ロシアと関連のあるハッカーが専用APN経由でポーランドの発電所OTネットワークに侵入、CERT.PLが報告

ポーランドのCERT(CERT.PL)は、2026年1月に発生したとみられるロシアによるサイバーキャンペーン中に、同国のエネルギーインフラに対して実行されたもう一つの攻撃の詳細を公表しました。

この攻撃に関する事後調査は完了までに3か月を要したため、2026年1月に公表された当初の報告書には含まれていませんでした。当初の報告書では、2025年後半に発生したポーランドのエネルギーインフラに対するサイバー攻撃について詳しく取り上げており、ワイパー型マルウェアが使用され、ロシア政府の支援を受けるAPTグループ「Sandworm」によるものと断定されていました。

今回の最新の報告書では、同国の50,000人の住民にサービスを提供する大規模な熱電併給(CHP)プラントにおいて、攻撃者が蒸気タービンと水処理システムを強制的に停止させるに至った、一連の新たな手法の詳細が明らかにされています。

CERTによれば、脅威アクターが専用アクセスポイント名(APN)を経由してOTネットワークに侵入したことが確認された事例としては、これが初めて文書化されたケースだといいます。

エネルギーインフラへの攻撃に関する関連記事はこちら: NCSC、重要インフラを標的とした「深刻な」サイバー攻撃について警告を発令

この攻撃は、攻撃者が同国のある風力発電所のFortiGate製VPN兼ファイアウォールを侵害したことから始まりました。攻撃者はその後、同一ネットワーク上にあるTeltonika製のセルラールーターを利用し、SSHトンネル経由で配電系統運用者(DSO)が管理する専用APNネットワークを標的にしました。

攻撃者はこのAPNを繰り返しスキャンし、CHPプラントに設置されていたWAGO PFC200プログラマブルロジックコントローラ(PLC)を発見しました。このPLCのWebインターフェースはAPN経由でアクセス可能な状態にあり、デフォルトの管理者認証情報でしか保護されていませんでした。

このコントローラを侵害した後、攻撃者はSSHを使ってプラントのOTネットワークにアクセスし、さらにスキャンを行って3台のSiemens製PLCを発見しました。

「CHPプラントの職員から得られた証言によると、これらのPLCはSTOPモードに切り替えられ、稼働状態の変更や制御ロジックの改変を防ぐパスワードで保護されていました」と報告書は説明しています。

「その結果、プロセス用水を生成するための蒸気タービンと水処理システムが停止し、コージェネレーション(熱電併給)プロセスが中断される事態となりました。」

復旧作業を遅らせる目的で、攻撃者は複数のMoxa製ネットワーク機器を破壊し、ログを消去し、WAGO製コントローラに損傷を与え、Teltonika製ルーターをリセットし、さらにFortiGate製機器を工場出荷時設定に戻しました。

CERT.PLによる推奨事項

CERTは、専用APNをベースとするソリューションを利用しているすべての組織に対し、以下の対策を実施するよう強く求めています。

• 専用APNの構成に関する監査を実施し、APNに接続された端末デバイス間のクライアント分離を有効にする
• 専用APNを信頼できないネットワークとして扱い、OT環境からセグメント化する
• OTネットワークと専用APNへのゲートウェイとして機能するデバイスとの間の通信を厳格に制限する
• OTネットワークと専用APNの間のトラフィックを監視し、異常な活動を検知した場合はフラグを立てる
• 専用APNへのゲートウェイとして機能するデバイスが生成するイベントについて、一元的なロギングと監視を実施する
• 専用APNからアクセス可能なインターフェース上で開放されているポートの数を最小限に抑える
• 専用APNに接続されたデバイス上で利用可能な全サービス(特に管理系サービス)のデフォルト認証情報を変更する
• 専用APNおよびそれへのアクセスを提供するデバイスを、侵入テストやレッドチーム演習、セキュリティアーキテクチャレビューの対象範囲に含める

幸いにも、今回のケースでは停止時間は短く、電力供給を失った顧客はいませんでした。しかし、この攻撃は、悪名高いSandwormグループと関連付けられる大規模なロシアのキャンペーンの最中に発生したものであり、このキャンペーンではポーランド国内の再生可能エネルギー施設30か所と、別のもう一つの大規模CHPプラントが標的にされました。

これらの攻撃は2025年12月29日と30日に発生しました。