Il 29 dicembre 2025, la Polonia ha subito uno dei più coordinati cyberattacchi contro le sue infrastrutture energetiche critiche. L’evento ha messo in luce quanto le moderne reti energetiche possano essere vulnerabili e ha sollevato preoccupazioni sulla sicurezza delle infrastrutture critiche in tutta Europa.
L’attacco ha colpito simultaneamente almeno 30 impianti eolici e solari polacchi, un importante impianto di cogenerazione che fornisce riscaldamento a circa 500.000 clienti, e un’azienda manifatturiera. Gli attaccanti, identificati come un gruppo legato alla Russia noto con diversi nomi tra cui “Static Tundra”, “Berserk Bear” e “Dragonfly”, sono riusciti a penetrare nei sistemi attraverso dispositivi di rete esposti a Internet. In particolare, hanno sfruttato concentratori VPN e firewall Fortinet FortiGate che non utilizzavano l’autenticazione a più fattori. Una volta all’interno, hanno distribuito un malware distruttivo che ha danneggiato le unità terminali remote (RTU), corrotto il firmware di dispositivi operativi di produttori come Hitachi Energy, Mikronika e Moxa, e distrutto dati sulle interfacce uomo-macchina.
Fortunatamente, nonostante la sofisticazione dell’attacco, i servizi essenziali non sono stati interrotti: la generazione e distribuzione di energia è continuata, anche se gli operatori hanno perso temporaneamente la capacità di monitorare e controllare alcuni sistemi. Il 30 gennaio 2026, il CERT Polonia ha confermato l’attacco, seguito da un allarme della CISA (l’agenzia americana per la cybersicurezza) il 10-11 febbraio 2026.
L’importanza di questo incidente va oltre i confini polacchi. Dimostra come le infrastrutture energetiche moderne, sempre più digitalizzate, possano essere prese di mira in modo strategico. La capacità degli attaccanti di colpire simultaneamente diversi tipi di impianti energetici suggerisce un’operazione ben pianificata, probabilmente con l’intento di testare strategie o creare disagi significativi. Se l’attacco fosse riuscito a interrompere effettivamente le forniture energetiche durante l’inverno, le conseguenze avrebbero potuto essere severe per centinaia di migliaia di persone.
Per proteggersi da minacce simili, le aziende che gestiscono infrastrutture critiche dovrebbero implementare urgentemente l’autenticazione a più fattori su tutti i sistemi accessibili da Internet, aggiornare regolarmente firmware e software, segmentare le reti per isolare i sistemi critici, e condurre frequenti valutazioni di vulnerabilità. È inoltre essenziale sviluppare e testare piani di risposta agli incidenti che permettano di mantenere operativi i servizi essenziali anche durante un attacco.
Principali insegnamenti da questo incidente:
• La mancanza di autenticazione a più fattori sui dispositivi di rete esposti a Internet rappresenta una vulnerabilità critica che può essere facilmente sfruttata.
• Anche se gli attacchi cyber non causano interruzioni immediate dei servizi, la perdita di capacità di monitoraggio e controllo rappresenta un rischio significativo per la sicurezza operativa.
• La collaborazione internazionale tra agenzie di cybersecurity, come dimostrato dalla risposta coordinata di CERT Polonia e CISA, è fondamentale per identificare e mitigare le minacce transnazionali.
Fonti: cyberscoop.com, industrialcyber.co, notebookcheck.net, cybersecuritydive.com, helpnetsecurity.com, cybersecurity-review.com
Fonte: CISA Advisories