Um ataque cibernético contra uma pequena usina de geração combinada de calor e energia na Polônia revelou uma técnica incomum para alcançar sistemas de controle industrial: os invasores utilizaram uma rede celular privada para atravessar a separação entre diferentes ambientes e conseguiram desligar uma turbina a vapor e o sistema de tratamento de água da instalação.
O incidente ocorreu em 29 de dezembro de 2025, mas só foi identificado como um ataque cibernético meses depois. Inicialmente, os operadores da usina atribuíram a interrupção a um erro de um prestador de serviços durante uma manutenção no período de Natal. Uma investigação conduzida pelo CERT Polska, equipe nacional de resposta a incidentes da Polônia, revelou posteriormente que a ocorrência havia sido provocada por uma invasão.
A descoberta chama atenção porque demonstra como uma infraestrutura que não está diretamente exposta à internet pode ainda assim ser alcançada por um invasor quando redes privadas e equipamentos industriais são configurados de maneira inadequada.
Ataque explorou uma rede celular privada
O caminho utilizado pelos hackers envolveu uma tecnologia conhecida como Private APN (Access Point Name).
Um APN privado cria uma rede de comunicação celular dedicada a uma organização. Nesse caso, a estrutura era utilizada pelo operador da rede elétrica para conectar equipamentos remotos, incluindo instalações de energia.
A ideia de utilizar uma rede desse tipo é justamente reduzir a exposição dos equipamentos industriais à internet pública.
O problema encontrado na investigação foi de configuração.
A rede não aplicava isolamento suficiente entre os dispositivos conectados ao mesmo APN. Na prática, isso permitiu que equipamentos pertencentes a ambientes diferentes fossem capazes de se comunicar diretamente.
Para os atacantes, essa configuração transformou uma rede que deveria funcionar como uma camada adicional de proteção em um caminho para alcançar outro ambiente operacional.
Invasores partiram de uma rede de parque eólico
Segundo a investigação apresentada pelo CERT Polska, os criminosos inicialmente comprometeram a infraestrutura de um parque eólico.
A partir desse ambiente, eles conseguiram utilizar a conectividade celular privada para procurar outros equipamentos acessíveis dentro da rede.
Durante aproximadamente 11 dias de reconhecimento, os invasores fizeram varreduras em busca de serviços e protocolos utilizados em ambientes industriais.
Entre os serviços identificados estavam VNC, HTTP, Siemens S7, Modbus e CODESYS — tecnologias utilizadas para administração remota, comunicação e controle de equipamentos industriais.
A investigação encontrou, entre os dispositivos acessíveis, um controlador industrial WAGO PFC200 conectado à usina.
O equipamento possuía uma interface administrativa web acessível pela rede e ainda utilizava credenciais administrativas padrão, o que facilitou a progressão do ataque.
Controladores industriais foram colocados em modo STOP
Depois de alcançar a infraestrutura da usina, os invasores conseguiram chegar aos sistemas responsáveis pelo controle dos equipamentos.
A etapa final envolveu controladores Siemens S7, que foram colocados em modo STOP.
Como consequência, a turbina a vapor e o sistema de tratamento de água da usina foram desligados. A instalação fornecia calor para aproximadamente 50 mil moradores, o que elevou o potencial impacto do incidente sobre a população local.
O objetivo observado pelos investigadores aparentava ser predominantemente disruptivo. Diferentemente de ataques tradicionais de ransomware, não havia como objetivo principal a extorsão por meio do bloqueio de arquivos.
Nesse caso, os invasores utilizaram o acesso obtido para interferir diretamente na operação de equipamentos industriais.
Ataque ficou meses sem ser reconhecido
Um dos aspectos mais preocupantes do caso foi a dificuldade inicial para identificar a origem da interrupção.
Como a falha ocorreu durante uma manutenção programada, os operadores inicialmente consideraram que o desligamento poderia ter sido provocado por uma ação incorreta de um contratado.
Essa interpretação fez com que o incidente não fosse imediatamente tratado como um ataque cibernético.
A situação só mudou depois que o CERT Polska analisou o caso e encontrou indícios que apontavam para uma invasão.
O episódio demonstra uma dificuldade recorrente em ambientes industriais: uma falha operacional e um ataque cibernético podem produzir sintomas semelhantes.
Quando não existem mecanismos adequados de monitoramento, a organização pode interpretar uma alteração provocada deliberadamente por um invasor como um simples problema técnico.
A falha estava na confiança entre redes
O caso da Polônia é especialmente relevante para a segurança de infraestrutura crítica porque não dependeu de uma simples exposição direta de um controlador industrial à internet.
O ataque explorou a confiança existente entre diferentes partes da infraestrutura de comunicação.
A rede celular privada permitia que equipamentos conectados compartilhassem um espaço de comunicação que, na prática, não estava suficientemente segmentado.
Isso criou uma espécie de ponte entre ambientes que deveriam permanecer separados.
Para especialistas, a lição é importante: uma rede privada não é automaticamente uma rede segura.
A segurança depende de configurações como isolamento entre clientes, regras de firewall, autenticação, controle de acesso e monitoramento do tráfego.
Credenciais padrão agravaram o problema
Outro fator decisivo foi a presença de credenciais administrativas padrão no controlador industrial encontrado pelos atacantes.
Equipamentos OT (tecnologia operacional) frequentemente possuem ciclos de vida longos e podem permanecer em funcionamento por muitos anos. Isso pode dificultar atualizações, substituições e mudanças de configuração.
Quando credenciais padrão continuam ativas, entretanto, um equipamento conectado a uma rede comprometida pode se transformar em um ponto de entrada extremamente valioso.
O incidente mostra como medidas relativamente básicas — como alterar credenciais padrão e limitar interfaces administrativas — continuam sendo importantes mesmo em arquiteturas consideradas mais isoladas.
O caso não significa que redes celulares privadas sejam inseguras
A descoberta não indica que redes celulares privadas sejam, por natureza, uma tecnologia insegura.
Pelo contrário, esse tipo de arquitetura pode reduzir a exposição de sistemas industriais à internet pública e oferecer canais dedicados para comunicação com equipamentos remotos.
O problema está na maneira como esses ambientes são configurados.
Uma rede privada precisa ser tratada como parte de uma arquitetura de segurança baseada em Zero Trust, e não como uma barreira automática.
Cada dispositivo deve ser autenticado, cada comunicação deve ser controlada e os diferentes ambientes precisam permanecer isolados quando não houver uma necessidade operacional explícita de comunicação.
Impacto vai além da usina
Embora a instalação atingida fosse relativamente pequena, o caso tem importância para o setor energético.
Usinas de geração de energia, sistemas de aquecimento urbano, estações de tratamento de água e outras instalações críticas estão cada vez mais conectadas para permitir monitoramento remoto e automação.
Essa conectividade aumenta a eficiência operacional, mas também cria caminhos adicionais para ataques.
Uma intrusão em um equipamento de comunicação pode, em determinadas circunstâncias, permitir que o invasor avance até sistemas responsáveis diretamente pelo funcionamento de máquinas físicas.
O caso polonês demonstra que essa progressão não precisa começar no próprio sistema industrial.
Ela pode começar em um equipamento remoto, atravessar uma rede de comunicação considerada confiável e terminar em um controlador responsável por um processo físico.
Alerta para infraestrutura crítica no Brasil
Não há indicação de que o ataque descrito tenha atingido instalações brasileiras.
Ainda assim, o episódio serve como alerta para empresas de energia, saneamento e outras organizações brasileiras que utilizam redes móveis privadas para conectar equipamentos remotos.
A segurança dessas estruturas deve considerar não apenas a proteção contra a internet pública, mas também o que cada dispositivo conectado à rede consegue alcançar.
Entre as medidas importantes estão a segmentação rigorosa das redes, isolamento entre dispositivos, remoção de credenciais padrão, autenticação forte, monitoramento de tráfego, revisão periódica das regras de acesso e separação entre ambientes corporativos e sistemas de controle industrial.
Também é fundamental manter mecanismos capazes de detectar comandos anormais enviados aos controladores.
Conectividade virou parte da superfície de ataque
O ataque contra a usina polonesa mostra uma mudança importante na segurança de ambientes industriais.
No passado, muitos sistemas OT eram protegidos principalmente por isolamento físico. Hoje, a necessidade de manutenção remota, monitoramento e automação faz com que equipamentos industriais dependam cada vez mais de redes IP, VPNs e conexões celulares.
Isso significa que a fronteira de segurança deixou de estar apenas no perímetro da usina.
Ela também está nos roteadores, gateways, redes móveis, credenciais, controladores e sistemas de gerenciamento que permitem que os equipamentos se comuniquem.
O episódio reforça uma regra fundamental para infraestrutura crítica: uma rede que não está aberta à internet ainda pode ser explorada se oferecer conectividade excessiva a um invasor que conseguiu entrar em outro ponto da arquitetura.
Para organizações que operam sistemas industriais, a principal lição é clara: isolamento precisa ser comprovado por controles técnicos, e não apenas presumido pela existência de uma rede privada.
