Saldırganlar, yerel şebeke operatörünün uzaktaki ekipmanlara erişmek için kullandığı özel hüc ağ üzerinden sisteme sızarak Polonya'daki bir kombine ısı ve güç santralinde buhar türbini ile proses suyu arıtma sistemini kapattı.
Yaklaşık 50.000 kişiye ısınma hizmeti veren santral, sızma girişimi sırasında kesintiye uğradı. Ancak sabah 07.30 sularında, saldırganlar hala ağ içinde aktifken kurtarma çalışmaları başladı ve aboneler ne ısınma ne de elektrik kesintisi yaşadı.
Polonya Siber Güvenlik Merkezi CERT Polska, Aralık 2025'te gerçekleşen bu siber saldırıyı, üç aydan uzun süren incelemelerin ardından 8 Ağustos'ta kamuoyuyla paylaştı. Polonya Başbakanı daha önce Ocak ayında iki kombine ısı ve güç santralinin hedef alındığını açıklamıştı; ortaya çıkan bu son vaka, saldırıya uğrayan ikinci santral oldu.
Saldırı, dağıtım sistemi operatörü tarafından yönetilen özel bir hüc veri ağı olan özel APN (Erişim Noktası Adı) üzerinden gerçekleştirildi. Bu ağdaki herhangi bir cihazın diğerleriyle serbestçe iletişim kurmasına olanak tanıyan hatalı bir yapılandırma, hackerların ele geçirilmiş bir rüzgar çiftliği ağından santralin kontrol ünitesine sıçramasına yol açtı.
CERT yetkilileri, özel bir APN üzerinden endüstriyel kontrol ağına erişimin, "gerçek dünyadaki bir siber saldırıda bu yöntemle gerçekleştirilen ilk saldırı vektörü" olduğunu belirtiyor. Rüzgar çiftliği ile enerji santrali birbirinden tamamen bağımsız iki tesis ve her ikisi de aralarındaki bağlantıyı sağlayan ağı işletmiyor.
Olay raporu, sızmanın nedenini belirli bir CVE (Ortak Zafiyetler ve Maruziyetler) koduna bağlamıyor. Araştırmacılar, Teltonika yönlendiricideki bir zafiyetin sömürülüp sömürülmediğini kesin olarak tespit edemediği için ortada uygulanacak tek bir yazılım yaması da bulunmuyor.
APN üzerinden erişilebilen WAGO kontrol ünitesinde hala varsayılan yönetici şifreleri kullanılıyordu ve özel APN, cihazlar arası trafiğe açık hale getirilmişti. CERT'in ilk tavsiyesi, özel APN yapılandırmasını denetlemek ve cihazlar arası yalıtımı (client isolation) aktif hale getirmek.
Kurum ayrıca, operasyonel teknoloji (OT) tarafında APN'yi güvenilmez bir ağ olarak kabul etmeyi, ağ trafiğini segmentlere ayırıp kısıtlamayı, APN üzerinden erişilebilen arayüzlerden gereksiz yönetim hizmetlerini kaldırmayı ve tüm varsayılan şifreleri değiştirmeyi öneriyor.
CERT'in yaptığı araştırmalar, Polonya'daki özel APN kullanan kuruluşların büyük çoğunluğunun, ağdaki herhangi bir cihazın diğerine sınırsız erişimine izin verdiğini ortaya koydu. Kurum, bu tür hatalı yapılandırmaların diğer ülkelerde de yaygın olarak kullanıldığı görüşünde. Olay anında yönlendiricinin SSH hizmeti, kontrol ünitesinin web arayüzü ve kısıtlamasız APN ayarları, tam olarak yapılandırıldıkları şekilde çalışıyordu.
