D'une éolienne à une chaudière : comment un pivot par APN privée a livré le réseau OT d'une centrale polonaise à des intrus liés à Sandworm

Rapport CTI technique du 13 août 2026

Résumé exécutif

Le 8 août 2026, CERT Polska a publié un rapport de suivi révélant un vecteur d'intrusion jamais documenté auparavant dans une attaque réelle contre un réseau OT : l'usage d'un APN privé, un canal cellulaire dédié qu'un gestionnaire de réseau de distribution électrique met en place avec un opérateur mobile pour relier ses équipements distants, comme pont entre deux sites industriels sans lien apparent. L'intrusion elle-même remonte au 29 décembre 2025 et faisait partie d'une vague coordonnée ayant touché trente installations d'énergie renouvelable ainsi qu'une autre centrale de cogénération plus importante en Pologne. Le cas de cette petite centrale de cogénération, qui alimente en chaleur environ 50 000 habitants, avait demandé plus de trois mois d'analyse supplémentaire et n'avait donc pas figuré dans le rapport initial.

L'attaquant a d'abord compromis un boîtier FortiGate faisant office de pare-feu et de concentrateur VPN sur le site d'une éolienne, son interface VPN étant accessible depuis internet sans authentification multifacteur. De là, il a rebondi via un routeur cellulaire Teltonika RUTX50 raccordé à la fois au réseau interne compromis et à l'APN privé du gestionnaire de réseau, un APN censé isoler les équipements qui y sont connectés les uns des autres. Après une semaine de reconnaissance, l'attaquant a atteint un automate WAGO PFC200 protégé par des identifiants par défaut à la centrale de cogénération, l'a utilisé comme rebond vers l'interface SCADA, puis a mis à l'arrêt trois automates Siemens S7 pilotant la turbine à vapeur et le traitement de l'eau de process. CERT Polska a lié un incident antérieur similaire sur le secteur énergétique polonais au groupe Sandworm, lié à la Russie. Pour un pentester chargé d'un périmètre OT, ce cas documente un scénario de pivot inter-sites qu'aucune matrice de segmentation IT/OT classique n'anticipe : deux installations physiquement et organisationnellement distinctes, reliées par une hypothèse de confiance implicite au sein d'un réseau cellulaire privé.

Chronologie

Date	Événement
18 décembre 2025	L'attaquant, déjà en possession d'un accès administratif sur le FortiGate de l'éolienne, commence à scanner l'APN privé pour VNC, HTTP et les protocoles industriels S7 et Modbus
18 au 25 décembre 2025	Reconnaissance active sur le réseau de la centrale de cogénération : tentatives de connexion au pare-feu avec des identifiants génériques, scans RDP et VNC, connexions à trois automates Siemens via S7
29 décembre 2025, vers 5h30	Déclenchement de l'action de sabotage : bascule des trois automates Siemens S7-300, S7-1200 et S7-1500 en mode STOP, verrouillage par mot de passe, arrêt de la turbine et du traitement de l'eau
29 décembre 2025, matin	Le personnel restaure les automates depuis des sauvegardes pendant que l'attaquant est encore actif sur le réseau ; la clientèle ne subit aucune coupure de chaleur ou d'électricité
29 décembre 2025, fin d'intervention	L'attaquant corrompt la table de partition de l'automate WAGO, réinitialise le routeur Teltonika et efface les journaux du FortiGate compromis
30 janvier 2026	CERT Polska publie son rapport initial sur les attaques coordonnées du 29 décembre 2025 contre le secteur énergétique polonais
8 août 2026	Publication du rapport de suivi consacré spécifiquement à cette centrale de cogénération, après plus de trois mois d'analyse

Fiche vulnérabilité (format fiche CTI)

Aucune CVE n'est associée à cet incident : la chaîne d'intrusion repose exclusivement sur des faiblesses de configuration et des identifiants par défaut, pas sur l'exploitation d'un bug logiciel patchable.

Point d'entrée 1 | Absence de MFA sur interface VPN exposée | Boîtier FortiGate (pare-feu + concentrateur VPN) du site éolien

L'interface VPN était accessible depuis internet sans authentification multifacteur, permettant à l'attaquant d'obtenir un accès initial puis des droits administratifs sur l'ensemble des segments réseau de la sous-station. Remédiation : imposer le MFA sur toute interface d'administration ou VPN exposée à internet, sans exception pour les sites distants jugés secondaires.

Point d'entrée 2 | Absence de cloisonnement sur routeur cellulaire double-usage | Teltonika RUTX50

Le routeur disposait de deux connexions : une liaison série vers les équipements du réseau électrique, imposée par les règles protocolaires du gestionnaire de réseau, et un port Ethernet relié au réseau interne compromis de la sous-station, une combinaison que le gestionnaire de réseau n'avait jamais restreinte. Cette absence de cloisonnement a permis à l'attaquant de tunnelliser du réseau interne compromis vers l'APN privé via SSH. Remédiation : interdire toute liaison entre l'interface série dédiée au réseau de distribution et toute interface IP connectée à un réseau d'entreprise.

Point d'entrée 3 | Identifiants par défaut sur interface web d'automate exposée sur l'APN | Automate WAGO PFC200 équipé d'un modem cellulaire intégré, centrale de cogénération

L'interface web de gestion de l'automate, accessible depuis l'APN privé censé isoler les équipements entre eux, était encore protégée par les identifiants administrateur par défaut. SSH n'était pas activé nativement mais les journaux suggèrent que l'attaquant l'a activé une fois l'accès initial obtenu. Remédiation : changer systématiquement les identifiants par défaut sur tout équipement OT avant mise en production, quel que soit le niveau de confiance supposé du réseau qui l'héberge.

Diagramme de la chaîne d'attaque

Reconstitution basée sur le rapport de suivi CERT Polska du 8 août 2026 et sa restitution par Help Net Security, SecurityWeek et The Hacker News.

Analyse technique

Étape 1 : compromission initiale du FortiGate de la sous-station éolienne

L'attaquant exploite l'absence de MFA sur l'interface VPN du boîtier FortiGate assurant le rôle de pare-feu et de concentrateur VPN de la sous-station éolienne. Une fois à l'intérieur, il obtient un accès administratif s'étendant à l'ensemble des segments réseau de la sous-station, sans qu'aucun mécanisme de cloisonnement interne ne le contienne.

Étape 2 : pivot via le routeur cellulaire vers l'APN privé du gestionnaire de réseau

Le réseau compromis de la sous-station héberge un routeur Teltonika RUTX50 dont le port Ethernet, normalement destiné à un usage interne, se trouve relié sans restriction à une liaison série connectée à l'APN privé du gestionnaire de réseau de distribution. L'attaquant établit un tunnel SSH depuis cette position pour atteindre l'APN, un réseau conçu pour isoler les équipements télégérés les uns des autres mais qui, en pratique, permettait ici à un appareil compromis d'en atteindre un autre.

Étape 3 : reconnaissance sur l'APN et découverte de l'automate WAGO

À partir du 18 décembre, l'attaquant scanne systématiquement l'APN à la recherche de services VNC, HTTP et de protocoles industriels S7 et Modbus. Cette reconnaissance aboutit à la découverte d'un automate WAGO PFC200 à la centrale de cogénération, dont l'interface web reste protégée par des identifiants par défaut malgré son exposition sur un réseau censé être fermé.

Étape 4 : reconnaissance approfondie sur le réseau de la centrale et ciblage du SCADA

Entre le 18 et le 25 décembre, l'attaquant multiplie les tentatives d'authentification génériques sur le pare-feu de la centrale et scanne les services RDP, VNC ainsi que les protocoles industriels. Le fait que les scans démarrent précisément à l'adresse IP du système SCADA dans un sous-réseau donné suggère, selon CERT Polska, une reconnaissance antérieure ayant déjà permis d'identifier les cibles à forte valeur. Le jour de Noël, l'attaquant se connecte à trois automates Siemens via le protocole S7, probablement en préparation de l'action de sabotage.

Étape 5 : sabotage coordonné et effacement des traces

Le 29 décembre vers 5h30, l'attaquant tunnellise à travers le contrôleur WAGO compromis, ouvre l'interface web SCADA, puis se connecte successivement à un Siemens S7-300, un S7-1200 et un S7-1500, les basculant chacun en mode STOP et les verrouillant par mot de passe. Cette action arrête simultanément la turbine à vapeur et le système de traitement de l'eau de process. Sept serveurs de périphériques série Moxa et trois commutateurs réseau Moxa sont également réinitialisés aux paramètres d'usine, avec des mots de passe modifiés et des adresses IP rendues injoignables telles que 127.0.0.1. L'attaquant referme la session après un dernier passage sur l'interface SCADA, probablement pour constater l'effet de son action, corrompt la table de partition de l'automate WAGO le rendant inutilisable, réinitialise le Teltonika, puis efface les journaux du FortiGate initial.

Indicateurs de compromission

Type	Valeur
Équipement compromis initial	Boîtier FortiGate (pare-feu + VPN concentrateur), sous-station éolienne
Équipement pivot	Routeur cellulaire Teltonika RUTX50
Équipement compromis final	Automate WAGO PFC200 avec modem cellulaire intégré
Automates ciblés pour le sabotage	Siemens S7-300, S7-1200, S7-1500
Équipements réseau reconfigurés	7 serveurs de périphériques série Moxa, 3 commutateurs réseau Moxa
Identifiants tentés sur le pare-feu de la centrale	"admin", "user", et un troisième nom de compte associé à une société de déploiement de systèmes de télégestion

CERT Polska précise ne pas avoir pu récupérer de données exploitables depuis l'automate WAGO endommagé malgré une analyse forensique en laboratoire ; les IOC ci-dessus proviennent de la reconstruction indirecte de l'incident à partir des journaux du routeur Teltonika et des systèmes environnants.

MITRE ATT&CK

Tactique	Technique	ID	Justification
Initial Access	Exploit Public-Facing Application / Valid Accounts	T1190 / T1078	Accès à l'interface VPN FortiGate exposée sans MFA
Lateral Movement	Exploitation of Remote Services	T1210	Tunnel SSH depuis le routeur Teltonika vers l'APN privé pour atteindre un réseau censé être isolé
Discovery	Network Service Discovery	T1046	Scans systématiques VNC, HTTP, S7, Modbus sur l'APN et le réseau de la centrale
Initial Access	Valid Accounts: Default Credentials	T1078.001	Identifiants par défaut sur l'interface web de l'automate WAGO PFC200
Impact	Damage to Property / Inhibit Response Function	T0879 / T0857 (ICS ATT&CK)	Bascule des automates Siemens en mode STOP entraînant l'arrêt de la turbine et du traitement de l'eau
Defense Evasion	Indicator Removal	T1070	Effacement des journaux du FortiGate, réinitialisation du Teltonika et corruption de la table de partition du WAGO

Cette cartographie est une lecture technique construite par la rédaction à partir du rapport CERT Polska, et non une attribution officielle ATT&CK publiée par CERT Polska lui-même. Le lien avec Sandworm évoqué dans la couverture presse repose sur une attribution ESET distincte, portant sur un incident antérieur similaire sur le secteur énergétique polonais fin 2025, et n'est pas confirmé pour cet incident précis par CERT Polska dans son rapport de suivi.

Remédiation : checklist opérationnelle

Imposer l'authentification multifacteur sur toute interface VPN ou d'administration exposée à internet, y compris sur les sites jugés secondaires comme les sous-stations éoliennes.
Interdire toute connexion entre une interface série dédiée à un réseau de télégestion et une interface IP reliée à un réseau d'entreprise sur les routeurs cellulaires double-usage.
Auditer la segmentation réelle des APN privés utilisés pour la télégestion d'équipements distribués : un APN n'isole les équipements entre eux que si sa configuration l'impose explicitement.
Remplacer systématiquement les identifiants par défaut sur tous les automates et interfaces web OT avant mise en service, y compris ceux réputés accessibles uniquement depuis un réseau fermé.
Journaliser et surveiller les connexions S7 et Modbus entrantes vers les automates critiques, avec alerte sur toute connexion depuis une adresse source inhabituelle.
Prévoir une procédure de sauvegarde et de restauration rapide des logiques de contrôle des automates permettant une reprise en moins de quelques heures, comme dans le cas documenté ici.
Étendre la surface d'audit de sécurité OT au-delà du périmètre d'un site unique : ce cas démontre qu'un chemin d'attaque peut relier deux installations physiquement et organisationnellement distinctes via une infrastructure partagée invisible dans les schémas de segmentation classiques.