Peretas Bobol Pembangkit Energi Polandia melalui Private APN
Serangan siber terhadap sektor energi Polandia pada akhir 2025 ternyata menyasar lebih dari satu fasilitas. Dalam insiden yang baru diungkap, sebuah pembangkit combined heat and power (CHP) berukuran kecil berhasil ditembus setelah pelaku memanfaatkan jaringan private Access Point Name (APN) untuk masuk ke lingkungan operational technology (OT).
Fasilitas tersebut memasok kebutuhan panas bagi sekitar 50.000 warga. Serangan menyebabkan steam turbine dan sistem pengolahan air untuk proses pembangkit dimatikan, sehingga aktivitas cogeneration sempat terganggu. Namun, sistem terdampak dapat dipulihkan dengan cepat oleh staf dan gangguan tidak berlangsung lama.
Insiden ini diungkap oleh Polish Computer Emergency Response Team (CERT Polska) dalam laporan tindak lanjut mengenai serangkaian serangan terhadap sektor energi Polandia pada Desember 2025.
Private APN Menjadi Jalur Masuk ke Jaringan OT
Temuan investigasi menunjukkan bahwa pelaku tidak langsung menyerang jaringan OT pembangkit tersebut. Mereka terlebih dahulu menguasai infrastruktur di sebuah fasilitas pembangkit listrik tenaga angin, kemudian memanfaatkan konektivitas cellular untuk berpindah ke jaringan private APN yang dikelola operator sistem distribusi.
Masalah utama berada pada konfigurasi private APN yang memungkinkan perangkat-perangkat di dalam jaringan tersebut saling berkomunikasi tanpa isolasi client yang memadai.
Kondisi ini memberikan peluang bagi penyerang untuk melakukan scanning terhadap perangkat lain yang terhubung ke APN. Dengan demikian, private APN yang seharusnya menjadi jaringan khusus justru dapat dimanfaatkan sebagai jalur lateral menuju fasilitas energi lain.
CERT Polska menilai insiden tersebut sebagai contoh pertama yang diketahui di dunia nyata mengenai serangan terhadap jaringan OT dengan memanfaatkan lateral movement melalui private APN.
Serangan Berawal dari FortiGate dan Router Seluler
Rangkaian serangan bermula ketika pelaku berhasil mengompromikan perangkat FortiGate VPN/firewall pada sebuah fasilitas pembangkit listrik tenaga angin.
Dari jaringan tersebut, penyerang kemudian memanfaatkan router cellular Teltonika untuk membuat jalur menuju private APN milik operator sistem distribusi.
Karena perangkat di dalam APN tidak diisolasi satu sama lain, penyerang dapat mencari perangkat lain yang tersedia pada jaringan tersebut. Salah satu perangkat yang ditemukan adalah WAGO PFC200 programmable logic controller (PLC) milik pembangkit CHP.
Antarmuka web PLC tersebut dapat diakses melalui private APN dan masih menggunakan kredensial administrator default. Kondisi ini memberikan titik masuk yang relatif mudah bagi pelaku untuk mengambil alih controller.
Setelah mendapatkan akses ke WAGO PFC200, penyerang mengaktifkan SSH dan menggunakan perangkat tersebut sebagai jembatan menuju jaringan OT pembangkit.
Penyerang Memetakan Sistem SCADA dan PLC
Setelah memperoleh pijakan di jaringan OT, pelaku melakukan scanning terhadap jaringan untuk mencari sistem SCADA dan perangkat industri lainnya.
Aktivitas tersebut berlangsung selama beberapa hari. Pada 25 Desember 2025, penyerang diketahui telah terhubung ke tiga Siemens PLC yang kemungkinan dilakukan sebagai bagian dari persiapan sebelum serangan utama.
Beberapa hari kemudian, pada 29 Desember sekitar pukul 05.30 waktu setempat, pelaku mulai menjalankan aksinya terhadap sistem operasional pembangkit.
Penyerang mengakses antarmuka SCADA dan Siemens PLC, kemudian mengubah PLC ke mode STOP. Mereka juga mengaktifkan password protection pada perangkat tersebut.
Tindakan ini menyebabkan steam turbine berhenti beroperasi sekaligus menghentikan sistem pengolahan air proses yang digunakan dalam operasional pembangkit. Akibatnya, kegiatan cogeneration di fasilitas tersebut terhenti sementara.
Upaya Menghambat Proses Pemulihan
Serangan tidak berhenti pada penghentian perangkat industri. Pelaku juga melakukan sejumlah tindakan yang dirancang untuk menghambat proses pemulihan dan menyulitkan investigasi forensik.
Beberapa perangkat Moxa di-reset dan dikonfigurasi ulang sehingga proses recovery menjadi lebih sulit. Penyerang juga menghapus log serta merusak atau melakukan reset terhadap sejumlah perangkat yang digunakan dalam rangkaian intrusi.
Perangkat yang terdampak mencakup WAGO controller, router Teltonika, serta FortiGate firewall.
Dengan menghilangkan atau merusak log dan konfigurasi perangkat, pelaku berusaha mengurangi jejak aktivitas mereka sekaligus menyulitkan tim keamanan dalam merekonstruksi bagaimana serangan berlangsung.
Meski demikian, staf pembangkit berhasil memulihkan sistem yang terdampak dalam waktu relatif singkat. Gangguan operasional pun tidak berlangsung cukup lama untuk menyebabkan dampak terhadap pasokan panas kepada masyarakat.
Serangan Terhadap Sektor Energi Polandia
Insiden terhadap pembangkit CHP kecil tersebut merupakan bagian dari rangkaian serangan yang lebih luas terhadap sektor energi Polandia pada Desember 2025.
Pada 29 Desember, kelompok ancaman yang diyakini memiliki keterkaitan dengan Rusia menargetkan sekitar 30 fasilitas pembangkit listrik tenaga angin dan surya serta sebuah pembangkit CHP berukuran besar di Polandia.
Serangan tersebut menyasar distributed energy resource (DER) di berbagai lokasi. Pelaku dilaporkan menonaktifkan perangkat komunikasi, merusak perangkat OT, serta menghapus sistem Windows yang digunakan dalam lingkungan terdampak.
Meski serangan dilakukan dalam skala cukup luas dan bertujuan mengganggu infrastruktur energi, pembangkitan maupun distribusi listrik Polandia tidak sampai mengalami gangguan secara keseluruhan.
Insiden pada pembangkit CHP yang lebih kecil menunjukkan bahwa pelaku juga mampu memanfaatkan jalur jaringan yang tidak biasa untuk mencapai lingkungan OT.
Private APN Tidak Boleh Dianggap Sebagai Jaringan Tepercaya
Salah satu pelajaran utama dari insiden ini adalah bahwa private APN tidak otomatis memberikan isolasi keamanan hanya karena jaringan tersebut bersifat privat.
Konfigurasi yang memungkinkan seluruh client dalam APN saling berkomunikasi dapat menciptakan risiko lateral movement yang serius. Ketika salah satu perangkat berhasil dikompromikan, perangkat lain yang berada pada jaringan yang sama dapat ikut menjadi target.
Situasi tersebut menjadi semakin berbahaya ketika perangkat industri yang terhubung ke jaringan masih menggunakan default credentials atau menyediakan layanan administrasi seperti SSH dan Telnet.
CERT Polska merekomendasikan agar private APN diperlakukan sebagai jaringan eksternal yang tidak sepenuhnya tepercaya. Isolasi antarclient juga perlu diterapkan sehingga satu perangkat yang berhasil dikompromikan tidak dapat digunakan untuk menjangkau perangkat lain secara bebas.
Selain itu, komunikasi antara APN gateway dan sistem OT sebaiknya dibatasi menggunakan allowlist yang hanya mengizinkan traffic yang benar-benar diperlukan.
Layanan administrasi yang terekspos melalui jaringan tersebut, terutama SSH dan Telnet, juga perlu dinonaktifkan apabila tidak diperlukan.
Konfigurasi Jaringan Menjadi Faktor Penting Keamanan OT
Serangan ini menunjukkan bahwa keamanan infrastruktur energi tidak hanya bergantung pada perlindungan perangkat OT itu sendiri. Arsitektur jaringan yang menghubungkan perangkat industri dengan jaringan komunikasi eksternal juga memiliki peran yang sangat penting.
Sebuah PLC dengan kredensial default, layanan administrasi yang terbuka, serta jaringan private APN tanpa client isolation dapat menciptakan kombinasi risiko yang memungkinkan penyerang bergerak dari satu fasilitas ke fasilitas lainnya.
CERT Polska juga menemukan bahwa konfigurasi serupa cukup umum digunakan di Polandia pada saat insiden terjadi. Karena private APN juga banyak digunakan dalam berbagai sektor di negara lain, pola konfigurasi tersebut berpotensi menjadi risiko keamanan yang lebih luas.
Bagi operator infrastruktur kritis, insiden ini menjadi pengingat bahwa jaringan privat tetap membutuhkan segmentasi, pembatasan akses, monitoring, serta prinsip zero trust. Pemisahan yang jelas antara jaringan enterprise, jaringan komunikasi, dan lingkungan OT menjadi semakin penting ketika perangkat industri terhubung melalui jaringan cellular atau private APN.
Sumber: CERT Polska
