Hacker violano impianti energetici polacchi tramite APN privata

Un attacco inaspettato su reti industriali

Un gruppo di hacker ha violato la rete energetica polacca tramite un access point name (APN) privato, un canale di comunicazione utilizzato per la gestione di sistemi operativi industriali. L’incidente, rivelato da CERT Polska, ha coinvolto un impianto di produzione di energia termica e elettrica, con conseguenze limitate ma significative. L’attacco ha sfruttato una configurazione non sicura dell’APN, permettendo agli aggressori di accedere a dispositivi operativi (OT) e di disattivare sistemi critici.

La via laterale non prevista

L’attacco ha seguito un percorso inaspettato: gli hacker hanno inizialmente compromesso un firewall FortiGate a un impianto eolico, utilizzando un router Teltonika per connettersi all’APN gestito da un operatore di distribuzione. L’APN, priva di isolamento tra client, ha permesso agli aggressori di scansionare e comunicare con dispositivi in altre installazioni. Dopo aver compromesso un controller WAGO, hanno abilitato l’SSH per accedere al sistema OT e hanno iniziato a monitorare e preparare l’attacco. La mancanza di isolamento tra dispositivi ha permesso agli attaccanti di muoversi liberamente all’interno della rete.
L’attacco ha causato la disattivazione di un motore a vapore e del sistema di trattamento dell’acqua, interrompendo temporaneamente la produzione di energia termica e elettrica. Tuttavia, i sistemi sono stati ripristinati rapidamente, senza conseguenze per la popolazione. Nonostante l’effetto limitato, l’incidente ha evidenziato una vulnerabilità critica: l’uso improprio di APN privati per la comunicazione tra dispositivi OT.

La sicurezza dei sistemi OT deve essere rafforzata in modo proattivo per evitare futuri incidenti.
CERT Polska ha sottolineato l’importanza di trattare gli APN come reti esterne non attendibili, di isolare i client, di utilizzare liste di accesso per il traffico essenziale e di disattivare servizi di amministrazione come SSH e Telnet. Inoltre, è necessario testare ogni livello di sicurezza prima che gli attaccanti lo facciano. Secondo un sondaggio, solo il 14% delle squadre di sicurezza rileva gli attacchi riusciti, mentre il 54% li registra dopo che sono già avvenuti.

L’incidente rappresenta un caso unico, in quanto è il primo esempio di attacco reale che ha sfruttato un APN privato per accedere a una rete OT. CERT Polska ha affermato che questa configurazione era comune in Polonia e probabilmente utilizzata anche in altri Paesi. La pubblicazione di un whitepaper da parte di Picus ha evidenziato l’importanza di testare le regole di sicurezza con simulazioni di attacco per prevenire futuri danni.

• Trattare gli APN come reti esterne non attendibili
• Isolare i client connessi
• Utilizzare liste di accesso per il traffico tra APN e sistemi OT
• Disattivare servizi di amministrazione non necessari