Attacco informatico contro la rete elettrica polacca: un campanello d'allarme per l'energia decentralizzata

ANALISI TECNICA

L'attacco coordinato alla rete elettrica polacca di fine dicembre ha colpito diversi siti di risorse energetiche distribuite (DER) in tutto il paese, tra cui impianti di cogenerazione (CHP), sistemi di dispatch per energia eolica e solare. Nonostante l'attaccante abbia compromesso i sistemi di tecnologia operativa (OT) danneggiando "attrezzature chiave al di là del riparo", non è riuscito a interrompere la fornitura di energia, pari a 1,2 GW o il 5% dell'energia polacca.

Secondo le fonti pubbliche, ci sono almeno 12 siti colpiti confermati. Tuttavia, i ricercatori di Dragos, una società di sicurezza per infrastrutture industriali critiche (OT) e sistemi di controllo (ICS), affermano che il numero è approssimativamente 30.

• Flawes and misconfigurations: I ricercatori di Dragos hanno pubblicato maggiori dettagli sull'attacco e affermano che l'assenza di interruzioni dell'alimentazione non indica un incidente meno preoccupante, ma dovrebbe essere vista come un avvertimento sulla vulnerabilità dei sistemi energetici decentralizzati.
• Attribuzione dell'attacco: Dragos attribuisce l'attacco con moderata fiducia a un attore russo che segue come Electrum. Sebbene sovrapponga Sandworm (APT44), i ricercatori sottolineano che si tratta di un distinto gruppo di attività.
• Target dell'attacco: Electrum ha mirato sistemi esposti e vulnerabili coinvolti nel dispatch e nella comunicazione di rete, unità remote terminali (RTU), dispositivi di edge network, sistemi di monitoraggio e controllo e macchine basate su Windows nei siti DER.
• Conoscenza approfondita: Sulla base delle prove derivanti da una risposta agli incidenti in una delle strutture colpite, Dragos osserva che gli aggressori hanno dimostrato una profonda conoscenza e comprensione di come questi dispositivi siano implementati e gestiti, compromettendo ripetutamente configurazioni simili di RTU e dispositivi edge in più siti.
• Effetti dell'attacco: Electrum ha disabilitato con successo l'attrezzatura di comunicazione in più siti, causando una perdita di monitoraggio e controllo remoto, ma la generazione di energia sulle unità è continuata senza interruzioni. Alcuni dispositivi OT/ICS sono stati disabilitati e le loro configurazioni sono state corrotte al di là del recupero, mentre i sistemi Windows nei siti sono stati cancellati.

Anche se gli attacchi fossero riusciti a tagliare l'energia, la portata relativamente ristretta non sarebbe stata sufficiente per causare un black-out nazionale in Polonia. Tuttavia, avrebbero potuto causare una significativa destabilizzazione della frequenza del sistema. "Queste deviazioni di frequenza hanno causato fallimenti a catena in altri sistemi elettrici, incluso il collasso della rete iberica nel 2025", affermano i ricercatori.

Contesto: DI MERCATO/SICUREZZA

Un recente attacco coordinato contro la rete elettrica polacca a fine dicembre ha colpito diversi siti di risorse energetiche distribuite (DER) in tutto il paese, tra cui impianti di cogenerazione (CHP), sistemi di dispatch per energia eolica e solare. Nonostante l'attaccante abbia compromesso i sistemi di tecnologia operativa (OT) danneggiando "attrezzature chiave al di là del riparo", non è riuscito a interrompere la fornitura di energia, pari a 1,2 GW o il 5% dell'approvvigionamento energetico della Polonia.

Secondo i rapporti pubblici, ci sono almeno 12 siti colpiti confermati. Tuttavia, i ricercatori di Dragos, una società di sicurezza per infrastrutture industriali critiche (OT) e sistemi di controllo (ICS), affermano che il numero è di circa 30.

• Flaw and misconfigurations: I ricercatori di Dragos hanno pubblicato maggiori dettagli sull'attacco e affermano che l'assenza di interruzioni di corrente non indica un incidente meno preoccupante, ma dovrebbe essere vista come un avvertimento sulla vulnerabilità dei sistemi energetici decentralizzati.
• Electrum attribution: Dragos attribuisce l'attacco con moderata fiducia a un attore russo che traccia come Electrum, che, sebbene si sovrapponga a Sandworm (APT44), i ricercatori sottolineano che è un distinto cluster di attività.
• Electrum's Targets and Tactics: Electrum ha colpito sistemi esposti e vulnerabili coinvolti nel dispatch e nella comunicazione con la rete, unità remote di terminale (RTU), dispositivi in edge network, sistemi di monitoraggio e controllo e macchine basate su Windows nei siti DER.
• Deep Knowledge and Understanding: Sulla base delle prove da una risposta agli incidenti presso una delle strutture colpite, Dragos osserva che gli attaccanti hanno dimostrato una profonda conoscenza e comprensione di come questi dispositivi vengono implementati e gestiti, compromittente ripetutamente configurazioni simili di RTU e dispositivi in edge network in più siti.
• Impact and Potential Consequences: Anche se gli attacchi non fossero riusciti a interrompere l'energia, la portata relativamente ristretta del bersaglio non sarebbe stata sufficiente per causare un blackout nazionale in Polonia. Tuttavia, avrebbero potuto causare un significativo squilibrio della frequenza del sistema. "Queste deviazioni di frequenza hanno causato guasti a catena in altri sistemi elettrici, incluso il collasso della rete iberica del 2025", affermano i ricercatori.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

L'attacco coordinato alla rete elettrica polacca alla fine di dicembre ha colpito diversi siti di risorse energetiche distribuite (DER) in tutto il paese, tra cui impianti di cogenerazione (CHP), sistemi di dispatch eolico e solare. Sebbene l'attaccante abbia compromesso i sistemi di tecnologia operativa (OT) danneggiando "attrezzature chiave al di là del riparo", non è riuscito a interrompere la fornitura di energia, per un totale di 1,2 GW o il 5% dell'approvvigionamento energetico della Polonia.

Secondo i rapporti pubblici, ci sono almeno 12 siti colpiti confermati. Tuttavia, i ricercatori di Dragos, una società di sicurezza per infrastrutture industriali critiche (OT) e sistemi di controllo (ICS), affermano che il numero è di circa 30.

Flaw e misconfigurazioni

I ricercatori di Dragos hanno pubblicato maggiori dettagli sull'attacco e affermano che l'assenza di interruzioni dell'alimentazione non indica un incidente meno preoccupante, ma dovrebbe essere vista come un avvertimento sulla vulnerabilità dei sistemi energetici decentralizzati. "Un attacco alla rete elettrica in qualsiasi momento è irresponsabile, ma eseguirlo nel pieno dell'inverno potrebbe essere potenzialmente letale per la popolazione civile che ne dipende", si legge nel rapporto Dragos. "È sfortunato che coloro che attaccano questi sistemi sembrino deliberatamente scegliere un orario che massimizza l'impatto sulla popolazione civile."

Dragos attribuisce l'attacco con una moderata fiducia a un attore di minaccia russo che traccia come Electrum, che, sebbene si sovrapponga a Sandworm (APT44), i ricercatori sottolineano che è un distinto cluster di attività.

ESET ha pubblicato un rapporto qualche giorno fa su APT44, collegandolo a tentati attacchi distruttivi non riusciti contro la rete elettrica polacca utilizzando malware chiamato DynoWiper.

Dragos collega Electrum ad altri wiper utilizzati contro le reti ucraine, tra cui unità di fornitura di energia come Caddywiper e Industroyer2, rilevando che le operazioni del gruppo di minaccia si sono recentemente espansse a più paesi.

Electrum ha colpito i sistemi esposti e vulnerabili coinvolti nel dispatch e nella comunicazione in rete, nei dispositivi remoti (RTU), nei dispositivi di edge network, nei sistemi di monitoraggio e controllo e nelle macchine basate su Windows presso i siti DER.

Basandosi sulle prove provenienti da un'indagine incidentale in una delle strutture colpite, Dragos osserva che gli aggressori hanno dimostrato una profonda conoscenza e comprensione di come questi dispositivi sono implementati e operati, compromettere ripetutamente configurazioni simili di RTU e dispositivi di edge-device in più siti.

Electrum ha abilitato con successo l'attrezzatura di comunicazione in più siti, causando una perdita di monitoraggio e controllo remoto, ma la generazione di energia sulle unità è continuata senza interruzione.

Certe apparecchiature OT/ICS sono state disattivate e le loro configurazioni sono state corrotte al di là del recupero, mentre i sistemi Windows nei siti sono stati cancellati.

Anche se gli attacchi fossero riusciti a interrompere l'alimentazione, la portata relativamente ristretta dell'attacco non sarebbe stata sufficiente per causare un blackout nazionale in Polonia. Tuttavia, avrebbero potuto causare una significativa destabilizzazione della frequenza del sistema. "Queste deviazioni di frequenza hanno causato fallimenti a catena in altri sistemi elettrici, incluso il collasso della rete iberica nel 2025", affermano i ricercatori.

L'attacco coordinato contro la rete elettrica polacca di fine dicembre evidenzia una crescente minaccia rappresentata dai gruppi di hacker che mirano i sistemi energetici decentralizzati. Sebbene l'attentatore non sia riuscito a interrompere completamente l'alimentazione, il danneggiamento di "chiavi apparecchiature al di là del riparo" rappresenta un avvertimento significativo per la vulnerabilità dei sistemi energetici moderni.

• L'attacco, attribuito con moderata fiducia al gruppo russo Electrum da Dragos, dimostra una conoscenza approfondita delle infrastrutture OT/ICS e l'utilizzo di tattiche mirate contro dispositivi specifici come RTU e edge devices.
• Sebbene il numero di siti colpiti sia relativamente basso (circa 30 secondo Dragos), la strategia di attacco potrebbe essere stata progettata per causare disordini sistemici piuttosto che un blackout nazionale. Le deviazioni di frequenza potrebbero aver portato a fallimenti in cascata, come accaduto nel collasso della rete elettrica iberica del 2025.
• La crescente sofisticazione degli attacchi informatici contro le infrastrutture critiche richiede un rafforzamento delle misure di sicurezza e una maggiore consapevolezza da parte dei gestori energetici. L'implementazione di best practices di sicurezza OT/ICS, insieme a programmi di formazione e simulazioni di incidenti, sono essenziali per mitigare i rischi futuri.

In futuro, ci aspettiamo un aumento degli attacchi mirati contro le infrastrutture energetiche decentralizzate. La crescente interconnessione dei sistemi energetici e l'aumento dell'utilizzo di tecnologie digitali rendono queste infrastrutture più vulnerabili agli attacchi informatici. È fondamentale che i governi, le aziende e gli individui lavorino insieme per rafforzare la sicurezza delle infrastrutture critiche e proteggere i cittadini da potenziali minacce.