Un ataque al sector energético de Polonia ha demostrado cómo un dispositivo de acceso remoto comprometido puede ser la puerta de entrada para una intrusión industrial a gran escala. El 29 de diciembre de 2025, una campaña maliciosa logró saltar desde la red de un parque eólico hacia una central termoeléctrica, aprovechando las conexiones confiables para causar interrupciones. Este incidente formó parte de una serie de ataques destructivos coordinados contra más 30 instalaciones de energía renovable.

El ataque al sector energético de Polonia ha revelado cómo un dispositivo de acceso remoto comprometido puede convertirse en el primer paso de una intrusión industrial más amplia.

La campaña se trasladó desde la red de un parque eólico hasta una planta de cogeneración de calor y electricidad, convirtiendo una conectividad confiable en una interrupción.

El incidente ocurrió el 29 de diciembre de 2025, junto con ataques destructivos coordinados contra más de 30 instalaciones renovables.

En la planta, la intrusión detuvo una turbina de vapor y el sistema de tratamiento de agua, interrumpiendo la cogeneración, aunque el suministro de calor y electricidad a unos 50,000 residentes continuó.

Los analistas de CERT.PL identificaron la ruta tras una investigación de tres meses sobre lo que parecía ser un error de mantenimiento.

Sus hallazgos muestran que el atacante no necesitó exponer la planta directamente a internet; en su lugar, cruzó redes a través de un entorno de datos móviles privados utilizado para comunicaciones operativas.

El caso recuerda a los ataques coordinados a la energía en Polonia, donde el objetivo era la interrupción en lugar del robo de datos.

CERT.PL indicó en un informe que esto demuestra cómo una conexión aparentemente aislada crea riesgos cuando los dispositivos conectados pueden comunicarse libremente.

VPN de FortiGate comprometida

El atacante obtuvo primero acceso a un dispositivo perimetral de un parque eólico que combinaba funciones de firewall y VPN.

La VPN expuesta a internet carecía de autenticación multifactor para las cuentas definidas localmente, y el control administrativo probablemente proporcionó al intruso credenciales para una cuenta de VPN capaz de alcanzar cada segmento de la red.

Luego, el atacante encontró un router celular conectado tanto al parque eólico como a un APN privado, una red móvil para el operador del sistema de distribución. Su consola web y el servicio SSH se convirtieron en el puente hacia el APN.

El siguiente objetivo fue un controlador de CHP (calor y electricidad), accesible a través del APN. Su interfaz de administración web utilizaba credenciales predeterminadas. Tras habilitar SSH, el atacante creó otro túnel hacia la red de tecnología operativa.

Esa cadena es significativa porque los APN privados a menudo se tratan como transporte protegido.

En este caso, una configuración permitió conexiones entre dispositivos conectados arbitrarios, permitiendo efectivamente que una brecha en un sitio alcanzara otro.

Si estás siguiendo las investigaciones sobre brechas de FortiGate, reconocerás la lección general: el control de un dispositivo perimetral puede exponer mucho más que el dispositivo en sí mismo.

El reconocimiento llevó a la interrupción del proceso

Entre el 18 y el 25 de diciembre, el intruso escaneó servicios industriales y de control remoto, exploró la red de la planta de CHP e intentó acceder a su firewall y a los sistemas de escritorio remoto.

La actividad incluyó el contacto exitoso con tres controladores Siemens antes de la operación final, lo que indica una preparación deliberada en lugar de un ataque oportunista.

En la mañana del 29 de diciembre, el actor alcanzó la interfaz de supervisión de la planta y luego los controladores Siemens S7. Los controladores entraron en modo STOP, apagando la turbina de vapor y el sistema de tratamiento de agua.

El personal restauró los ajustes de fábrica y recargó las copias de seguridad de la lógica, limitando el corte, pero esa recuperación también eliminó los registros de los dispositivos necesarios para la revisión forense.

El atacante también reinició los servidores de dispositivos serie y los switches de red, cambió sus contraseñas y alteró sus configuraciones de red para ralentizar la restauración.

La actividad continuó durante casi cinco horas después de que la planta comenzara la recuperación. Posteriormente, el controlador de la puerta de enlace fue dañado, el router celular reiniciado y el dispositivo perimetral original restaurado a los ajustes de fábrica, borrando evidencia valiosa.

Este episodio difiere de la actividad del malware destructivo DynoWiper reportada en otras partes de la campaña polaca más amplia, porque esta ruta se centró en manipular directamente los dispositivos industriales.

No obstante, alcanza el mismo objetivo: interrumpir operaciones esenciales y dificultar la recuperación.

CERT.PL recomienda auditar las configuraciones de APN privados, habilitar el aislamiento de clientes y tratar el APN como no confiable cuando entra en una red operativa.

Las organizaciones deben restringir las conexiones con listas de permitidos, segmentar la puerta de enlace de los sistemas de control, monitorear el tráfico inusual, centralizar los registros de la puerta de enlace, eliminar los servicios de administración expuestos, cambiar las credenciales predeterminadas e incluir estos vínculos en las pruebas de penetración y revisiones de arquitectura.

Estos controles deben probarse independientemente de forma regular. El consejo se alinea con la necesidad de proteger el acceso VPN expuesto, pero también se aplica a cualquier ruta supuestamente privada hacia los sistemas industriales.

Fuentes:
https://cybersecuritynews.com/compromised-fortigate-vpn/