Вайпер зупинили, тепло лишилося: наскільки близько Польща підійшла до кіберблекауту?
На великій теплоелектроцентралі, яка постачає тепло майже пів мільйона споживачів у Польщі, нападники вже зробили найскладніше. Вони довго перебували в мережі, викрали операційну інформацію й здобули привілейовані облікові записи. Потім спробували запустити шкідливу програму, створену для безповоротного знищення даних. «Її роботу заблокувало EDR-рішення, яке використовує організація», — написала CERT Polska, національна команда реагування на комп'ютерні інциденти Польщі.
Атака 29 грудня 2025 року не досягла мети — порушити теплопостачання кінцевих споживачів, зазначила CERT Polska. В іншому місці вона завдала шкоди: на понад 30 вітрових і сонячних електростанціях обладнання вивели з ладу, і об'єкти втратили зв'язок з оператором системи розподілу.
Це сталося посеред зими, через десять років після першого блекауту, спричиненого шкідливим ПЗ, — в Україні в грудні 2015 року. Для країни, яка межує з війною і перебудовує енергосистему довкола відновлюваних джерел, це показовий випадок того, як можна атакувати — і захищати — розподілену енергетику.
Що саме атакували?
У звіті CERT Polska, оприлюдненому 30 січня 2026 року, названо три типи цілей: підстанції приєднання до мережі на понад 30 вітрових і сонячних станціях, ТЕЦ і приватну виробничу компанію, яку атакували опортуністично тим самим вайпером.
На станціях нападники провели розвідку, а потім узялися за пристрої телемеханіки, місцеві операторські панелі, реле захисту й комунікаційне обладнання. Вони пошкодили прошивки, видалили системні файли й запустили вайпер, тож станції втратили зв'язок з оператором і дистанційне керування. Проте атаки «не вплинули на поточне виробництво електроенергії», наголосила CERT Polska.
В урядовій версії, яку переказує Help Net Security, цілями названо дві ТЕЦ і систему, що керує електроенергією з вітрових турбін і фотоелектричних станцій; атаки датовано 29 і 30 грудня.
Хто за цим стоїть — і чому відповіді різняться?
Прем'єр-міністр Дональд Туск заявив: «Усе вказує на те, що ці атаки підготували групи, безпосередньо пов'язані з російськими спецслужбами», повідомляє Help Net Security.
Компанія ESET назвала шкідливу програму DynoWiper і з «середнім ступенем упевненості» приписала атаку проросійській групі Sandworm, сказав її дослідник Роберт Ліповський, пише Infosecurity Magazine. Sandworm вважають частиною російської воєнної розвідки ГРУ. ESET спирається на збіги з попередніми атаками Sandworm із вайперами, а Ліповський припустив, що дату могли обрати свідомо — до десятої річниці атаки на енергосистему України 2015 року. Тоді використали шкідливе ПЗ BlackEnergy, і близько 230 тисяч людей на кілька годин залишилися без світла.
CERT Polska вказала в інший бік. За її даними, використана інфраструктура перетинається з кластером, який Cisco відстежує як Static Tundra, CrowdStrike — як Berserk Bear, Microsoft — як Ghost Blizzard, а Symantec — як Dragonfly; і це «перша публічно описана руйнівна активність, приписана цьому кластеру». Конкретної російської служби на сторінці не названо.
Для захисників ця різниця важить менше, ніж для дипломатії: одне й те саме вторгнення можна прочитати як роботу різних служб, і кожне прочитання несе різні сигнали.
Чому атака провалилася?
«Системи, які ми маємо сьогодні в Польщі, довели свою ефективність», — сказав Туск і додав: «Жодної миті критична інфраструктура не була під загрозою», повідомляє Infosecurity Magazine. За його словами, магістральні мережі не постраждали. «Нам невідомо про жодне успішне порушення роботи», — сказав Ліповський.
ТЕЦ урятувало програмне забезпечення для виявлення загроз на кінцевих пристроях, яке спрацювало як слід. Станціям пощастило менше: електроенергія далі йшла в мережу, але зв'язок з оператором обірвався — нагадування, що в енергосистемі з багатьох невеликих об'єктів кожен із них може стати дверима для нападника.
Що змінює Польща?
Туск сказав, що польські фахівці з кібербезпеки відбили атаку, але енергосистеми все одно треба зміцнювати, повідомляє Help Net Security. Правляча коаліція готує законопроєкт із суворішими вимогами до управління ризиками, захисту ІТ- та операційних технологій і реагування на інциденти. Туск сказав, що сподівається якнайшвидше запровадити закон про національну систему кібербезпеки, яким Польща імплементує європейську директиву NIS2, і додав: «Ми прагнемо автономії та полонізації систем безпеки», — пише Infosecurity Magazine.
Чого ми не знаємо
- Хто це зробив. Польський уряд вказує на російські спецслужби; ESET — на Sandworm із середнім ступенем упевненості; CERT Polska пов'язує інфраструктуру з іншим давно відомим кластером. Публічно жодну атрибуцію не доведено.
- Скільки було ТЕЦ. CERT Polska описує одну велику ТЕЦ; в урядовій версії, як її переказують ЗМІ, — дві.
- Точних дат. CERT Polska датує атаки 29 грудня; інші джерела — 29–30 грудня.
- Задуманих наслідків. ESET зазначила, що «подробиці щодо задуманого впливу ще досліджуються».
За чим стежити
Справжня перевірка — закон: чи ухвалить Польща акт про NIS2 і чи зможуть невеликі оператори відновлюваної енергетики — саме ті об'єкти, що втратили зв'язок, — виконати суворіші вимоги безпеки. Варто стежити й за тим, чи повідомлять про подібні вторгнення інші європейські оператори мереж. Повний звіт CERT Polska з індикаторами компрометації відкритий; для будь-якого оператора вітрових, сонячних чи теплових станцій це чекліст, написаний самими нападниками.
Джерела
Схожі матеріали
Коментарі (0)
Увійдіть, щоб долучитися до обговорення.
- Коментарів ще немає — станьте першим.