizadas na rede facilita a investigação de incidentes e desestimula o uso indevido de credenciais.
Monitoramento contínuo e resposta a incidentes em OT
O caso da usina polonesa também mostra a necessidade de monitoramento contínuo em redes OT, com capacidade de detectar comportamentos anômalos como varreduras, conexões repetidas a controladores e alterações de modo de operação em horários atípicos. Embora ambientes industriais tenham restrições quanto a atualizações e instalação de agentes, há hoje soluções específicas para monitoramento passivo de tráfego e telemetria, capazes de gerar alertas precoces.
Tão importante quanto detectar é saber reagir. Planos de resposta a incidentes adaptados à realidade de OT devem prever procedimentos para isolar segmentos comprometidos sem comprometer a segurança física nem interromper totalmente a operação. Exercícios de simulação ajudam a preparar equipes técnicas e operacionais para agir sob pressão, reduzindo o tempo de resposta e o impacto final.
Revisão de contratos com provedores de APN e operadoras
Por fim, o ataque evidencia a necessidade de revisar contratos e acordos com operadoras responsáveis por APNs privados. Organizações que dependem desse tipo de conectividade para controlar ativos críticos precisam exigir, de forma explícita, requisitos de segurança como:
– Segmentação lógica entre clientes e entre diferentes grupos de dispositivos.
– Disponibilidade de registros de auditoria e logs de tráfego.
– Possibilidade de aplicar listas de controle de acesso específicas para determinados IPs ou portas.
– Transparência sobre as medidas de proteção implementadas no núcleo da rede móvel.
Sem essa visibilidade e capacidade de influência, o APN permanece, na prática, como uma “caixa-preta” que deve ser tratada com a mesma desconfiança que qualquer rede externa potencialmente exposta a ameaças.
Em síntese, o caso analisado pelo CERT Polska marca um novo patamar na exploração de redes celulares privadas em ataques a OT e reforça a urgência de elevar o nível de segurança em ambientes industriais conectados, com foco especial em segmentação, gestão de credenciais, monitoramento e revisão de dependências externas como APNs.