Niedawno CERT opublikował raport z wnioskami z cyberataku na infrastrukturę energetyczną, jaki miał miejsce 29.12.2025 roku. Czy rzeczywiście byliśmy o włos od katastrofy? CERT zapewnia, że nawet gdyby atak w pełni się powiódł, objąłby 30 obiektów co, według autorów raportu, nie wpłynęłoby na stabilność polskiego systemu elektroenergetycznego. I choć to prawda, to po lekturze raportu trudno oprzeć się jednej refleksji - że temu atakowi można było niskimi nakładami pracy zapobiec. Przyjrzyjmy się co realnie umożliwiło atak.

1.Domyślne hasła w urządzeniach

Sterowniki RTU oraz kontrolery Mikronik działały z domyślnymi kontami („default”) i hasłami producenta. Pozwoliło to atakującym zalogować się do paneli webowych, a następnie: wgrać zmodyfikowany firmware, doprowadzić do awarii urządzeń objawiającej się ciągłymi restartami. Co istotne - urządzenia posiadały funkcję „secure update”, ale nie była ona włączona. Dodatkowo istniała znana podatność umożliwiająca obejście tej ochrony, usunięta w wersji 13.7.7 firmware.

2. Dostęp root przez SSH i brak separacji

W przypadku urządzeń Mikronik umożliwiono: logowanie przez SSH, dostęp do konta root systemu Linux przy użyciu domyślnych haseł. Efekt?
Usunięcie krytycznych plików systemowych i trwałe wyłączenie urządzeń. Podobnie w urządzeniach Hitachi - dostęp do serwera FTP z domyślnymi poświadczeniami pozwolił na usunięcie plików systemowych i unieruchomienie sprzętu.

3. Komputery z Windows I konta administracyjne

Dostęp do jednego z komputerów uzyskano przy użyciu hasła ustawionego jeszcze podczas wdrożenia systemu. System: Windows 10, konto typu lokalny administrator.
Po przejęciu maszyny:
- zmieniono konfigurację firewalla,
- przygotowano środowisko pod dalszy atak,
- podjęto próbę uruchomienia malware (Source.exe), którego celem było losowe nadpisywanie danych na dysku.

4. Urządzenia Moxa i „fabryczne” ustawienia

W przypadku urządzeń Moxa wykorzystano domyślne konta i publicznie dostępny interfejs webowy.
Doprowadziło to do:
- przywrócenia ustawień fabrycznych,
- zmiany haseł,
- czasowej niedostępności i utrudnionego przywracania działania.
Co istotne - to nie był atak „z dnia na dzień”. Raport jasno pokazuje, że przygotowania trwały od marca do lipca 2025 roku. Już wtedy uzyskano dostęp do komputera w sieci, a następnie kontrolera domeny. To był proces, nie incydent jednorazowy.

Wnioski?

Ten atak pokazuje, że często nie brakuje nam zaawansowanych technologii, tylko podstawowej higieny bezpieczeństwa.
Wystarczyło:
- NIGDY nie używać domyślnych haseł,
- nie wystawiać paneli zarządzania, SSH, FTP do Internetu,
- regularnie aktualizować systemy i firmware,
- monitorować logowania i uprawnienia, szczególnie kont administracyjnych.
Cyberbezpieczeństwo bywa uciążliwe - to fakt. Ale ten raport idealnie pokazuje, że niewielkie, często darmowe zmiany w konfiguracji i procedurach mogą realnie ochronić infrastrukturę krytyczną przed poważnymi konsekwencjami. I to jest chyba najważniejsza lekcja z tego incydentu.

Raport jest dostępny pod adresem: https://cert.pl/posts/2026/01/raport-incydent-sektor-energii-2025/