Une seconde cible restée secrète pendant huit mois

Le CERT Polska a publié, le 8 août 2026, un rapport de suivi révélant qu'un second site énergétique avait été compromise lors de la vague d'attaques destructrices qui a frappé le secteur énergétique polonais le 29 décembre 2025. Il s'agit d'une petite centrale de cogénération chaleur-électricité (CHP) fournissant de la chaleur à environ 50 000 habitants.

Cette seconde intrusion n'avait jamais été évoquée publiquement auparavant. Elle a été présentée en détail par Marcin Dudek, responsable du CERT Polska, lors de la conférence DEF CON à Las Vegas, qui se tenait précisément au moment de la publication.

L'attaque a entraîné l'arrêt de la turbine à vapeur et du système de traitement des eaux de procédé, interrompant la cogénération. Grâce à la réaction rapide du personnel, l'indisponibilité fut de courte durée et aucune coupure de chaleur n'a affecté la population.

Le contexte : une attaque coordonnée sans précédent

Le 29 décembre 2025, en pleine vague de froid et de tempêtes neigeuses, une opération coordonnée a visé au moins 30 parcs éoliens et photovoltaïques, une grande centrale de cogénération (près de 500 000 clients) et une entreprise du secteur manufacturier. Toutes les actions avaient un caractère exclusivement destructeur — le CERT Polska les compare à des « incendies criminels » dans le monde physique.

Du côté des énergies renouvelables, l'attaquant a corrompu le firmware de contrôleurs RTU, supprimé des fichiers système et déployé un wiper sur les stations Windows, coupant la communication entre les sites de production et les opérateurs de distribution. La production d'électricité elle-même n'a cependant pas été interrompue.

Sur la grande centrale de cogénération, l'objectif était un sabotage irréversible via un wiper, mais l'exécution a été bloquée par une solution EDR en place. Le même wiper a également été utilisé contre l'entreprise manufacturière, de manière opportuniste.

Attribution : un cluster russe passe à la destruction

L'analyse de l'infrastructure — serveurs VPS compromis, routeurs détournés, flux réseau et infrastructure d'anonymisation — a conduit le CERT Polska à attribuer l'ensemble des attaques à un cluster d'activité connu sous plusieurs noms selon les éditeurs :

  • Static Tundra (Cisco Talos)
  • Berserk Bear (CrowdStrike)
  • Ghost Blizzard (Microsoft)
  • Dragonfly (Symantec)

Ce groupe, historiquement associé à l'État russe et proche de l'écosystème Sandworm/Electrum, s'était jusqu'ici concentré sur l'espionnage du secteur énergétique. Les attaques de décembre 2025 marquent la première activité destructrice publiquement attribuée à ce cluster.

Le vecteur inédit : déplacement latéral via APN privé

C'est la découverte majeure du rapport de suivi. Le CERT Polska a reconstitué le chemin d'attaque complet vers la seconde centrale de cogénération :

  1. Point d'entrée initial : compromission d'un pare-feu VPN FortiGate situé dans un parc éolien.
  2. Tunneling mobile : exploitation d'un routeur cellulaire Teltonika présent sur ce réseau pour accéder à un APN privé (Access Point Name) géré par l'opérateur du système de distribution.
  3. Absence d'isolation des clients : l'APN était mal configuré, permettant à n'importe quel appareil connecté de communiquer avec les autres. L'attaquant a pu scanner et contacter des équipements d'autres sites.
  4. Cible trouvée : dès le 18 décembre, un automate WAGO PFC200 exposé sur l'APN, protégé uniquement par des identifiants administrateur par défaut.
  5. Pont vers l'OT : après compromission du WAGO, activation de SSH pour l'utiliser comme point de relais vers le réseau OT de la centrale.
  6. Reconnaissance : pendant une semaine, scan du réseau à la recherche de systèmes SCADA et d'équipements industriels.
  7. Préparation : le 25 décembre, connexion à trois automates Siemens en vue de l'attaque.
  8. Frappe : le 29 décembre vers 5h30, accès à l'interface SCADA et aux automates Siemens, passage en mode STOP, activation d'une protection par mot de passe, arrêt de la turbine à vapeur et du système de traitement d'eau.

« À notre connaissance, il s'agit du premier cas observé dans le monde réel où un attaquant a accédé à un réseau OT en se déplaçant latéralement via un APN privé. » — CERT Polska

Anti-forensique et entrave à la récupération

L'attaquant a multiplié les actions pour entraver l'analyse et la remise en service :

  • Réinitialisation et reconfiguration de plusieurs appareils Moxa.
  • Destruction des journaux (logs).
  • Corruption ou reset du contrôleur WAGO, du routeur Teltonika et du pare-feu FortiGate utilisés tout au long de l'intrusion.

Une mauvaise configuration répandue à l'international

Les enquêtes de suivi menées par le CERT Polska ont révélé que ce type de configuration était courant en Pologne au moment des faits. L'équipe estime que des arrangements similaires sont probablement répandus dans d'autres pays.

Le rapport souligne que les APN privés sont souvent perçus comme des réseaux de confiance par nature, alors qu'ils devraient être traités avec la même méfiance que n'importe quel réseau externe non contrôlé.

Recommandations du CERT Polska

Le rapport formule plusieurs recommandations ciblées pour les organisations utilisant des APN privés dans des environnements OT :

  • Traiter les APN privés comme des réseaux externes non fiables.
  • Activer l'isolation entre les clients connectés (client isolation).
  • Mettre en place des listes blanches pour le trafic essentiel entre les passerelles APN et les systèmes OT.
  • Désactiver les interfaces d'administration SSH et Telnet exposées.
  • Changer les identifiants par défaut sur tous les automates et équipements industriels accessibles.
  • Surveiller les journaux à la recherche des indicateurs de compromission (IoC) publiés dans le rapport.
  • Enregistrer ses domaines et plages IP dans le portail moje.cert.pl pour bénéficier d'une veille proactive.

Ce qu'il faut retenir

Cet incident illustre plusieurs tendances préoccupantes de la menace OT :

  1. Les groupes d'espionnage énergétique passent à la sabotage — une ligne rouge franchie, comparable à l'évolution de Sandworm avant les attaques sur l'Ukraine.
  2. Les APN privés sont une surface d'attaque sous-estimée — l'absence d'isolation entre clients transforme un réseau mobile censé être « fermé » en un bus de communication inter-sites.
  3. Les identifiants par défaut restent un problème critique en OT — un WAGO PFC200 avec admin/admin a servi de porte d'entrée vers tout un réseau industriel.
  4. La destruction physique d'équipements est devenue un objectif explicite, et non plus un dommage collatéral.

Les détails complets, incluant les indicateurs de compromission et l'analyse technique du wiper, sont disponibles dans les rapports PDF publiés par le CERT Polska. L'ensemble de la communauté OT est incitée à vérifier ses configurations APN sans délai.