Bezpieczeństwo OT / ICS
W grudniu 2025 r. atakujący uszkodzili urządzenia sterujące w ponad 30 farmach wiatrowych i fotowoltaicznych w Polsce. Drogę otworzyły im VPN bez wieloskładnikowego uwierzytelniania i domyślne hasła.1 Chronimy sieci przemysłowe tam, gdzie to się zaczyna – od dostępu: MFA także w sieciach odciętych od internetu i kontrola kont między strefami z Silverfort oraz osobiste klucze YubiKey zamiast wspólnych haseł.
30+
farm wiatrowych i fotowoltaicznych zaatakowano 29 grudnia 2025 r. Według raportu CERT Polska atakujący logowali się m.in. domyślnymi kontami do sterowników RTU, urządzeń zabezpieczeniowych i komputerów HMI.1
0,5 mln
odbiorców ciepła zaopatruje elektrociepłownia, która była jednym z celów tego samego ataku.2
1 konto
VPN miało prawdopodobnie dostęp do wszystkich wydzielonych podsieci obiektu.1
100%
zaatakowanych farm OZE miało interfejs VPN dostępny z internetu i logowanie bez MFA.1
5 mies.
minęło od zgrania całej bazy Active Directory elektrociepłowni (druga połowa lipca 2025 r.) do ataku 29 grudnia.1
Wniosek: najsłabszym ogniwem nie była sama technologia przemysłowa, tylko dostęp do niej – hasło bez drugiego składnika, wspólne konta i jedno konto z dostępem do wszystkich podsieci.
Scenariusze z raportu CERT Polska o ataku na polską energetykę i z materiałów producentów. W większości atakujący nie łamie zabezpieczeń OT – korzysta z dostępu, który ktoś zostawił otwarty. Przy każdym: co w tym miejscu robi nasza technologia.
W zaatakowanych obiektach interfejs VPN był dostępny z internetu i pozwalał zalogować się bez MFA.1
Silverfort: kontroluje dostęp na styku IT i OT (strefa 3.5) i wymusza MFA kluczem FIDO2 przy dostępie do stacji inżynierskich, serwerów SCADA i innych zasobów produkcyjnych.3
Według CERT Polska branżowa praktyka używania tych samych kont i haseł w wielu lokalizacjach mogła ułatwić przejmowanie kolejnych urządzeń.1
YubiKey: osobisty klucz sprzętowy zamiast wspólnego hasła – a dotknięcie klucza potwierdza, że przy stanowisku jest człowiek.4
Sieci były wydzielone, ale jedno konto VPN miało prawdopodobnie dostęp do wszystkich podsieci – segmentacja istniała tylko na papierze.1
Silverfort: mapuje konta administratorów i konta serwisowe, które łączą się między strefami, i ogranicza je do wyznaczonych zasobów – „wirtualne ogrodzenie” zamiast dostępu do wszystkiego.3
Sterowniki RTU, urządzenia zabezpieczeniowe, komputery HMI i serwery portów przejęto, logując się domyślnymi kontami. Na HMI uruchomiono oprogramowanie niszczące dane.1
SafeWave: w pierwszym kroku spisujemy i zmieniamy hasła domyślne w sterownikach, HMI i serwerach portów. Tam, gdzie logowanie przechodzi przez Active Directory, Silverfort dokłada MFA.
W elektrociepłowni atakujący zaatakował Kerberos narzędziem Rubeus, a w drugiej połowie lipca 2025 r. zgrał całą bazę Active Directory. Potem szukał systemów z „scada” w nazwie i próbował łączyć się przez RDP z kolejnymi maszynami.1
Silverfort: wymusza MFA przy uwierzytelnieniach w Active Directory – także NTLM i Kerberos – więc samo przejęte hasło nie wystarcza do zalogowania się do chronionych stacji i serwerów.5
Sieci produkcyjne często nie mają łączności z internetem, więc MFA z chmury nie działa. Brak MFA staje się wtedy „wyjątkiem”, który zostaje na lata.
Silverfort i YubiKey: Silverfort obejmuje MFA wszystkie uwierzytelnienia w Active Directory także w sieciach całkowicie odłączonych, z kluczami FIDO2.5 YubiKey nie potrzebuje baterii, zasilania ani łączności komórkowej.4
Firewall między biurem a halą to dziś standard. Ale w ataku na polskie farmy OZE drogą wejścia był właśnie firewall – z VPN dostępnym z internetu i logowaniem bez MFA.1
Segmentacja bez kontroli tożsamości to drzwi z zamkiem, do którego klucz ma każdy, kto zna wspólne hasło.
Silverfort
Silverfort chroni uwierzytelnienia w Active Directory bez agentów i bez zmian w systemach – także w sieciach całkowicie odłączonych od internetu. W OT kontroluje dostęp na styku IT i OT (strefa 3.5) i wymusza MFA przy dostępie do zasobów w strefach 2 i 3.3
Jedno miejsce decyzji, kto i na jakich zasadach wchodzi do sieci przemysłowej.
Drugi składnik przy logowaniu do stacji inżynierskich i serwerów w strefach 2 i 3.
MFA dla uwierzytelnień NTLM, Kerberos i LDAP – bez instalowania czegokolwiek na stacjach.5
MFA działa bez chmury i bez łączności z internetem.
„Wirtualne ogrodzenie”: konto działa tylko tam, gdzie przenosi dane operacyjne.
Mapa adminów łączących się między strefami i ograniczenie ich do wyznaczonych zasobów.
Drugi składnik musi działać w hali: bez telefonu, bez baterii i bez zasięgu. Klucze YubiKey działają bez zasilania i łączności komórkowej, a jeden klucz obsługuje FIDO2 i kartę inteligentną (PIV).4
Osobisty klucz zamiast wspólnego hasła oznacza też, że każde logowanie da się przypisać konkretnej osobie.
Energetyka i woda należą do sektorów o wysokim krytycznym znaczeniu (załącznik I). Art. 21 ust. 2 wymaga m.in. kontroli dostępu (lit. i) oraz uwierzytelniania wieloskładnikowego lub ciągłego w stosownych przypadkach (lit. j).6
Nowelizacja wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne mają czas na wdrożenie obowiązków do 3 kwietnia 2027 r., a za cyberbezpieczeństwo odpowiadają także kierownicy.7
Seria norm bezpieczeństwa przemysłowych systemów automatyki i sterowania, m.in. z wymaganiami dla systemów i poziomami bezpieczeństwa. To nie przepis, ale punkt odniesienia dla operatorów i dostawców OT.8
Przepisy nie wskazują produktów. Pomagamy przełożyć je na konkretne zabezpieczenia sieci przemysłowej – i udokumentować je na potrzeby kontroli.
SafeWave działa od 1998 r. jako integrator niezależny od producentów. W OT pracujemy razem z utrzymaniem ruchu: nic nie zmieniamy w sieci produkcyjnej bez uzgodnionego okna serwisowego.
Ustalamy, jakie urządzenia i połączenia są w sieci przemysłowej oraz kto i jak się do nich łączy – także dostawcy i serwis.
Najpierw to, co wykorzystano w ataku na polską energetykę: MFA dla VPN i dostępu zdalnego, zmiana haseł domyślnych, osobne konta zamiast wspólnych.
Silverfort mapuje konta administratorów i konta serwisowe łączące się między strefami i ogranicza je do wyznaczonych zasobów.
Silverfort i klucze YubiKey dla stacji inżynierskich i serwerów SCADA – także tam, gdzie nie ma internetu. Wdrożenie planujemy razem z utrzymaniem ruchu. Wsparcie po polsku.
Zacznijmy od przeglądu dostępu do OT: VPN, konta dostawców, hasła domyślne i segmentacja. Wnioski dostaniesz jako listę działań w kolejności ryzyka.