In december 2025 hebben hackers via een privécelnetwerk van een Poolse netbeheerder toegang gekregen tot de besturingssystemen van een gecombineerde warmte- en krachtcentrale (CHP). Hierbij werden een stoomturbine en het proceswaterbehandelingssysteem uitgeschakeld. De centrale levert warmte aan ongeveer 50.000 inwoners. Het herstel begon rond 7:30 uur terwijl de aanvallers nog actief waren in het netwerk, zonder dat klanten warmte of elektriciteit verloren.

De aanval vond plaats via een private APN (access point name), een speciaal mobiel datanetwerk beheerd door de distributiesysteembeheerder. Door een configuratie die toestond dat apparaten binnen dit APN onderling communiceerden, konden de aanvallers zich verplaatsen van een gecompromitteerd windparknetwerk naar een controller in de CHP-centrale. Volgens CERT Polska is dit de eerste bekende cyberaanval waarbij een industriële besturingsnetwerk via een private APN werd bereikt.

De windmolenlocatie en de centrale zijn aparte faciliteiten en beheren het verbindende netwerk niet zelf. Er is geen specifieke CVE vastgesteld als oorzaak van de inbraak en het is onduidelijk of een kwetsbaarheid in de gebruikte Teltonika-router is misbruikt. De WAGO-controller die via het APN bereikbaar was, gebruikte nog standaard beheerderswachtwoorden en het APN stond client-to-client verkeer toe. CERT raadt aan om de APN-configuratie te auditen, clientisolatie in te schakelen, het APN als onbetrouwbaar te behandelen vanuit de operationele technologie, het netwerkverkeer te segmenteren en te beperken, onnodige beheerinterfaces te verwijderen en standaardwachtwoorden te wijzigen.

Uit onderzoek blijkt dat Poolse organisaties met private APN's vaak toestaan dat elk apparaat binnen het netwerk met elk ander apparaat communiceert, een configuratie die ook internationaal veel voorkomt. De aanval startte bij een windpark waar een FortiGate-apparaat als firewall en VPN-concentrator fungeerde. Deze VPN was internet-blootgesteld en accepteerde accounts zonder multi-factor authenticatie. De aanvaller had administratieve rechten op dit apparaat en gebruikte die vermoedelijk om VPN-credentials te verkrijgen die toegang gaven tot alle netwerksegmenten.

Communicatie naar de remote terminal unit van het onderstation verliep via het vereiste seriële DNP3.0-protocol, maar er waren geen vergelijkbare eisen voor het beheer van de mobiele router, die via een tweede interface op een VLAN achter de firewall was aangesloten. De gebruikte Teltonika RUTX50-router had een gewijzigd standaardwachtwoord, maar herhaalde succesvolle SSH-inlogpogingen wijzen op een onbekende methode van wachtwoordverwerving. Er zijn geen bekende kwetsbaarheden in de firmware die een onbevoegde toegang tot het wachtwoord zouden geven, hoewel een niet-gepubliceerde kwetsbaarheid niet is uitgesloten.