29 grudnia 2025 roku doszło do skoordynowanych ataków na polską infrastrukturę energetyczną. Objęły co najmniej 30 farm wiatrowych i fotowoltaicznych oraz dużą elektrociepłownię 1 2. Nowy raport CERT Polska ujawnia, że incydent, określony przez wicepremiera Krzysztofa Gawkowskiego jako „największy atak na sektor energetyki w ostatnich latach, który mógł spowodować blackout” 3, był w rzeczywistości bardziej złożony 4. Analiza ujawniła drugi, równoległy atak na mniejszą elektrociepłownię, która dostarcza ciepło dla 50 000 mieszkańców 5 6. Śledztwo, trwające ponad trzy miesiące 7, doprowadziło do odkrycia nieobserwowanego wcześniej wektora ataku — z wykorzystaniem prywatnej sieci komórkowej 8.

Najważniejsze liczby

  • Data ataku: 29 grudnia 2025 roku 1
  • Główny cel: Pierwszy w Polsce cyberatak na sektor energetyczny o charakterze wyłącznie destrukcyjnym 9
  • Skala ataku: Co najmniej 30 farm OZE, duża elektrociepłownia i druga, mniejsza elektrociepłownia 2 5
  • Potencjalne ofiary: Mniejsza elektrociepłownia zaopatrywała w ciepło 50 000 mieszkańców 5
  • Nowy wektor: Pierwszy zaobserwowany w rzeczywistym ataku przypadek wykorzystania prywatnego APN do wejścia do sieci OT 10
  • Czas trwania śledztwa: Ponad 3 miesiące 7

Metodologia

Niniejsza analiza bazuje na raporcie uzupełniającym CERT Polska opublikowanym w sierpniu 2026 roku 11 12, który stanowi kontynuację pierwotnego raportu ze stycznia 2026 roku 13. Próba badawcza obejmuje szczegóły techniczne drugiego, wcześniej nieopisywanego publicznie incydentu w mniejszej elektrociepłowni. Dane są ograniczone do informacji udostępnionych przez CERT Polska i nie zawierają pełnej atrybucji sprawców.

Dwa cele, jeden dzień: skala ataku z grudnia 2025

Atak z 29 grudnia 2025 roku był operacją skoordynowaną, wymierzoną w kilka punktów polskiego systemu energetycznego jednocześnie 1. Pierwotny raport CERT Polska ze stycznia 2026 roku 13 opisywał uderzenie w 30 farm wiatrowych i fotowoltaicznych oraz jedną dużą elektrociepłownię 2. Dalsze, trwające ponad trzy miesiące śledztwo 7 wykazało jednak, że obraz był niepełny. Równolegle do znanych incydentów, atakujący uderzyli w drugi, mniejszy obiekt — elektrociepłownię zaopatrującą w ciepło miasto liczące 50 000 mieszkańców 5 6.

To odkrycie zmienia postrzeganie całego zdarzenia. Potwierdza, że nie był to pojedynczy, izolowany incydent, lecz szeroko zakrojona kampania. Co istotne, był to pierwszy w historii Polski cyberatak na sektor energetyczny, którego cel był wyłącznie destrukcyjny 9, a nie szpiegowski czy finansowy. Skala i charakter operacji uzasadniają ocenę wicepremiera Gawkowskiego, który mówił o ryzyku blackoutu na dużą skalę 3.

Anatomia incydentu w drugiej elektrociepłowni

Atak na mniejszą elektrociepłownię rozpoczął się około godziny 7:00 rano 29 grudnia 2025 roku 14. Celem były systemy automatyki przemysłowej. Działania napastników doprowadziły do fizycznych konsekwencji: zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych 15. W efekcie przerwano proces kogeneracji, czyli jednoczesnej produkcji energii elektrycznej i cieplnej 16.

Scenariusz eskalował w kierunku kryzysu, który mógł pozbawić dostaw ciepła dziesiątki tysięcy osób w środku zimy. Jednak do tego nie doszło. Według raportu CERT Polska, kluczowa okazała się szybka reakcja obsługi elektrociepłowni 17. Dzięki interwencji personelu przestój instalacji był krótkotrwały i nie spowodował przerw w dostawach ciepła do odbiorców końcowych 18. Ten fakt podkreśla krytyczną rolę czynnika ludzkiego jako ostatniej linii obrony w systemach OT (Operational Technology — technologia operacyjna).

Nowy wektor: atak przez prywatny APN

Najważniejszym odkryciem śledztwa jest wektor, za pomocą którego atakujący uzyskali dostęp do wewnętrznej sieci OT elektrociepłowni. Z analizy CERT Polska wynika, że działania prowadzono ze sterownika WAG PFC200 z wbudowanym modemem komórkowym 19. Urządzenie to służyło do komunikacji z systemami Operatora Sieci Dystrybucyjnej (OSD) i było wyposażone w kartę SIM działającą w wydzielonej, prywatnej sieci transmisji danych 20.

Ta sieć, znana jako prywatny APN (Access Point Name — nazwa punktu dostępowego), jest często stosowana w telemetrii i systemach SCADA (Supervisory Control and Data Acquisition) do rzekomej izolacji od publicznego internetu. Atakujący zdołali skompromitować to połączenie i wykorzystać je jako bramę do sieci OT. Według wiedzy CERT Polska, jest to pierwszy przypadek zaobserwowany podczas rzeczywistego ataku, gdzie prywatny APN posłużył jako wektor wejścia do sieci przemysłowej 10 21. To obala mit o bezpieczeństwie takich połączeń i otwiera nowy rozdział w modelowaniu zagrożeń dla infrastruktury krytycznej.

Od śledztwa do ujawnienia na DEF CON

Chronologia zdarzeń pokazuje metodyczne podejście analityków. Po ataku z grudnia 2025 roku 1 i wstępnym raporcie ze stycznia 2026 13, zespół CERT Polska prowadził dalsze, pogłębione dochodzenie 7. Jego wyniki, opisujące szczegóły ataku na drugą elektrociepłownię i wykorzystanie prywatnego APN, zostały zawarte w raporcie uzupełniającym 12.

Ujawnienie tych informacji nie ograniczyło się do publikacji na stronie rządowej. Szczegóły techniczne incydentu zostały zaprezentowane na arenie międzynarodowej przez Marcina Dudka, kierownika CERT Polska, podczas konferencji DEF CON w Las Vegas 22. To największe globalne spotkanie specjalistów od cyberbezpieczeństwa, co nadaje odkryciom polskiego zespołu rangę światową i stanowi ważny wkład w globalną bazę wiedzy o zagrożeniach dla systemów przemysłowych.

Implikacje dla polskiego biznesu

Analiza ataku na polską energetykę niesie ze sobą konkretne wnioski dla całego sektora przemysłowego i infrastruktury krytycznej w Polsce, wykraczające daleko poza energetykę.

Po pierwsze, upada założenie o bezpieczeństwie sieci OT opartym na fizycznej lub logicznej izolacji. Prywatny APN, postrzegany jako bezpieczny, dedykowany kanał komunikacji, okazał się furtką. Każda firma wykorzystująca modemy komórkowe do telemetrii, zdalnego zarządzania czy komunikacji z partnerami (np. operatorami sieci) musi przyjąć, że to połączenie jest potencjalnym wektorem ataku.

Po drugie, incydent uwypukla ryzyko w łańcuchu dostaw, które nie dotyczy tylko oprogramowania, ale również usług sieciowych. Sterownik PLC (Programmable Logic Controller — programowalny sterownik logiczny) komunikujący się z siecią OSD stał się punktem zwrotnym ataku. Zaufanie do połączeń od zewnętrznych partnerów powinno być ograniczone i weryfikowane (model Zero Trust).

Po trzecie, kluczowa rola personelu w ograniczeniu szkód 17 18 jest lekcją dla wszystkich organizacji posiadających systemy OT. Inwestycje w szkolenia, procedury reagowania na incydenty i regularne ćwiczenia są tak samo ważne, jak technologiczne systemy zabezpieczeń. Szybka i prawidłowa reakcja człowieka może być czynnikiem decydującym o skali katastrofy.

Rekomendacje

Na podstawie analizy CERT Polska, można sformułować konkretne zalecenia dla różnych ról w organizacji.

Dla CISO w infrastrukturze krytycznej

  1. Inwentaryzacja wektorów dostępu: Przeprowadzić audyt wszystkich połączeń do sieci OT, ze szczególnym uwzględnieniem modemów komórkowych (prywatne i publiczne APN), łącz radiowych i innych niestandardowych kanałów komunikacji.
  2. Wdrożenie segmentacji i monitoringu: Wprowadzić ścisłą segmentację sieci OT i monitorować ruch pomiędzy segmentami. Każde urządzenie, takie jak sterownik PLC, powinno mieć dostęp tylko do absolutnie niezbędnych zasobów.
  3. Weryfikacja urządzeń brzegowych: Zweryfikować konfigurację bezpieczeństwa wszystkich urządzeń na styku sieci IT/OT oraz na styku z sieciami partnerów (np. OSD). Należy wdrożyć hardening i regularnie audytować te urządzenia.

Dla zespołów SOC / Bezpieczeństwa OT

  1. Opracowanie nowych reguł detekcji: Stworzyć reguły wykrywające nietypową aktywność sieciową pochodzącą ze sterowników PLC/RTU i innych urządzeń końcowych w sieci OT, które z założenia powinny pełnić pasywną rolę.
  2. Ćwiczenia reagowania na incydenty: Przeprowadzić symulacje (tabletop exercises) scenariuszy ataku na sieć OT z wykorzystaniem nietypowych wektorów, takich jak skompromitowane łącze partnera lub modem komórkowy.
  3. Analiza logów z urządzeń sieciowych: Regularnie analizować logi z urządzeń sieciowych w OT pod kątem prób nieautoryzowanych połączeń, skanowania portów i innych anomalii.

Dla dostawców i integratorów systemów OT

  1. Bezpieczeństwo w standardzie (Secure by Default): Konfigurować dostarczane urządzenia (sterowniki, modemy) zgodnie z zasadą minimalnych uprawnień i z domyślnie włączonymi funkcjami bezpieczeństwa.
  2. Transparentność konfiguracji: Dostarczać klientom pełną i zrozumiałą dokumentację dotyczącą konfiguracji sieciowej, zabezpieczeń oraz potencjalnych ryzyk związanych z dostarczanym rozwiązaniem.
  3. Współpraca z operatorami telekomunikacyjnymi: Nawiązać dialog z operatorami w celu wzmocnienia mechanizmów bezpieczeństwa i monitorowania w ramach usług prywatnych APN.

Disclaimer

Niniejszy raport jest analizą opartą na publicznie dostępnych danych opublikowanych przez CERT Polska. Nie stanowi on pełnego audytu bezpieczeństwa i nie zastępuje indywidualnej oceny ryzyka. Rekomendowane działania mają charakter ogólny i powinny być dostosowane do specyfiki każdej organizacji.

Źródła

Zobacz też

Przypisy

  1. 29 grudnia 2025 roku doszło do skoordynowanych ataków na polską infrastrukturę energetyczną. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2 ↩3 ↩4

  2. Ataki z 29 grudnia 2025 roku objęły m.in. 30 farm wiatrowych i fotowoltaicznych oraz dużą elektrociepłownię. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2 ↩3

  3. Wicepremier i minister cyfryzacji Krzysztof Gawkowski określił atak jako „największy atak na sektor energetyki w ostatnich latach, który mógł spowodować blackout” w Polsce. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩ ↩2

  4. Atak na sektor energetyczny w grudniu 2025 roku okazał się bardziej złożony niż pierwotnie sądzono, obejmując dodatkowe zdarzenie w drugiej elektrociepłowni. — cert.pl › uzupelnienie rapotu incydent sektor energii 2025 ↩

  5. Równolegle do wcześniej opisywanych ataków, miał miejsce incydent w mniejszej elektrociepłowni dostarczającej ciepło dla 50 tys. mieszkańców. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2 ↩3 ↩4

  6. W tym samym czasie co inne ataki, doszło do incydentu w mniejszej elektrociepłowni dostarczającej ciepło dla 50 tys. odbiorców. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩ ↩2

  7. Śledztwo dotyczące incydentu trwało ponad trzy miesiące. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2 ↩3 ↩4

  8. Odkryto nieobserwowany dotychczas wektor ataku w postaci prywatnego APN. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩

  9. Cyberatak na sektor energetyczny w Polsce w grudniu 2025 roku był pierwszym, którego cel był wyłącznie destrukcyjny. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2

  10. Wykorzystanie dostępu do sieci OT za pomocą prywatnego APN było pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2

  11. Analiza incydentu w drugiej elektrociepłowni jest zawarta w raporcie opublikowanym przez CERT Polska. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩

  12. Dalsze analizy doprowadziły do powstania raportu uzupełniającego, opisującego szczegóły wykorzystania prywatnego APN i działań atakującego w sieci drugiej elektrociepłowni. — gov.pl › raport uzupelniajacy na temat incydentu w sektor… ↩ ↩2

  13. W styczniu 2026 roku CERT Polska opublikował szczegółowy raport opisujący cyberatak na infrastrukturę sektora energii w Polsce. — gov.pl › raport uzupelniajacy na temat incydentu w sektor… ↩ ↩2 ↩3

  14. 29 grudnia około godziny 7:00 doszło do ataku na systemy automatyki w mniejszej elektrociepłowni. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩

  15. W wyniku ataku doszło do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩

  16. Zatrzymanie turbiny parowej i stacji uzdatniania wody doprowadziło do przerwania kogeneracji (skojarzonej produkcji energii elektrycznej i cieplnej). — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩

  17. Dzięki szybkiej reakcji obsługi elektrociepłowni incydent spowodował jedynie krótkotrwały przestój i nie doprowadził do przerw w dostawach ciepła. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩ ↩2

  18. Przestój był krótkotrwały i nie doprowadził do przerw w dostawie ciepła do mieszkańców dzięki szybkiej reakcji personelu obiektu. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩ ↩2

  19. Atakujący prowadzili działania ze sterownika WAG PFC200 z wbudowanym modemem komórkowym. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩

  20. Sterownik WAG PFC200 służył do komunikacji z systemami operatora sieci dystrybucyjnej (OSD) i miał kartę SIM działającą w wydzielonej, prywatnej sieci transmisji danych (prywatny APN). — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩

  21. Wykorzystanie dostępu do sieci OT za pomocą prywatnego APN było według wiedzy CERT Polska pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku. — cyberdefence24.pl › zhakowano polska elektrocieplownie tropy prowadz… ↩

  22. Marcin Dudek, kierownik CERT Polska, opowiada o szczegółach incydentu na konferencji DEF CON w Las Vegas. — cert.pl › uzupelnienie raportu incydent sektor energii 202… ↩