Il 30 gennaio il CERT Polska, il centro nazionale polacco per la risposta agli incidenti, ha pubblicato il rapporto su una serie di attacchi coordinati avvenuti il 29 dicembre 2025 contro il settore energetico del Paese. Lo scopo, scrive, era «puramente distruttivo».
Sono stati colpiti oltre 30 impianti eolici e fotovoltaici, un’azienda manifatturiera del settore e una grande centrale di cogenerazione che fornisce calore a quasi mezzo milione di persone, in pieno inverno. Gli attaccanti erano entrati nelle reti dei punti di connessione alla rete elettrica, ne avevano studiato i dispositivi e avevano preparato un piano di distruzione in parte automatizzato, scattato la mattina del 29 dicembre. In almeno un caso l’ingresso è avvenuto dal portale VPN di un firewall.
Negli impianti rinnovabili hanno danneggiato il firmware dei controllori remoti, cancellato file di sistema e avviato un malware distruttivo, un wiper battezzato DynoWiper. Gli impianti hanno perso la comunicazione con il gestore della rete di distribuzione, che non poteva più controllarli a distanza, ma la produzione è continuata. Nella centrale il wiper è stato fermato dal sistema di protezione delle postazioni, e il calore ha continuato ad arrivare nelle case.
Due gruppi, una sola pista
Il CERT polacco attribuisce gli attacchi a un gruppo legato ai servizi di sicurezza russi, noto da anni per le operazioni contro il settore energetico. Una società di sicurezza che ha analizzato il malware lo collega invece a un altro gruppo russo, legato all’intelligence militare. Chi abbia ragione è ancora da stabilire, ma entrambe le ipotesi portano a Mosca. Il precedente che viene in mente a tutti è l’Ucraina del dicembre 2015, quando un attacco informatico lasciò al buio centinaia di migliaia di persone.
Gli impianti rinnovabili sono tanti, piccoli e gestiti a distanza, e diventano un bersaglio sempre più interessante. Stavolta l’attacco ha mancato l’obiettivo principale, ma la preparazione era lunga e mirata.
Se gestisci impianti industriali, separa le reti operative da quelle aziendali e da Internet, e proteggi gli accessi VPN con un’autenticazione a più fattori, aggiornando i firewall perimetrali senza aspettare. Cambia le credenziali predefinite di controllori e dispositivi di campo, tenendo copie dei loro firmware e delle configurazioni.
E prova davvero a gestire un impianto senza controllo remoto, prima che sia qualcun altro a costringerti.
