Ataque inédito a rede OT explorou parque eólico e APN celular privada
O CERT Polska divulgou um relatório complementar sobre um ataque cibernético raro e tecnicamente sofisticado, ocorrido em 29 de dezembro de 2025, contra uma usina de cogeração na Polônia. A instalação atende uma região com cerca de 50 mil habitantes e, embora o ataque tenha derrubado temporariamente uma turbina a vapor e o sistema de tratamento de água, não houve interrupção efetiva no fornecimento de eletricidade ou aquecimento aos consumidores, de acordo com o relatório oficial.
A investigação, conduzida ao longo de mais de três meses pela equipe CSIRT NASK, trouxe à tona um vetor de ataque sem precedentes: o uso de uma rede celular privada, por meio de um APN (Access Point Name) corporativo, como caminho para acessar diretamente uma rede de tecnologia operacional (OT). Essa abordagem combinou vulnerabilidades em dispositivos de rede, falhas de configuração e credenciais fracas para atravessar, com sucesso, diferentes camadas de infraestrutura crítica.
Segundo o CERT Polska, o atacante explorou um APN privado gerenciado pelo Operador do Sistema de Distribuição (DSO) e conseguiu se movimentar lateralmente a partir de um parque eólico até a usina de cogeração. De acordo com o documento, trata-se, até onde se tem registro, do primeiro caso observado em um incidente real no qual uma rede OT é comprometida especificamente via APN privado de rede celular.
Cadeia de ataque: da eólica à usina
O ponto inicial da intrusão foi um parque eólico conectado à mesma infraestrutura do DSO. No local, um dispositivo FortiGate, atuando como firewall e concentrador VPN, foi comprometido. A interface VPN do equipamento estava exposta à internet e aceitava contas sem autenticação multifator, o que facilitou a escalada de privilégios. O invasor obteve acesso administrativo ao FortiGate e passou a enxergar os demais ativos conectados ao ambiente da eólica.
Durante o movimento de exploração interna, o atacante localizou um roteador celular Teltonika RUTX50 inserido na rede do parque eólico. Esse roteador era responsável por estabelecer a conexão com o APN privado do DSO, servindo como ponte entre a infraestrutura da eólica e o backbone celular utilizado para comunicação com outros ativos de rede industrial.
A interface administrativa do RUTX50 estava acessível, e o atacante a utilizou para criar um túnel SSH através do APN privado. O relatório aponta que a senha padrão do equipamento havia sido trocada durante a instalação, como boa prática recomendada, mas os analistas não puderam determinar de que forma a nova senha foi obtida. Não foi possível concluir se houve exploração de alguma vulnerabilidade específica no dispositivo ou se a credencial vazou por outros meios (engenharia social, reuso de senhas ou má gestão de acessos).
Exploração do APN e descoberta de ativos industriais
A partir de 18 de dezembro, com o túnel já estabelecido através do APN, o invasor iniciou varreduras na rede à procura de serviços acessíveis. Entre os alvos mapeados estavam VNC, HTTP e protocolos industriais amplamente utilizados em ambientes de automação, como S7 (da Siemens) e Modbus.
Nessa fase de reconhecimento, o agressor identificou um controlador WAGO PFC200 na usina de cogeração, acessível diretamente pelo APN. Esse controlador expunha uma interface web administrativa protegida apenas por credenciais padrão, que nunca haviam sido alteradas desde a implantação. Aproveitando essa fragilidade básica, o atacante autenticou-se no painel web do WAGO, ativou o serviço SSH no dispositivo e, a partir daí, criou outro túnel seguro, agora ligando o controlador diretamente à rede OT interna da usina.
Entre 18 e 25 de dezembro, o invasor utilizou esses túneis para mapear detalhadamente a topologia, os dispositivos e os serviços disponíveis na rede industrial da usina. Foram observadas varreduras sistemáticas, tentativas de conexão a equipamentos e, por fim, acessos bem-sucedidos a três controladores Siemens: S7‑300, S7‑1200 e S7‑1500. Essa etapa é interpretada pelo CERT Polska como preparação cuidadosa para uma ação destrutiva coordenada.
Ação destrutiva e paralisação de sistemas
No dia 29 de dezembro, por volta de 5h30, o atacante colocou em prática a fase final do plano. Os três controladores Siemens identificados foram colocados em modo STOP, procedimento que interrompe a execução lógica de controle, e em seguida foram protegidos por senha. Esse ato levou ao desligamento imediato da turbina a vapor e do sistema de tratamento de água da usina, comprometendo a operação normal da cogeração.
Em paralelo, o invasor mirou em outros dispositivos essenciais para a comunicação industrial. Sete servidores seriais Moxa e três switches foram restaurados às configurações de fábrica, tiveram senhas alteradas e receberam endereços IP configurados para valores inacessíveis no contexto da rede, incluindo endereços como 127.0.0.1. Isso criou um cenário de caos operacional, dificultando a reconexão e a reconfiguração remota dos ativos.
O CERT Polska avalia, com alto grau de confiança, que essa etapa foi executada de forma automatizada, provavelmente por meio de scripts ou ferramentas desenvolvidas especificamente para operar em série sobre os dispositivos descobertos durante o reconhecimento.
Destruição de evidências e complexidade forense
Após atingir o objetivo de interromper a operação dos sistemas críticos, o agressor voltou-se à eliminação de vestígios. A tabela de partições do controlador WAGO foi deliberadamente corrompida, impedindo o boot do equipamento e comprometendo os registros de logs que poderiam esclarecer em detalhes o que foi feito e de que forma.
O roteador Teltonika RUTX50 e o próprio FortiGate também foram resetados para as configurações de fábrica. Essa decisão teve dois efeitos diretos: por um lado dificultou drasticamente o trabalho dos investigadores, que perderam dados de configuração e histórico de eventos; por outro, indicou um grau de conhecimento técnico consistente sobre como remover rastros em diferentes camadas – da rede celular ao perímetro VPN e à camada OT.
Essa combinação de sabotagem operacional com destruição sistemática de evidências reforça a hipótese de que não se tratava de um ataque oportunista, mas sim de uma operação planejada, com entendimento profundo das tecnologias envolvidas e das rotinas de resposta a incidentes.
Falhas de arquitetura: o papel do APN e da falta de segmentação
Um dos pontos centrais destacados pelo relatório é o papel do APN privado na ampliação da superfície de ataque. Em muitos ambientes industriais, redes celulares privadas são vistas, equivocadamente, como intrinsecamente seguras por não estarem diretamente expostas à internet pública. No entanto, o caso polonês mostra que, se o APN não for devidamente segmentado e tratado como uma rede potencialmente hostil, ele pode se transformar em um corredor direto para ativos extremamente sensíveis.
No incidente analisado, o APN não possuía isolamento adequado entre diferentes clientes ou segmentos – o que permitiu que, a partir do parque eólico, o invasor transitasse até a usina de cogeração. Na prática, o APN funcionou como uma grande LAN espalhada sobre infraestrutura de rede celular, sem a granularidade de segurança indispensável quando se fala em OT e infraestruturas críticas.
Além disso, a coexistência, nessa mesma malha, de dispositivos com configurações frágeis (interfaces administrativas expostas, credenciais padrão, serviços não utilizados ativos) ampliou as oportunidades de movimentação lateral. O caso evidencia que a segurança de uma rede industrial não depende apenas de firewalls ou de soluções de perímetro, mas de decisões de arquitetura coerentes, que considerem cada elo da cadeia de comunicação.
Recomendações do CERT Polska para ambientes com APN privado
Diante das descobertas, o CERT Polska emitiu um conjunto de recomendações voltadas às organizações que fazem uso de APNs privados para conectar ativos industriais ou infraestruturas de missão crítica. Entre as principais orientações, destacam-se:
– realizar auditorias periódicas da configuração do APN, validando regras de roteamento, filtragem e segmentação;
– habilitar isolamento rigoroso entre clientes e entre diferentes segmentos de rede, evitando que um dispositivo comprometido em um local sirva de ponte para outras instalações;
– tratar o APN como uma rede não confiável, e não como uma extensão interna segura, aplicando os mesmos princípios de defesa em profundidade já previstos para a internet pública;
– restringir ao máximo a comunicação entre a rede OT e o gateway do APN, permitindo apenas os fluxos estritamente necessários para a operação;
– implementar monitoramento centralizado de tráfego e de eventos de segurança, de modo a detectar varreduras, acessos anômalos e tentativas de movimentação lateral;
– reduzir o número de interfaces administrativas expostas (HTTP, SSH, VNC, entre outras), preferindo acessos via jump servers controlados e protegidos por múltiplos fatores de autenticação;
– alterar imediatamente todas as credenciais padrão de equipamentos industriais e de rede, adotando políticas de senhas fortes e, sempre que possível, autenticação multifator para acessos remotos.
O relatório enfatiza que, se a rede permanecer fora do controle direto da organização – especialmente quando a equipe responsável não tem influência sobre sua configuração nem visibilidade sobre os mecanismos de segurança ativos -, essa infraestrutura deve ser tratada como externa e com nível de confiança equivalente ao da internet pública. Em outras palavras, o fato de um meio de comunicação ser “privado” do ponto de vista do provedor não o torna automaticamente seguro do ponto de vista de segurança cibernética.
Lições para empresas com ambientes OT e redes celulares privadas
Para organizações que usam redes celulares privadas em parques solares, eólicos, subestações, estações de bombeamento ou mesmo em linhas de produção remotas, o caso polonês oferece lições práticas:
1. Nunca presumir confiança baseada apenas no meio de transporte. APNs, MPLS, redes dedicadas e VPNs corporativas devem ser protegidas e segmentadas como qualquer outra malha de comunicação.
2. Integração entre times de TI, OT e telecom. Falhas de segurança surgem, muitas vezes, da falta de alinhamento entre responsáveis por redes móveis, responsáveis por automação industrial e equipes de segurança da informação. A arquitetura precisa ser discutida em conjunto.
3. Hardening de dispositivos de borda. Roteadores celulares, firewalls, gateways industriais e PLCs devem passar por um processo sistemático de hardening: desativar serviços desnecessários, trocar credenciais padrão, limitar interfaces de administração e manter firmware atualizado.
4. Monitoramento de tráfego OT e de redes móveis. Ferramentas de detecção de anomalias específicas para protocolos industriais, aliadas a visibilidade sobre o tráfego no APN, podem identificar movimentos suspeitos antes que o atacante atinja a fase destrutiva.
5. Planos de resposta e recuperação focados em OT. O episódio mostrou o impacto de resets para configuração de fábrica e da alteração de IPs. Empresas devem ter documentação atualizada de configurações, imagens de backup de dispositivos e procedimentos claros para reconfiguração rápida em caso de sabotagem.
O papel da segurança por design em projetos de energia e infraestrutura crítica
Projetos de geração e distribuição de energia, especialmente aqueles que envolvem plantas distribuídas como parques eólicos e solares, tendem a incorporar conectividade móvel e remota desde o início. Porém, essa conectividade, se não for pensada desde a fase de projeto com foco em segurança, acaba herdando decisões frágeis que se perpetuam por todo o ciclo de vida da instalação.
Incluir requisitos de segurança por design significa discutir, desde o desenho inicial: quais redes existirão, como serão segmentadas, quem terá acesso remoto, quais serão os mecanismos de autenticação, como será feito o monitoramento, quais serviços realmente precisam estar abertos e quais podem ser desativados. A ausência dessa visão arquitetural leva a cenários nos quais um único ponto fraco – como um VPN sem MFA ou um roteador com painel acessível e senha previsível – se converte em porta de entrada para todo o ambiente OT.
Cultura de segurança e governança sobre terceiros
Outro aspecto implícito no caso é a relação com terceiros: operadores de rede celular, integradores de sistemas, fornecedores de equipamentos e empresas de manutenção. Em ambientes industriais complexos, é comum que diferentes parceiros compartilhem responsabilidade sobre trechos da infraestrutura, o que pode criar zonas “cinzentas” de governança.
Para reduzir riscos, é fundamental que contratos e acordos de nível de serviço incluam cláusulas objetivas sobre requisitos de segurança, padrões mínimos de configuração, processos de atualização de firmware e mecanismos de auditoria. O operador do APN, por exemplo, precisa oferecer não apenas conectividade, mas também transparência e controles que permitam ao cliente aplicar políticas de segurança consistentes com as exigências de um ambiente OT crítico.
Conclusão: APN não é sinônimo de segurança
O ataque à usina de cogeração polonesa expôs de forma contundente como a combinação de um APN privado sem isolamento adequado, dispositivos com credenciais fracas e falta de monitoramento específico em OT pode abrir caminho para um incidente grave. Ainda que, nesse caso, o fornecimento de energia e calor à população não tenha sido interrompido, a técnica demonstrada amplia o repertório de ameaças contra infraestruturas críticas.
Organizações que dependem de redes celulares privadas e de controladores industriais conectados precisam rever urgentemente suas arquiteturas, políticas e práticas operacionais. Tratar o APN como uma rede externa, segmentar rigorosamente ambientes, eliminar senhas padrão e investir em visibilidade e resposta a incidentes em OT deixa de ser recomendação abstrata e passa a ser condição mínima para evitar que um vetor inédito hoje se transforme em padrão de ataque amanhã.