Polônia: APN celular vira rota inédita para sabotagem de OT

O incidente em questão é o segundo ataque divulgado da campanha de dezembro de 2025 contra a infraestrutura energética polonesa — e o mais tecnicamente relevante. O primeiro relatório, de janeiro de 2026, cobriu os ataques a 30 parques eólicos e solares e a uma grande usina CHP. Este segundo caso, envolvendo uma usina menor que abastece cerca de 50 mil habitantes, ficou fora do relatório inicial porque a investigação levou mais de três meses para ser concluída.

O vetor técnico é o que torna este caso singular. O atacante não precisou penetrar o firewall da usina — ele nunca esteve no caminho. O ponto de entrada foi um FortiGate operando como firewall e concentrador VPN em um parque eólico, com a interface VPN exposta à internet e sem autenticação multifator. Uma vez dentro, o atacante encontrou um roteador celular Teltonika RUTX50 com duas conexões: um link serial para equipamentos de rede elétrica (exigência do operador de distribuição) e uma porta Ethernet integrada à rede interna comprometida — combinação que o próprio operador nunca restringiu. A partir do Teltonika, o atacante abriu um túnel SSH para o APN privado do Operador do Sistema de Distribuição (DSO). O APN foi configurado sem isolamento entre clientes, permitindo que qualquer dispositivo conectado alcançasse qualquer outro. O atacante varreu a rede entre 18 e 25 de dezembro, localizou um controlador WAGO PFC200 na usina CHP com a interface web exposta no APN e protegida por credenciais padrão de administrador, autenticou, habilitou SSH e criou um túnel para o ambiente OT interno da usina.

O resultado operacional foi a colocação dos PLCs em modo STOP e a proteção com senha que impediu a reverter o estado — desligando a turbina a vapor e o sistema de tratamento de água de processo. A equipe da usina restaurou os sistemas com rapidez suficiente para evitar interrupção no fornecimento de calor à população. O incidente foi registrado inicialmente como erro de empreiteiro, não como ataque, o que retardou a resposta e quase eliminou a janela forense.

A limpeza forense foi sistemática e deliberada: reset de fábrica do Teltonika com IP redirecionado para 127.0.0.1 (impedindo reconfiguração), reset do FortiGate (destruindo seus logs) e corrupção da tabela de partições do WAGO PFC200. A única razão pela qual a cadeia de ataque pôde ser reconstruída é uma peculiaridade de firmware: versões do RutOS anteriores à 7.07 retinham a base de dados de eventos após reset de fábrica. Os logs de SSH do Teltonika sobreviveram exatamente por isso.

A atribuição é o ponto mais contestado. Para o incidente específico desta usina, o CERT Polska não nomeou um ator. Para a campanha mais ampla de dezembro de 2025, há quatro avaliações públicas divergentes: ESET atribui ao Sandworm (GRU) com confiança média, baseando-se na análise do wiper DynoWiper; Dragos atribui ao Electrum (relacionado ao Sandworm) também com confiança moderada; CERT.PL conecta a infraestrutura ao Static Tundra (FSB Centro 16, também rastreado como Berserk Bear/Ghost Blizzard/Dragonfly), que é tipicamente associado a reconhecimento e espionagem, não destruição. A divisão entre GRU e FSB pode refletir colaboração entre serviços russos, dificuldade de separar infraestrutura compartilhada, ou simplesmente os limites da evidência disponível. O que não está em disputa: a natureza destrutiva e o nexo russo-estatal da campanha maior.

Há um contexto regulatório que agrava a situação: dez dias antes da publicação do relatório do CERT Polska, o FBI e a EPA emitiram um aviso conjunto recomendando APN privado como arquitetura de isolamento para acesso remoto a OT no setor de água. A revelação do vetor polonês torna esse conselho diretamente problemático — não porque APN privado seja intrinsecamente inseguro, mas porque a recomendação federal não especificou que isolamento entre clientes é condição sine qua non para que a arquitetura tenha qualquer valor de segurança. Organizações que migraram para APN privado seguindo a orientação federal nessa janela de dez dias podem ter adotado uma configuração cuja vulnerabilidade central acabou de ser demonstrada publicamente.

O impacto operacional imediato foi contido: turbina a vapor e sistema de tratamento de água desligados por período curto, sem interrupção de calor ou eletricidade para os 50 mil habitantes abastecidos pela usina. O impacto estratégico é maior. O CERT Polska confirmou que a configuração de APN sem isolamento entre clientes era comum em organizações polonesas e estimou uso semelhante em outros países. O incidente demonstra que qualquer instalação industrial — parque eólico, usina termelétrica, estação de tratamento de água, manufatura — que compartilhe um APN privado com outra organização sem isolamento entre clientes está potencialmente exposta ao mesmo vetor de pivô lateral. O aviso FBI/EPA de 30 de julho de 2026, que recomendou APN privado como medida de isolamento para OT celular, precisa ser revisado à luz desta evidência.