Polska infrastruktura energetyczna stała się celem skoordynowanego cyberataku o charakterze sabotażowym. Napastnicy zaatakowali instalacje co najmniej 30 farm wiatrowych i fotowoltaicznych, dużą elektrociepłownię (dostarcza ciepło dla prawie pół miliona odbiorców) i prywatne przedsiębiorstwo produkcyjne – informuje raport CERT Polska, który podaje szczegóły ataku, do którego doszło 29 grudnia 2025 r. Potwierdza też, iż cyberatak miał znacznie większą skalę, niż obserwowano dotychczas.

W OZE zaatakowano stacje elektroenergetyczne GPO, czyli miejsce, w którym obiekt OZE łączy się z siecią dystrybucyjną i jej operatorem. CERT ocenia, że istniało ryzyko przestoju w produkcji energii elektrycznej przez zaatakowany obiekt. Jednak nawet gdyby tak się stało, to ubytek sumarycznej mocy wszystkich 30 obiektów nie wpłynąłby na stabilność polskiego systemu elektroenergetycznego – uspokaja raport.

Co ustalił CERT

Według ekspertów celem napastników było trwałe niszczenie danych i blokowanie pracy urządzeń przemysłowych. Wykorzystali do tego specjalistyczne złośliwe oprogramowanie.

Według CERT cyberatak był długo przygotowywany i miał charakter państwowy. W oparciu o zebrane informacje techniczne wiąże go z działaniami takich grup, jak Static Tundra, Berserk Bear, Ghost Blizzard i Dragonfly.

W ocenie CERT Polska infrastruktura użyta do uzyskania początkowego dostępu, kradzieży danych z systemów i zestawienia tuneli VPN użytych do uruchomienia oprogramowania typu wiper oraz do prób uszkodzenia dysków macierzy RAID serwera, pokrywa się z infrastrukturą „Static Tundra”. Jest to rosyjska grupa zidentyfikowana przez Cisco. W ub.r. atakowała wycofane z eksploatacji urządzenia sieciowe. O grupie Berserk Bear mówi natomiast FBI, wskazując iż jest ona powiązana z FSB (rosyjska Federalna Służba Bezpieczeństwa).

Wcześniej Eset ustalił, że ataku z użyciem oprogramowania DynoWiper dokonał prawdopodobnie rosyjski gang Sandworm. Ma on pracować dla GRU (rosyjski wywiad wojskowy).

Zdaniem CERT DynoWiper zawiera podobieństwa do narzędzi powiązanych z Sandwormem oraz z SeashellBlizzard. Jednak podobieństwo w jego ocenie nie jest tak duże, aby przypisać DynoWiper do używanego wcześniej software’u. Raport stwierdza natomiast, iż skryptu PowerShell użyto do uruchomienia DynoWiper na stacjach roboczych.

W elektrociepłowni stwierdzono aktywność napastników już od maja 2025 r.

Firmę przemysłową zaatakowano natomiast szkodnikiem nazwanym LazyWiper, wygenerowanym prawdopodobnie w znacznej części przez LLM. Potwierdza to zagrożenia związane z wykorzystaniem AI przez cyberprzestępców.

Raport opisujący szczegółowo atak jest dostępny na stronie CERT Polska.