Un wiper bloqué, le chauffage maintenu : la Pologne a-t-elle frôlé le black-out numérique ?
Dans une grande centrale de cogénération qui fournit de la chaleur à près d'un demi-million de clients en Pologne, les attaquants avaient déjà accompli le plus difficile. Ils étaient restés longtemps dans le réseau, avaient volé des informations opérationnelles et obtenu des comptes à privilèges. Ils ont alors tenté de lancer un logiciel conçu pour détruire les données de manière irréversible. « Son exécution a été bloquée par le logiciel EDR utilisé par l'organisation », a écrit CERT Polska, l'équipe nationale polonaise de réponse aux incidents informatiques.
L'attaque du 29 décembre 2025 n'a pas atteint son objectif, interrompre l'approvisionnement en chaleur des usagers, selon CERT Polska. Ailleurs, elle a fait des dégâts : dans plus de 30 parcs éoliens et photovoltaïques, des équipements ont été mis hors service et les sites ont perdu la communication avec le gestionnaire du réseau de distribution.
Elle est survenue en plein hiver, dix ans après le premier black-out provoqué par un logiciel malveillant, en Ukraine en décembre 2015. Pour un pays voisin de la guerre qui reconstruit son réseau autour des énergies renouvelables, c'est un cas d'école : comment l'énergie décentralisée peut être attaquée — et défendue.
Qu'ont visé les attaquants ?
Le rapport de CERT Polska, publié le 30 janvier 2026, recense trois types de cibles : les postes de raccordement de plus de 30 parcs éoliens et solaires, la centrale de cogénération et une entreprise manufacturière privée, visée de manière opportuniste avec le même wiper.
Dans les parcs, les attaquants ont mené une reconnaissance avant de s'en prendre aux unités de télécontrôle, aux interfaces opérateur locales, aux relais de protection et aux équipements de communication. Ils ont corrompu des micrologiciels, supprimé des fichiers système et déployé le wiper, si bien que les postes ont perdu la liaison avec le gestionnaire et la commande à distance. Les attaques « n'ont toutefois pas affecté la production d'électricité en cours », souligne CERT Polska.
La version du gouvernement, rapportée par Help Net Security, évoque deux centrales de cogénération et un système de gestion de l'électricité issue d'éoliennes et de parcs photovoltaïques, attaqués les 29 et 30 décembre.
Qui est derrière — et pourquoi les réponses divergent-elles ?
Le Premier ministre Donald Tusk a déclaré : « Tout indique que ces attaques ont été préparées par des groupes directement liés aux services russes », rapporte Help Net Security.
La société de sécurité ESET a baptisé le logiciel DynoWiper et attribué l'attaque « au groupe APT Sandworm, aligné sur la Russie, avec un degré de confiance moyen », a indiqué son chercheur Robert Lipovsky, selon Infosecurity Magazine. Sandworm serait rattaché au GRU, le renseignement militaire russe. ESET s'appuie sur des recoupements avec de précédentes campagnes de wipers de Sandworm, et Robert Lipovsky a jugé que la date — dixième anniversaire de l'attaque de 2015 contre le réseau ukrainien — pourrait être délibérée. Cette attaque avait utilisé le logiciel BlackEnergy et privé d'électricité environ 230 000 personnes pendant plusieurs heures.
CERT Polska désigne une autre piste. Selon elle, l'infrastructure utilisée recoupe un groupe suivi sous les noms de « Static Tundra » (Cisco), « Berserk Bear » (CrowdStrike), « Ghost Blizzard » (Microsoft) et « Dragonfly » (Symantec) — et il s'agit de « la première activité destructrice décrite publiquement attribuée à ce groupe ». Sa page ne nomme aucun service russe.
L'écart compte moins pour les défenseurs que pour la diplomatie : une même intrusion peut être lue comme l'œuvre d'un service ou d'un autre, et chaque lecture envoie des signaux différents.
Pourquoi l'attaque a-t-elle échoué ?
« Les systèmes dont nous disposons aujourd'hui en Pologne ont fait leurs preuves », a déclaré Donald Tusk, ajoutant : « À aucun moment l'infrastructure critique n'a été menacée », rapporte Infosecurity Magazine. Selon lui, les réseaux de transport n'ont pas été compromis. « Nous n'avons connaissance d'aucune perturbation réussie », a dit Robert Lipovsky.
La centrale a été sauvée par un logiciel de détection sur les postes de travail qui a rempli son rôle. Les parcs n'ont pas été épargnés : leur électricité a continué d'être injectée, mais leur liaison avec le gestionnaire a été coupée — un rappel que, dans un réseau fait de nombreux petits sites, chacun est une porte d'entrée.
Que change la Pologne ?
Donald Tusk a affirmé que les cyberdéfenseurs polonais avaient déjoué l'attaque, mais que les systèmes énergétiques devaient encore être renforcés, rapporte Help Net Security. La coalition au pouvoir prépare un projet de loi renforçant les exigences en matière de gestion des risques, de protection des systèmes informatiques et opérationnels et de réponse aux incidents. Donald Tusk espère mettre en œuvre « au plus vite » la loi sur le système national de cybersécurité, qui transpose la directive européenne NIS2, et a ajouté : « Nous visons l'autonomie et la polonisation des systèmes de sécurité », selon Infosecurity Magazine.
Ce que nous ne savons pas
- Qui en est l'auteur. Le gouvernement polonais désigne les services russes ; ESET, Sandworm avec une confiance moyenne ; CERT Polska relie l'infrastructure à un autre groupe connu de longue date. Aucune attribution n'a été prouvée publiquement.
- Combien de centrales. CERT Polska décrit une grande centrale de cogénération ; la version gouvernementale, telle que rapportée, en évoque deux.
- Les dates exactes. CERT Polska date les attaques du 29 décembre ; d'autres sources indiquent les 29 et 30 décembre.
- L'effet recherché. ESET a indiqué que « les détails concernant l'impact visé font toujours l'objet d'une enquête ».
Ce qu'il faut surveiller
Le vrai test sera la loi : la Pologne adoptera-t-elle son texte NIS2, et les petits exploitants d'énergies renouvelables — ceux dont les sites ont perdu la liaison — pourront-ils respecter des règles de sécurité plus strictes ? À suivre aussi : d'autres gestionnaires de réseau européens signaleront-ils des intrusions similaires ? Le rapport complet de CERT Polska, avec ses indicateurs de compromission, est public ; pour tout exploitant de parcs éoliens, solaires ou de centrales thermiques, c'est une liste de contrôle écrite par les attaquants eux-mêmes.
Sources
Articles associés
Commentaires (0)
Connectez-vous pour participer à la discussion.
- Pas encore de commentaires — soyez le premier.