Une centrale électrique polonaise compromise via un APN privé — la première attaque OT par déplacement latéral mobile jamais documentée

Le 10 août 2026, le CERT polonais (CERT Polska) a publié un rapport de suivi sur les cyberattaques destructrices qui ont frappé le secteur énergétique polonais en décembre 2025. La révélation centrale : un second site — une centrale de cogénération alimentant environ 50 000 résidents — a été compromise via un APN privé (Access Point Name), une passerelle réseau mobile utilisée par les opérateurs de distribution d’énergie pour connecter leurs sites industriels distants.

Le CERT polonais qualifie cet incident de première attaque OT documentée dans laquelle un acteur malveillant s’est déplacé latéralement à travers un APN privé pour atteindre un réseau industriel. L’impact a été réel : arrêt de la turbine à vapeur et du système de traitement d’eau, interruption des opérations de cogénération.

Anatomie de l’attaque

La chaîne de compromission reconstituée par le CERT polonais est un cas d’école de lateral movement à travers une infrastructure réseau conçue sans segmentation :

1. Point d’entrée initial (début décembre 2025). L’attaquant compromet un pare-feu/VPN FortiGate sur un parc éolien distant. Cette compromission initiale n’a pas été détaillée par le CERT, mais les appliances VPN exposées sur Internet sont une cible prioritaire des acteurs étatiques — le catalogue CISA KEV recense 14 vulnérabilités FortiOS exploitées activement depuis 2024.

2. Rebond via routeur cellulaire. Depuis le réseau du parc éolien, l’attaquant utilise un routeur cellulaire Teltonika présent sur le site pour se connecter à l’APN privé géré par l’opérateur du réseau de distribution. Un APN privé fonctionne comme un VPN MPLS mobile : il crée un réseau IP privé entre les cartes SIM industrielles et le réseau de l’opérateur.

3. Absence d’isolation entre clients. La configuration de l’APN privé ne comportait pas d’isolation entre les appareils connectés. N’importe quel équipement sur l’APN pouvait scanner et communiquer avec n’importe quel autre — une topologie de réseau plat appliquée à une infrastructure critique.

4. Prise de contrôle d’un automate industriel (18 décembre). En scannant l’APN, l’attaquant découvre un automate WAGO PFC200 hébergeant l’interface web de la centrale de cogénération. L’interface était protégée par les identifiants administrateur par défaut. L’attaquant active SSH sur l’automate et l’utilise comme pont vers le réseau OT de la centrale.

5. Reconnaissance (19-24 décembre). Pendant une semaine, l’attaquant scanne le réseau OT à la recherche de systèmes SCADA et d’équipements industriels. Le 25 décembre, il établit des connexions vers trois automates Siemens, probablement en préparation de l’attaque.

6. Exécution (29 décembre, 5h30). L’attaquant accède à l’interface SCADA, bascule les automates Siemens en mode STOP, active la protection par mot de passe, et provoque l’arrêt de la turbine à vapeur et du système de traitement d’eau. Il réinitialise et reconfigure plusieurs équipements Moxa pour entraver la reprise, détruit les logs, et corrompt l’automate WAGO, le routeur Teltonika et le pare-feu FortiGate utilisés durant l’intrusion.

Le personnel de la centrale a réussi à restaurer les systèmes impactés rapidement ; l’interruption a été de courte durée et n’a pas affecté la population.

Le problème structurel des APN privés

L’enquête du CERT polonais a révélé que la configuration sans isolation entre clients était courante en Pologne au moment de l’attaque — et que des configurations similaires sont probablement utilisées à l’international.

Un APN privé est conçu pour connecter de manière sécurisée des équipements industriels distants au réseau central d’un opérateur. Le modèle mental est celui d’un VPN : un tunnel chiffré entre un équipement autorisé et le réseau de l’opérateur. Mais dans l’implémentation, l’APN fonctionne comme un LAN de niveau 2 partagé entre tous les équipements autorisés. Sans isolation au niveau de l’APN, la compromission d’un seul équipement — un routeur cellulaire sur un parc éolien à 200 km de la centrale — donne à l’attaquant un accès réseau complet à tous les autres équipements connectés au même APN.

Le problème est aggravé par trois facteurs :

• Invisibilité pour les équipes IT. Les APN sont généralement gérés par l’opérateur télécom, pas par l’équipe réseau de l’industriel. Le trafic intra-APN n’est pas visible dans les outils de monitoring classiques (SIEM, NDR).
• Confiance implicite. Les ingénieurs OT traitent l’APN comme une extension du réseau interne de confiance, exposant des interfaces d’administration web et des services SSH sans authentification forte.
• Identifiants par défaut. L’automate WAGO PFC200 compromis utilisait les identifiants par défaut — une négligence qui transforme une vulnérabilité de configuration réseau en compromission complète du système industriel.

Les recommandations du CERT polonais

Le rapport du CERT polonais formule quatre recommandations directement transposables à toute organisation utilisant des APN privés pour connecter des sites industriels :

1. Traiter les APN privés comme des réseaux externes non fiables. Ne jamais considérer qu’un appareil connecté à l’APN est de confiance par défaut.
2. Activer l’isolation entre les clients connectés à l’APN. Chaque équipement ne doit pouvoir communiquer qu’avec la gateway de l’APN, pas avec les autres équipements.
3. Mettre en place des listes d’autorisation (allowlists) pour le trafic essentiel entre les gateways APN et les systèmes OT. Tout autre trafic doit être bloqué par défaut.
4. Désactiver les services d’administration exposés (SSH, Telnet, interfaces web) sur les équipements accessibles via l’APN, et remplacer systématiquement les identifiants par défaut.

Ce que cet incident change pour la sécurité des réseaux OT

L’attaque de la centrale polonaise marque un tournant dans la compréhension des surfaces d’attaque des infrastructures critiques. Jusqu’à cet incident, la sécurité des réseaux OT se concentrait sur la segmentation IT/OT (le firewall entre le réseau de bureau et le réseau industriel) et la sécurité des protocoles industriels (Modbus, DNP3, IEC 61850). L’APN était considéré comme une couche de transport transparente, pas comme un vecteur d’attaque.

La réalité est différente. L’APN privé est un réseau de confiance implicite qui interconnecte tous les sites distants d’un opérateur industriel. Le compromettre, c’est obtenir un accès réseau à l’ensemble du parc industriel sans franchir un seul firewall IT/OT.

Les RSSI d’opérateurs d’infrastructures critiques doivent intégrer l’APN dans leur modèle de menace au même titre que le VPN d’accès distant ou l’interconnexion avec un partenaire. La question n’est plus « l’APN est-il chiffré ? » mais « chaque équipement sur l’APN est-il authentifié, segmenté et surveillé individuellement ? ».

Verdict

L’incident polonais démontre qu’un réseau de confiance implicite — qu’il s’agisse d’un APN, d’un VLAN de management ou d’une interconnexion MPLS — est une surface d’attaque qui attend d’être exploitée. La segmentation réseau n’est pas une option pour les infrastructures critiques ; c’est la différence entre un incident contenu et une cascade de compromissions.

Si votre organisation utilise un APN privé pour connecter des sites industriels, vérifiez dès cette semaine que l’isolation entre clients est activée. Si vous ne savez pas si elle l’est, partez du principe qu’elle ne l’est pas et planifiez un audit immédiat avec votre opérateur télécom.

Références

• BleepingComputer — Hackers breached a small Polish energy plant via private APN last year (10 août 2026)
• CERT Polska — Follow-up report on December 2025 energy sector attacks
• CISA — Known Exploited Vulnerabilities Catalog
• MITRE ATT&CK for ICS — Lateral Movement (T0812)
• ENISA — Good Practices for Security of IoT in the context of Smart Grids