ポーランドの小規模エネルギー施設、昨年プライベートAPN経由でハッカーの侵入を許す

ハッカーは、専用のモバイルゲートウェイを使用して、昨年ポーランドのエネルギー部門を襲った破壊的サイバー攻撃の際に2番目の施設を侵害しました。

2番目の標的となったのは、約50,000人の住民に熱を供給する小規模なコージェネレーション(CHP)発電所で、この攻撃により蒸気タービンと水処理システムが停止に追い込まれました。

ポーランドのコンピュータ緊急対応チーム(CERT)は週末に公開したフォローアップ報告書でこの2件目のインシデントを開示し、攻撃者がプライベートアクセスポイントネーム(APN)を利用して制御システム(OT)ネットワークにアクセスしたと述べています。

「この攻撃が成立した要因の一つには、プライベートAPNネットワーク内の任意のデバイス同士が通信できてしまう設定ミスがありました」

2025年12月29日、ロシアの脅威グループ「Electrum」との関連が疑われる攻撃者が、ポーランド国内の30カ所の風力・太陽光発電施設と大規模なCHP発電所を標的とし、主要機器を修復不能なまでに破壊しました。

この脅威アクターは、国内各地の分散型エネルギー資源(DER)拠点を襲い、通信機器を無効化し、制御システム(OT)デバイスを破損させ、Windowsシステムをワイプしました。電力網を不安定化させようとするこうした試みにもかかわらず、発電・送電自体は中断されませんでした。

今回新たに開示された、2番目の小規模CHP発電所への攻撃では、脅威アクターがプログラマブルロジックコントローラー(PLC)の電源を切ってパスワードでアクセスを保護し、これにより蒸気タービンと同発電所のプロセス用水処理システムを停止させ、コージェネレーション運転を中断させました。

同発電所の職員が迅速に影響を受けたシステムを復旧させたため、停止時間は短く、住民への影響はありませんでした。

新たな攻撃経路

インシデントの調査の結果、ポーランドCERTは、攻撃者が最初に風力発電所のFortiGate VPN/ファイアウォールを侵害し、そのネットワーク上のTeltonika製セルラールーターを利用して、配電システム運用事業者が管理するプライベートAPNへとトンネリングしたと結論付けました。

このAPNにはクライアント分離機能がなかったため、攻撃者は他の施設のデバイスをスキャンし、通信することができました。

12月18日以降、攻撃者はCHP発電所内にあるWAGO PFC200 PLCを発見しました。このPLCのWebインターフェースはAPN上に露出しており、デフォルトの管理者認証情報で保護されているだけでした。

このコントローラーを侵害した後、攻撃者はSSHを有効化し、これを発電所のOTネットワークへの侵入経路として利用しました。

その後の1週間で、攻撃者はSCADAシステムや産業用デバイスを求めてネットワークをスキャンし、12月25日には攻撃準備とみられる目的で3台のシーメンス製PLCに接続しました。

12月29日午前5時30分頃、攻撃者はSCADAインターフェースとシーメンス製PLCにアクセスし、それらをSTOPモードに切り替え、パスワード保護を有効化した上で、蒸気タービンとプロセス用水処理システムを停止させました。

攻撃者はさらに、復旧を妨げるために複数のMoxa製デバイスをリセット・再設定し、ログを消去したほか、侵入全体を通じて使用したWAGOコントローラー、Teltonikaルーター、FortiGateファイアウォールを破損またはリセットすることでフォレンジック分析を妨害しました。

ポーランドCERTは、これがプライベートAPNを経由した横展開によってOTネットワークに侵入した、実世界で確認された初のサイバー攻撃事例であるとみています。

「我々の把握する限り、本報告書で説明されているこのインシデント、すなわちプライベートAPN経由でOTネットワークへのアクセスを得た事例は、この攻撃ベクトルが実世界のサイバー攻撃で使用された初の観測例でした」とCERT Polskaはコメントしています。

調査後に実施された各種の調べにより、この構成は当時ポーランドで一般的に使われていたことが判明しており、同国のCERTは、同様の構成が国際的にも広く採用されている可能性が高いと推定しています。

プライベートAPNは信頼できない外部ネットワークとして扱い、接続されたクライアント間の分離を有効化し、APNゲートウェイとOTシステム間の必須トラフィックにはアローリストを使用し、露出しているSSHおよびTelnetの管理サービスを無効化することが推奨されます。