Hackers exploram rede celular privada para invadir usina de cogeração na Polônia e desligar turbina a vapor
Hackers conseguiram comprometer sistemas de controle industrial de uma usina de cogeração na Polônia ao explorar uma rede celular privada usada para comunicação com equipamentos remotos. A invasão permitiu que o grupo desativasse uma turbina a vapor e interrompesse o sistema de tratamento de água de processo, afetando diretamente a operação interna da planta, que é responsável por fornecer aquecimento a cerca de 50 mil moradores da região.
A recuperação parcial dos sistemas começou por volta das 7h30, em um momento em que os atacantes ainda mantinham presença ativa na rede da usina. Apesar da gravidade do incidente e do impacto sobre equipamentos críticos, não houve interrupção no fornecimento de eletricidade nem falhas perceptíveis no aquecimento residencial para os consumidores finais, graças a procedimentos de contingência e redundância operacional existentes.
Os detalhes do ataque foram divulgados pelo CERT Polska em 8 de agosto, após mais de três meses de análise técnica. O incidente havia ocorrido em dezembro de 2025 e só foi explicado em profundidade após extensa investigação. Em janeiro, o primeiro-ministro da Polônia já havia revelado que duas usinas de cogeração tinham sido atacadas; o caso agora detalhado representa o segundo episódio com informações completas tornadas públicas.
A porta de entrada para os invasores foi um APN privado (Access Point Name), ou seja, uma rede de dados celular dedicada administrada pelo operador do sistema de distribuição de energia. Uma configuração inadequada, que permitia comunicação direta entre qualquer dispositivo conectado a esse APN, acabou abrindo caminho para que os hackers se movimentassem lateralmente: partiram de uma rede comprometida em um parque eólico e alcançaram, a partir daí, um controlador localizado dentro da infraestrutura da usina de cogeração.
De acordo com o CERT Polska, este é, até onde se tem notícia, o primeiro caso documentado em que o acesso a uma rede de controle industrial é obtido por meio de um APN celular privado em um ataque real. O parque eólico e a usina atingida operam de forma independente, sem vínculo de administração entre si, e nenhuma das duas é responsável pela infraestrutura de rede celular que acabou conectando os ambientes e permitindo o movimento dos atacantes.
A equipe de investigação não conseguiu vincular o ataque a uma vulnerabilidade única e específica. Não foi possível, por exemplo, comprovar que alguma falha conhecida no roteador Teltonika tenha sido diretamente explorada, o que reforça a avaliação de que não há um simples patch de software capaz de eliminar por completo o vetor utilizado. Em vez disso, o cenário mostrou uma combinação de má configuração, credenciais fracas e ausência de segmentação adequada.
Entre os problemas identificados pelos analistas estava um controlador WAGO exposto na rede do APN, ainda configurado com credenciais administrativas padrão de fábrica. Somado a isso, a rede celular privada não contava com isolamento adequado entre os diferentes clientes, permitindo que um dispositivo comprometido pudesse alcançar outros equipamentos sensíveis sem grandes obstáculos. Por essa razão, a principal orientação publicada pelo CERT é revisar a configuração de APNs privados e ativar mecanismos de isolamento entre dispositivos.
Além disso, a entidade recomenda que operadores de infraestrutura crítica passem a tratar o APN como uma rede não confiável sob a ótica de tecnologia operacional (OT). Isso implica segmentar rigorosamente o tráfego, limitar comunicações somente ao estritamente necessário, remover serviços administrativos não essenciais das interfaces acessíveis via rede celular e substituir, com urgência, qualquer credencial padrão ou senha fraca ainda em uso.
Levantamentos realizados pelo CERT na Polônia indicam que muitas organizações que utilizam APNs privados adotam configurações permissivas, nas quais qualquer dispositivo conectado pode se comunicar livremente com os demais. A avaliação é que esse tipo de configuração não é exclusividade do país e provavelmente se repete em diversas regiões do mundo. No caso específico investigado, o serviço SSH do roteador, a interface web do controlador WAGO e a comunicação interna entre os dispositivos conectados ao APN estavam funcionando exatamente conforme configurado – o problema estava no desenho da rede e na falta de barreiras.
A cadeia de ataque começou em um parque eólico, onde um equipamento FortiGate desempenhava simultaneamente o papel de firewall e concentrador de VPN. A interface VPN estava exposta à internet e aceitava contas sem autenticação multifator. Uma vez diante desse cenário, o invasor obteve privilégios administrativos no dispositivo e, a partir disso, pôde provavelmente capturar credenciais de VPN com acesso amplo a praticamente todos os segmentos da rede do parque.
O operador de distribuição de energia exigia que a comunicação entre o parque eólico e a unidade terminal remota da subestação fosse realizada por meio do protocolo serial DNP3.0, um requisito que havia sido devidamente implementado. Porém, não existiam exigências igualmente rígidas em relação à interface administrativa do roteador celular. Essa interface estava ligada a uma segunda porta Ethernet, conectada a uma VLAN situada atrás do firewall FortiGate comprometido. Foi justamente essa ausência de controles equivalentes na camada administrativa que abriu espaço para o avanço do atacante.
O roteador utilizado era um Teltonika RUTX50, cuja senha padrão havia sido alterada durante a instalação, conforme as boas práticas recomendadas. Apesar disso, os investigadores encontraram registros de múltiplos logins SSH bem-sucedidos no equipamento. Não foi possível, entretanto, determinar com precisão como a senha foi obtida, se por ataque de força bruta, vazamento de credenciais, engenharia social ou algum outro vetor não identificado.
A revisão de vulnerabilidades publicamente conhecidas para esse modelo de roteador não apontou nenhuma falha capaz de expor a senha a um invasor sem autenticação prévia. As falhas CVE-2023-32349 e CVE-2023-32350, citadas em um alerta emitido em 2023 para dispositivos da linha RUT, exigem acesso privilegiado anterior para serem exploradas. A investigação, no entanto, não descarta a hipótese de uma vulnerabilidade ainda desconhecida (zero-day) ou não divulgada que possa ter sido aproveitada no contexto do ataque.
Registros fornecidos pela operadora móvel indicam que o atacante provavelmente utilizou tunelamento SSH através do roteador Teltonika para chegar até a rede do APN privado. A partir de 18 de dezembro, foram detectadas varreduras internas nessa rede, que culminaram na identificação de um controlador WAGO PFC200 com interface web administrativa exposta e ainda utilizando credenciais padrão. Isso tornou o equipamento um alvo imediato e de fácil exploração.
Atividades posteriores relacionadas ao protocolo SSH sugerem que o serviço pode ter sido habilitado diretamente pela interface web do controlador, após o comprometimento inicial. Cruzando os diferentes registros de log, os investigadores concluíram que o WAGO foi utilizado como um ponto de salto intermediário, permitindo ao invasor penetrar mais profundamente na rede OT da usina de cogeração. A partir desse ponto, o acesso a sistemas que controlavam a turbina a vapor e o tratamento de água de processo se tornou viável.
Em 25 de dezembro, já com o acesso consolidado e a persistência mantida em diversos equipamentos, o atacante executou comandos que levaram à parada da turbina a vapor e à interrupção temporária do sistema de tratamento de água de processo. A ação ocorreu de forma coordenada, sugerindo conhecimento prévio da arquitetura de controle da usina ou, pelo menos, um mapeamento cuidadoso realizado nos dias anteriores. As equipes locais de operação detectaram anomalias e iniciaram os procedimentos de emergência, o que contribuiu para evitar danos físicos mais graves aos equipamentos.
Os controladores industriais afetados foram gradualmente estabilizados, e a retomada das operações ocorreu de forma controlada para reduzir o risco de sobrecarga ou falhas em cascata. Mesmo sem impacto direto no fornecimento de energia e aquecimento à população, o episódio expôs fragilidades significativas na integração entre redes de dados, sistemas de telecomunicações e infraestrutura de missão crítica, acendendo um alerta para operadores de energia e órgãos reguladores.
O caso também evidencia uma mudança de foco dos atacantes, que passaram de vulnerabilidades tradicionalmente associadas apenas à TI para explorar pontos de integração entre TI, redes celulares e OT. O uso de um APN privado, que muitos operadores consideram intrinsecamente mais seguro por estar “fora da internet pública”, mostrou-se um elo fraco quando não há segmentação, autenticação robusta e revisão constante de configurações.
Para empresas que operam parques eólicos, usinas de cogeração, subestações e outras instalações críticas, o incidente traz lições práticas. É fundamental aplicar princípios de “zero trust” mesmo em redes consideradas privadas ou dedicadas, exigindo autenticação forte, revisando permissões de acesso e limitando a comunicação apenas ao que é estritamente necessário para o funcionamento operacional. Da mesma forma, qualquer interface de administração exposta, seja de roteadores celulares, controladores lógicos programáveis (CLPs) ou firewalls, deve ser protegida com múltiplos fatores de autenticação e monitoramento contínuo.
Outro ponto central é o abandono definitivo de credenciais padrão. A permanência de senhas de fábrica em controladores industriais, como no caso do WAGO, continua sendo uma porta de entrada recorrente em incidentes de segurança. A simples implementação de políticas rígidas de gestão de senhas – incluindo rotação periódica, complexidade mínima e armazenamento seguro – teria elevado significativamente a barreira para o atacante.
Do ponto de vista de gestão de risco, o episódio na Polônia reforça a necessidade de auditorias regulares em infraestruturas que utilizam APNs privados e redes celulares para integração de equipamentos remotos. Operadores devem exigir de fornecedores e integradores não apenas que “funcione”, mas que funcione de acordo com requisitos de segurança OT, incluindo segmentação, logs detalhados, capacidade de resposta a incidentes e testes de intrusão periódicos.
Também fica evidente a importância de integrar equipes de TI e OT na construção da estratégia de segurança. Muitas decisões de arquitetura, como a forma de conectar um parque eólico a uma usina por meio de APN, são tomadas com foco em disponibilidade e facilidade de operação, sem que todos os riscos cibernéticos sejam plenamente avaliados. A criação de fóruns internos entre engenheiros de automação, especialistas em redes e profissionais de segurança da informação pode antecipar problemas que hoje só aparecem quando já se transformaram em incidentes.
Por fim, o ataque destaca a necessidade de preparar planos de resposta específicos para cenários em que o agressor consegue interagir diretamente com sistemas físicos. Em ambientes industriais, não basta apenas “remover o malware” ou “fechar a VPN comprometida”: é preciso considerar consequências como desgaste prematuro de equipamentos, paradas bruscas de turbinas, choques térmicos em caldeiras e contaminação de linhas de água ou vapor. Simulações, exercícios práticos e treinamentos conjuntos entre operadores de planta e equipes de segurança são ferramentas essenciais para reduzir o impacto de futuros ataques com características semelhantes.
O incidente polonês, ao combinar redes celulares privadas, falhas de configuração, uso de credenciais fracas e acesso a controle industrial, representa um alerta concreto para o setor de energia e, em especial, para operadores de infraestrutura crítica que ainda tratam APNs e redes dedicadas como zonas automaticamente seguras. A mensagem central é clara: qualquer ponto de conexão, por mais especializado que pareça, precisa ser encarado como potencial vetor de ataque e protegido com o mesmo rigor aplicado a perímetros tradicionais de TI.