Cruzaron de un parque eólico a la turbina de una central por la APN privada del operador

A las cinco y media de la mañana del 29 de diciembre alguien entró en el SCADA de una central de cogeneración polaca y puso los autómatas en modo STOP. La turbina de vapor se paró y el tratamiento de agua también. La central da calor a unos 50.000 vecinos. No había llegado por internet ni por la red corporativa de la central: había llegado por la red móvil privada del operador de distribución, cruzando desde un parque eólico con el que solo compartía una cosa: la red móvil por la que ambos se conectaban.

CERT Polska publicó el análisis el 8 de agosto, después de más de tres meses de investigación. Merece la pena leerlo entero, pero aquí interesa una frase concreta: el ataque fue posible, entre otros factores, por «una configuración incorrecta que permitía que dispositivos arbitrarios dentro de la red APN privada se comunicasen entre ellos». Y lo que lo remata: esa misma configuración era, según el propio CERT, habitual en Polonia y probablemente lo sea en muchos otros países. Conviene situar el caso: esta es la segunda instalación golpeada aquellos días. La campaña de diciembre de 2025 alcanzó una treintena de instalaciones eólicas y fotovoltaicas y una central de cogeneración grande; este informe va sobre la pequeña.

Lo que pasó, por orden

La cadena empieza en un sitio que no es la central. En un parque eólico había un FortiGate haciendo de cortafuegos y concentrador de VPN, expuesto a internet y con cuentas sin doble factor. El atacante consiguió credenciales de VPN con privilegios administrativos y entró. Hasta aquí, nada que no salga en cualquier informe de respuesta a incidentes.

Lo interesante es el paso siguiente. Dentro de esa red había un router celular industrial Teltonika RUTX50, de los que se ponen para tener conectividad donde no llega la fibra o como respaldo. El atacante llegó a su servicio SSH y montó un túnel a través de él. Ese túnel no daba a internet: daba a la APN privada del operador de distribución —la eléctrica que explota la red de distribución de la zona, no la operadora móvil—, la red móvil que esa eléctrica contrata a un operador para conectar su parque de equipos repartido por la comarca.

Desde el 18 de diciembre estuvo escaneando esa red. Encontró un controlador WAGO PFC200 con la interfaz web de administración accesible y credenciales de administrador por defecto. Por ahí entró a la red OT de la central. El 25 de diciembre ya hacía conexiones S7 correctas contra los autómatas Siemens. El 29 a las 5:30 pasó a la parte destructiva: SCADA, PLC de las familias S7-300, S7-1200 y S7-1500 en STOP y con contraseña puesta, y siete servidores serie Moxa y tres conmutadores restaurados de fábrica, con la contraseña cambiada y direcciones IP inalcanzables. Sobre las 7:30 la central empezó a recuperarse mientras el atacante seguía dentro. Los clientes no se quedaron sin calor ni sin luz.

Un apunte de honestidad antes de seguir: la cobertura pone dos nombres, pero no son dos grupos. BleepingComputer llama Electrum al grupo detrás de la campaña de diciembre y SecurityWeek la asocia a Sandworm; MITRE ATT&CK lista Electrum como uno de los alias de Sandworm Team. De esta segunda intrusión, la de la central pequeña, ni el informe ni la cobertura nombran autor. Y para lo que nos importa da igual: el camino habría sido el mismo con cualquier nombre encima.

«Privada» dice de quién es la factura, no quién puede llegar a ti

Una APN es, técnicamente, el nombre que le dice a la red móvil a qué salida tiene que llevar el tráfico de una SIM. La APN pública te lleva a internet. Una APN privada te lleva a una salida distinta, normalmente con direccionamiento privado y, si lo has contratado, con un enlace hacia tu red corporativa. Eso es todo lo que significa.

Fíjate en lo que no significa. No significa que la red sea tuya. No significa que estés solo dentro. Y, sobre todo, dos dispositivos conectados a esa misma APN pueden verse el uno al otro mientras nadie lo impida. Que se lo impidan es una configuración aparte —del lado del operador, y en parte del cortafuegos del propio router—, y en el caso polaco estaba puesta de la manera cómoda: todos con todos. Debajo de la palabra «privada» viajan dos propiedades muy distintas —no estoy en internet y nadie más puede alcanzarme— y la factura solo te garantiza la primera.

El pasillo que sale del armario del router

Cuando alguien audita un router 4G lo que mira es la cara de fuera: que la administración no esté publicada a internet, que la contraseña no sea la de la pegatina, que el firmware esté al día. Todo eso está bien y hay que hacerlo. Pero aquí el Teltonika se alcanzó desde la propia red del emplazamiento, después de que cayera el cortafuegos. Su servicio SSH estaba disponible para quien ya estuviese dentro, que es exactamente la situación en la que nadie lo mira.

Ese es el cambio de perspectiva que pide este incidente. Un router celular en una nave, en una depuradora o en una tienda es también una ruta hacia otra red, y casi nunca está dibujada como tal. Se parece bastante al problema de los BMC e IPMI expuestos, esos ordenadores dentro del ordenador que casi nadie tiene inventariados; con la diferencia de que aquí lo que hay al otro lado no es tu servidor, sino el parque de otro. Es un vecino con el que no has firmado nada, el mismo problema que ya vimos en el alojamiento compartido, pero con la red de acceso en medio.

El vecino de red no aparece en ningún cuestionario de proveedores

Los cuestionarios de terceros preguntan por proveedores: quién te da el software, quién te administra los servidores, quién tiene acceso remoto. Y están bien. Pero en el informe no hay rastro de relación comercial entre el parque eólico y la central: son instalaciones distintas y, como resume la cobertura del caso, ninguna de las dos administra la red que las unió. Lo único que compartían era el transporte, contratado por separado con el mismo operador. Eso no se marca en ninguna casilla, y aun así las metía en el mismo dominio de red.

Si estás lidiando con las obligaciones de cadena de suministro —lo escribimos hace unas semanas a propósito de la ley española que traspone NIS2—, esta es una pregunta que no viene en la plantilla y que hay que añadir a mano: ¿con quién comparto red de acceso, y qué me separa de él? Es una pregunta de topología que acaba en un documento de cumplimiento.

Al irse se llevó los registros

La parte final de la cadena es la que más nos ha hecho pensar. El atacante corrompió la tabla de particiones del WAGO que había usado como pasarela, para que el dispositivo no pudiera leerla, y dejó el FortiGate y el Teltonika restaurados de fábrica. Es decir: los tres equipos que contaban la historia se quedaron mudos, en la misma salida.

Que un equipo de borde guarde sus propios registros y nada más está bien mientras el equipo esté sano. En el momento en que alguien con administración encima decide borrarlo, ese registro deja de existir con dos comandos y no hay nada que restaurar, porque nunca hubo copia. Un registro que solo vive en el equipo que se puede comprometer dura lo que dure el equipo. Enviar los syslog de los routers y cortafuegos a un sitio que el atacante no controla es la diferencia entre poder reconstruir una intrusión y publicar un comunicado con la palabra «presuntamente».

Esto no va solo de centrales térmicas

Es fácil leer esta historia como algo de infraestructura crítica y pasar página. Pero las APN privadas están en muchísimos sitios que no son una central: el enlace 4G de respaldo de una delegación, las SIM de las cámaras de una nave, el datalogger de una planta fotovoltaica pequeña, los cargadores de vehículo eléctrico de un párking, la telemetría de una flota, los TPV de las tiendas de temporada. Casi ninguna de esas empresas ha visto nunca la configuración de la APN en la que están sus tarjetas, y casi todas dan por hecho que están solas.

Y hay un matiz que nos toca de cerca porque lo vemos al diseñar redes multi-sede: el enlace móvil de respaldo se contrata pensando en disponibilidad. La conversación con el operador va de cobertura, de caudal y de cuánto tarda en conmutar. La pregunta de quién más está en esa APN no sale, porque no es una pregunta de disponibilidad. Es la misma asimetría que contábamos en el post sobre SD-WAN: se compra por lo que hace cuando el enlace principal se cae, y se descuida el plano por el que se administra.

Lo que hay que preguntarle al operador, y por escrito

Y la prueba, que vale más que las cinco respuestas juntas: coge una SIM de tu APN, ponla en un portátil y mira qué contesta desde ahí. Un barrido del rango con nmap -sn y un intento de conexión a los puertos de administración habituales te dice en veinte minutos lo que un correo con el comercial no te va a decir en dos semanas. Si desde esa SIM alcanzas equipos que no son tuyos, ya tienes la respuesta. Si alcanzas equipos que sí son tuyos pero que creías aislados, también. Un aviso serio: haz el descubrimiento y para ahí. Contra equipos que no son tuyos no se prueban credenciales ni se toca nada; eso deja de ser una prueba de diseño y pasa a ser un delito. Lo que aparezca se le cuenta al operador por escrito.

Antes de pedir que lo aíslen todo el viernes

El aislamiento entre dispositivos no es gratis, y decirlo forma parte de dar un consejo honesto. Hay diseños que dependen justamente de que dos equipos de la APN se hablen: una sede pequeña que llega a otra sin pasar por la sede central, un técnico que desde su SIM entra a los armarios, un sistema de repetición de telemetría montado hace años por alguien que ya no está. Si el operador activa el aislamiento un viernes por la tarde porque se lo has pedido tú después de leer una noticia, el lunes tendrás una avería que nadie sabrá explicar.

El orden que a nosotros nos funciona es el contrario: primero saber qué habla con qué hoy —eso sale de la prueba de la SIM y de mirar el tráfico, no de preguntar—, luego escribir la lista corta de conversaciones que tienen que seguir existiendo, y solo entonces pedir el aislamiento con esas excepciones. Es más lento y es la única manera de que no se convierta en una marcha atrás. Y en paralelo, lo barato: quitar de la interfaz móvil los servicios de administración que no hacen falta y cambiar las credenciales por defecto, que es lo que en Polonia habría cortado la cadena en el WAGO.

La pregunta que ordena todo esto

Lo que hace incómodo este caso no es la técnica, que es sencilla, sino que la pieza que falló no la administraba ninguna de las dos víctimas. Se puede tener el cortafuegos al día, el inventario hecho y la segmentación dibujada, y seguir teniendo un camino abierto por una red que no aparece en tu diagrama porque es de otro. Hay una pregunta que casi nadie tiene contestada por escrito: «¿por qué caminos que yo no administro se puede llegar a mis equipos, y quién más está en ellos?». Si nadie de tu organización sabe responderla hoy, esa es la primera tarea, y no cuesta dinero: cuesta una tarde y una SIM.

Fuentes: informe de seguimiento del incidente del sector energético del 29 de diciembre de 2025, primer caso observado de acceso a una red OT a través de una APN privada, la configuración incorrecta que permitía la comunicación entre dispositivos arbitrarios de la APN y su carácter habitual en Polonia y en otros países — «Follow-Up Report of the December 2025 Energy Sector Incident», CERT Polska (8 de agosto de 2026). Cadena de ataque, FortiGate sin doble factor, router Teltonika RUTX50, controlador WAGO PFC200 con credenciales por defecto, familias de PLC Siemens S7-300/1200/1500, servidores serie Moxa, hora de acceso al SCADA y recuperación con el atacante dentro — The Hacker News, BleepingComputer y Help Net Security. Corrupción de la tabla de particiones del WAGO, alcance de la campaña de finales de diciembre y atribución a Sandworm — SecurityWeek; BleepingComputer atribuye la campaña al grupo Electrum, y no hemos encontrado en la cobertura una atribución explícita y cerrada de esta segunda intrusión. No hemos participado en esta investigación ni hemos auditado ninguna de las instalaciones citadas: todo lo anterior procede del informe público y de su cobertura. Imagen de cabecera: «Radio tower, Japan; May 2016 (02)», foto de acopbc (Wikimedia Commons, CC0), recortada.