Nel dicembre 2025 il settore energetico polacco è stato bersaglio di uno degli attacchi più distruttivi mai documentati contro le infrastrutture energetiche europee: una trentina di impianti eolici e fotovoltaici e una grande centrale di cogenerazione colpiti nello stesso giorno, apparecchiature di comunicazione disabilitate, dispositivi OT corrotti e sistemi Windows cancellati. A distanza di mesi, un rapporto di follow-up di CERT Polska aggiunge un capitolo rimasto fuori dalla ricostruzione iniziale: il 29 dicembre è stata sabotata anche una seconda centrale termoelettrica, più piccola, che fornisce calore a circa 50.000 abitanti. L'analisi ha richiesto oltre tre mesi, e spiega perché l'episodio merita attenzione ben oltre i confini polacchi: è il primo caso documentato al mondo di un attacco che raggiunge una rete OT attraverso una APN privata, la rete mobile dedicata che l'operatore di distribuzione locale utilizzava per collegare i propri impianti.

La catena d'attacco, passo per passo

La ricostruzione di CERT Polska descrive un percorso lungo e paziente. Il punto d'ingresso è stato un firewall/VPN FortiGate esposto su internet presso un parco eolico. Da lì gli attaccanti — che le autorità collegano al gruppo Electrum, ritenuto vicino ai servizi russi — hanno individuato sulla stessa rete un router cellulare Teltonika e ne hanno raggiunto l'interfaccia di amministrazione, usandolo come ponte per entrare nella APN privata gestita dal distributore di energia.

Qui è emerso l'errore di configurazione decisivo: la APN non prevedeva alcun isolamento tra i client. Qualsiasi dispositivo connesso poteva comunicare con qualsiasi altro, trasformando una rete pensata come "privata" in una dorsale di movimento laterale tra impianti diversi. A partire dal 18 dicembre gli attaccanti hanno scansionato la rete e trovato, presso la centrale di cogenerazione, un PLC WAGO PFC200 con l'interfaccia web esposta sulla APN e protetta dalle credenziali di amministrazione predefinite. Compromesso il controllore, hanno abilitato SSH e lo hanno usato come testa di ponte verso la rete OT dell'impianto. Nella settimana successiva hanno mappato i sistemi SCADA e il 25 dicembre si sono connessi a tre PLC Siemens, preparando il terreno.

Alle 5:30 del 29 dicembre è scattata la fase distruttiva: accesso all'interfaccia SCADA, PLC Siemens portati in modalità STOP e bloccati con una password, turbina a vapore e impianto di trattamento dell'acqua di processo fermati, con l'interruzione della cogenerazione. Per ostacolare il ripristino e l'analisi forense, gli attaccanti hanno inoltre resettato e riconfigurato diversi dispositivi Moxa e corrotto o azzerato il controllore WAGO, il router Teltonika e il FortiGate usati lungo l'intrusione, distruggendo i log. Il personale dell'impianto è riuscito a rimettere in servizio i sistemi rapidamente e l'interruzione non ha avuto effetti sulla popolazione — ma l'intento di sabotaggio era evidente.

La APN privata non è una rete fidata

Il punto centrale del rapporto non riguarda la Polonia: riguarda un'architettura diffusissima. Le APN private sono accordi tra un'azienda e un operatore mobile per creare una rete cellulare dedicata: SIM M2M nei router industriali, traffico separato da internet, percezione di sicurezza intrinseca. CERT Polska osserva che configurazioni simili a quella violata erano comuni in Polonia al momento dell'attacco e che, con ogni probabilità, lo sono anche a livello internazionale. La percezione si regge però su un equivoco: "privato" significa separato da internet, non che i dispositivi connessi siano affidabili. Se manca l'isolamento tra client, basta compromettere il nodo più debole — un router in un parco eolico periferico — per raggiungere ogni impianto collegato.

Cosa significa per le aziende italiane

Per il sistema italiano questo precedente è tutt'altro che teorico. Le APN private con SIM M2M sono lo standard de facto del telecontrollo nel nostro paese: le usano i distributori di energia per le cabine secondarie, le multiutility per acquedotti e reti gas, i gestori di impianti fotovoltaici ed eolici distribuiti sul territorio. Sono spesso reti nate anni fa per esigenze di connettività, non di sicurezza, amministrate in parte dall'operatore telefonico e in parte da fornitori di automazione: esattamente la zona grigia di responsabilità in cui gli errori di configurazione sopravvivono per anni. E gli ingredienti dell'attacco polacco — credenziali predefinite sui PLC, interfacce di amministrazione raggiungibili dalla rete geografica, assenza di segmentazione tra siti — sono ricorrenti anche negli audit OT condotti in Italia.

C'è poi il piano normativo. Le utility energetiche e idriche rientrano tra i soggetti essenziali NIS2 (D.lgs. 138/2024): un incidente come quello descritto farebbe scattare il preallarme al CSIRT Italia entro 24 ore e la notifica entro 72, e le misure di sicurezza di base richieste da ACN toccano proprio gestione delle credenziali, segmentazione e protezione degli accessi remoti — ne abbiamo parlato nella guida alla NIS2. Per gli operatori inseriti nel Perimetro di Sicurezza Nazionale Cibernetica gli obblighi sono ancora più stringenti. Un'architettura di telecontrollo che consente il movimento laterale tra impianti attraverso la APN difficilmente reggerebbe una verifica ispettiva condotta dopo un incidente.

Cosa fare subito

  • Censire le APN private e le SIM M2M in uso: quali impianti collegano, chi le amministra, quali dispositivi sono raggiungibili e da chi.
  • Richiedere all'operatore mobile l'isolamento tra i client della APN e verificare che sia effettivo; consentire solo il traffico necessario verso i sistemi centrali, con liste di autorizzazione esplicite.
  • Trattare la APN come una rete esterna non fidata: firewall e autenticazione tra rete mobile e rete OT, mai un accesso diretto ai sistemi di controllo.
  • Eliminare le credenziali predefinite su PLC, router cellulari e dispositivi di campo; disabilitare i servizi di amministrazione esposti (HTTP, SSH, Telnet) dove non indispensabili.
  • Centralizzare i log fuori dai dispositivi: nell'attacco polacco la distruzione dei log su firewall, router e PLC ha rallentato l'analisi; un syslog remoto l'avrebbe preservata.
  • Esercitarsi al ripristino: la centrale ha limitato i danni perché il personale ha saputo rimettere in servizio i sistemi in tempi brevi.

L'attacco del 29 dicembre non ha lasciato al freddo 50.000 persone per una combinazione di prontezza operativa e fortuna. La lezione per chi gestisce impianti distribuiti è chiara: la prossima rete da includere nel perimetro delle verifiche è proprio quella che finora si è dato per scontato fosse sicura.