Van creuar d'un parc eòlic a la turbina d'una central per l'APN privada de l'operador

A dos quarts de sis del matí del 29 de desembre algú va entrar al SCADA d'una central de cogeneració polonesa i va posar els autòmats en mode STOP. La turbina de vapor es va aturar i el tractament d'aigua també. La central dona calor a uns 50.000 veïns. No hi havia arribat per internet ni per la xarxa corporativa de la central: hi havia arribat per la xarxa mòbil privada de l'operador de distribució, creuant des d'un parc eòlic amb el qual només compartia una cosa: la xarxa mòbil per la qual tots dos es connectaven.

CERT Polska va publicar l'anàlisi el 8 d'agost, després de més de tres mesos d'investigació. Val la pena llegir-lo sencer, però aquí interessa una frase concreta: l'atac va ser possible, entre altres factors, per «una configuració incorrecta que permetia que dispositius arbitraris dins de la xarxa APN privada es comuniquessin entre ells». I el que ho remata: aquesta mateixa configuració era, segons el mateix CERT, habitual a Polònia i probablement ho sigui en molts altres països. Val la pena situar el cas: aquesta és la segona instal·lació colpejada aquells dies. La campanya de desembre del 2025 va arribar a una trentena d'instal·lacions eòliques i fotovoltaiques i a una central de cogeneració gran; aquest informe va sobre la petita.

Què va passar, per ordre

La cadena comença en un lloc que no és la central. En un parc eòlic hi havia un FortiGate fent de tallafocs i concentrador de VPN, exposat a internet i amb comptes sense doble factor. L'atacant va aconseguir credencials de VPN amb privilegis administratius i va entrar. Fins aquí, res que no surti a qualsevol informe de resposta a incidents.

L'interessant és el pas següent. Dins d'aquella xarxa hi havia un router cel·lular industrial Teltonika RUTX50, dels que es posen per tenir connectivitat on no arriba la fibra o com a reserva. L'atacant va arribar al seu servei SSH i hi va muntar un túnel. Aquell túnel no donava a internet: donava a l'APN privada de l'operador de distribució —l'elèctrica que explota la xarxa de distribució de la zona, no l'operadora mòbil—, la xarxa mòbil que aquella elèctrica contracta a un operador per connectar el seu parc d'equips repartit per la comarca.

Des del 18 de desembre va estar escanejant aquella xarxa. Va trobar un controlador WAGO PFC200 amb la interfície web d'administració accessible i credencials d'administrador per defecte. Per allà va entrar a la xarxa OT de la central. El 25 de desembre ja feia connexions S7 correctes contra els autòmats Siemens. El 29 a les 5:30 va passar a la part destructiva: SCADA, PLC de les famílies S7-300, S7-1200 i S7-1500 en STOP i amb contrasenya posada, i set servidors sèrie Moxa i tres commutadors restaurats de fàbrica, amb la contrasenya canviada i adreces IP inabastables. Cap a les 7:30 la central va començar a recuperar-se mentre l'atacant encara era a dins. Els clients no es van quedar sense calor ni sense llum.

Un apunt d'honestedat abans de seguir: la cobertura hi posa dos noms, però no són dos grups. BleepingComputer anomena Electrum el grup que hi ha darrere de la campanya de desembre i SecurityWeek l'associa a Sandworm; MITRE ATT&CK llista Electrum com un dels àlies de Sandworm Team. D'aquesta segona intrusió, la de la central petita, ni l'informe ni la cobertura no en nomenen autor. I per al que ens importa tant se val: el camí hauria estat el mateix amb qualsevol nom a sobre.

«Privada» diu de qui és la factura, no qui pot arribar a tu

Una APN és, tècnicament, el nom que li diu a la xarxa mòbil a quina sortida ha de portar el trànsit d'una SIM. L'APN pública et porta a internet. Una APN privada et porta a una sortida diferent, normalment amb adreçament privat i, si ho has contractat, amb un enllaç cap a la teva xarxa corporativa. Això és tot el que significa.

Fixa't en el que no significa. No significa que la xarxa sigui teva. No significa que hi siguis sol. I, sobretot, dos dispositius connectats a aquella mateixa APN es poden veure l'un a l'altre mentre ningú no ho impedeixi. Que ho impedeixin és una configuració a part —de la banda de l'operador i, en part, del tallafocs del mateix router—, i en el cas polonès estava posada de la manera còmoda: tots amb tots. Sota la paraula «privada» hi viatgen dues propietats molt diferents —no soc a internet i ningú més no hi pot arribar— i la factura només et garanteix la primera.

El passadís que surt de l'armari del router

Quan algú audita un router 4G el que mira és la cara de fora: que l'administració no estigui publicada a internet, que la contrasenya no sigui la de l'adhesiu, que el microprogramari estigui al dia. Tot això està bé i s'ha de fer. Però aquí el Teltonika es va abordar des de la mateixa xarxa de l'emplaçament, després que caigués el tallafocs. El seu servei SSH estava disponible per a qui ja fos a dins, que és exactament la situació en què ningú no el mira.

Aquest és el canvi de perspectiva que demana aquest incident. Un router cel·lular en una nau, en una depuradora o en una botiga és també una ruta cap a una altra xarxa, i gairebé mai no està dibuixada com a tal. S'assembla força al problema dels BMC i IPMI exposats, aquells ordinadors dins de l'ordinador que gairebé ningú té inventariats; amb la diferència que aquí el que hi ha a l'altra banda no és el teu servidor, sinó el parc d'un altre. És un veí amb qui no has signat res: el mateix problema que ja vam veure a l'allotjament compartit, però amb la xarxa d'accés pel mig.

El veí de xarxa no surt a cap qüestionari de proveïdors

Els qüestionaris de tercers pregunten per proveïdors: qui et dona el programari, qui t'administra els servidors, qui té accés remot. I estan bé. Però a l'informe no hi ha rastre de cap relació comercial entre el parc eòlic i la central: són instal·lacions diferents i, com resumeix la cobertura del cas, cap de les dues administra la xarxa que les va unir. L'única cosa que compartien era el transport, contractat per separat amb el mateix operador. Això no es marca a cap casella, i tot i així les posava al mateix domini de xarxa.

Si estàs bregant amb les obligacions de cadena de subministrament —ho vam escriure fa unes setmanes a propòsit de la llei espanyola que transposa NIS2—, aquesta és una pregunta que no ve a la plantilla i que cal afegir a mà: amb qui comparteixo xarxa d'accés, i què em separa d'ell? És una pregunta de topologia que acaba en un document de compliment.

En marxar es va endur els registres

La part final de la cadena és la que més ens ha fet pensar. L'atacant va corrompre la taula de particions del WAGO que havia fet servir com a passarel·la, perquè el dispositiu no la pogués llegir, i va deixar el FortiGate i el Teltonika restaurats de fàbrica. És a dir: els tres equips que explicaven la història es van quedar muts, en la mateixa sortida.

Que un equip perimetral desi els seus propis registres i res més està bé mentre l'equip estigui sa. En el moment en què algú amb administració a sobre decideix esborrar-lo, aquell registre deixa d'existir amb dues ordres i no hi ha res a restaurar, perquè mai no hi va haver còpia. Un registre que només viu a l'equip que es pot comprometre dura el que duri l'equip. Enviar els syslog dels routers i tallafocs a un lloc que l'atacant no controla és la diferència entre poder reconstruir una intrusió i publicar un comunicat amb la paraula «presumptament».

Això no va només de centrals tèrmiques

És fàcil llegir aquesta història com una cosa d'infraestructura crítica i passar full. Però les APN privades són a moltíssims llocs que no són una central: l'enllaç 4G de reserva d'una delegació, les SIM de les càmeres d'una nau, el datalogger d'una planta fotovoltaica petita, els carregadors de vehicle elèctric d'un aparcament, la telemetria d'una flota, els TPV de les botigues de temporada. Gairebé cap d'aquestes empreses no ha vist mai la configuració de l'APN on són les seves targetes, i gairebé totes donen per fet que hi són soles.

I hi ha un matís que ens toca de prop perquè el veiem en dissenyar xarxes multiseu: l'enllaç mòbil de reserva es contracta pensant en disponibilitat. La conversa amb l'operador va de cobertura, de cabal i de quant triga a commutar. La pregunta de qui més és en aquella APN no surt, perquè no és una pregunta de disponibilitat. És la mateixa asimetria que explicàvem al post sobre SD-WAN: es compra pel que fa quan l'enllaç principal cau, i es descuida el pla pel qual s'administra.

El que cal preguntar a l'operador, i per escrit

I la prova, que val més que les cinc respostes juntes: agafa una SIM de la teva APN, posa-la en un portàtil i mira què contesta des d'allà. Un escombrat del rang amb nmap -sn i un intent de connexió als ports d'administració habituals et diu en vint minuts el que un correu amb el comercial no et dirà en dues setmanes. Si des d'aquella SIM arribes a equips que no són teus, ja tens la resposta. Si arribes a equips que sí que són teus però que creies aïllats, també. Un avís seriós: fes el descobriment i para aquí. Contra equips que no són teus no s'hi proven credencials ni s'hi toca res; això deixa de ser una prova de disseny i passa a ser un delicte. El que aparegui s'explica a l'operador per escrit.

Abans de demanar que ho aïllin tot divendres

L'aïllament entre dispositius no és gratis, i dir-ho forma part de donar un consell honest. Hi ha dissenys que depenen justament que dos equips de l'APN es parlin: una seu petita que arriba a una altra sense passar per la seu central, un tècnic que des de la seva SIM entra als armaris, un sistema de repetició de telemetria muntat fa anys per algú que ja no hi és. Si l'operador activa l'aïllament un divendres a la tarda perquè l'hi has demanat tu després de llegir una notícia, el dilluns tindràs una avaria que ningú no sabrà explicar.

L'ordre que a nosaltres ens funciona és el contrari: primer saber què parla amb què avui —això surt de la prova de la SIM i de mirar el trànsit, no de preguntar—, després escriure la llista curta de converses que han de continuar existint, i només llavors demanar l'aïllament amb aquestes excepcions. És més lent i és l'única manera perquè no acabi en una marxa enrere. I en paral·lel, el barat: treure de la interfície mòbil els serveis d'administració que no calen i canviar les credencials per defecte, que és el que a Polònia hauria tallat la cadena al WAGO.

La pregunta que ordena tot això

El que fa incòmode aquest cas no és la tècnica, que és senzilla, sinó que la peça que va fallar no l'administrava cap de les dues víctimes. Es pot tenir el tallafocs al dia, l'inventari fet i la segmentació dibuixada, i continuar tenint un camí obert per una xarxa que no surt al teu diagrama perquè és d'un altre. Hi ha una pregunta que gairebé ningú no té contestada per escrit: «per quins camins que jo no administro es pot arribar als meus equips, i qui més hi és?». Si ningú de la teva organització no la sap respondre avui, aquesta és la primera tasca, i no costa diners: costa una tarda i una SIM.

Fonts: informe de seguiment de l'incident del sector energètic del 29 de desembre de 2025, primer cas observat d'accés a una xarxa OT a través d'una APN privada, la configuració incorrecta que permetia la comunicació entre dispositius arbitraris de l'APN i el seu caràcter habitual a Polònia i en altres països — «Follow-Up Report of the December 2025 Energy Sector Incident», CERT Polska (8 d'agost de 2026). Cadena d'atac, FortiGate sense doble factor, router Teltonika RUTX50, controlador WAGO PFC200 amb credencials per defecte, famílies de PLC Siemens S7-300/1200/1500, servidors sèrie Moxa, hora d'accés al SCADA i recuperació amb l'atacant a dins — The Hacker News, BleepingComputer i Help Net Security. Corrupció de la taula de particions del WAGO, abast de la campanya de finals de desembre i atribució a Sandworm — SecurityWeek; BleepingComputer atribueix la campanya al grup Electrum, i no hem trobat a la cobertura una atribució explícita i tancada d'aquesta segona intrusió. No hem participat en aquesta investigació ni hem auditat cap de les instal·lacions citades: tot l'anterior prové de l'informe públic i de la seva cobertura. Imatge de capçalera: «Radio tower, Japan; May 2016 (02)», foto d'acopbc (Wikimedia Commons, CC0), retallada.