15 kontroli po 29 grudnia — lista dla właściciela i operatora farmy wiatrowej lub PV
Jedna strona. Każda kontrola odpowiada na konkretne ustalenie z raportów CERT Polska o ataku z 29 grudnia 2025 r. (raport z 30.01.2026 i uzupełnienie z 8.08.2026). Żaden z opisanych tam ataków nie wymagał luki dnia zerowego: wszystkie przeszły przez wystawione do internetu interfejsy, brak drugiego składnika logowania, domyślne lub współdzielone hasła i brak podziału sieci. Kolumna „jak sprawdzić” opisuje test, który da się wykonać w jeden dzień, bez dotykania produkcji.
| # | Kontrola | Co się stało 29.12.2025 | Jak sprawdzić w jeden dzień | Kto odpowiada | Pilność |
|---|---|---|---|---|---|
| 1 | Żaden interfejs zarządzania nie jest widoczny z internetu: panel VPN i firewalla, HMI, VNC, strona WWW sterownika RTU, serwery portów szeregowych | Na każdej zaatakowanej farmie wejściem był koncentrator VPN z interfejsem wystawionym do internetu | Zewnętrzny skan własnych adresów publicznych i adresów kart SIM; porównanie z listą od operatora sieci i dostawcy łączności | Właściciel z O&M | Natychmiast |
| 2 | Drugi składnik logowania (MFA) na każdym dostępie zdalnym: VPN, pulpit zdalny, konta serwisowe producentów turbin, falowników i SCADA | Konta VPN bez MFA; te same hasła używane na wielu obiektach | Wydruk wszystkich kont VPN i RDP z informacją, które mają MFA; konta bez MFA zablokować tego samego dnia | O&M, dział IT | Natychmiast |
| 3 | Urządzenia brzegowe mają aktualne oprogramowanie, a krytyczne poprawki wchodzą w 30 dni | Część urządzeń brzegowych była podatna na zdalne wykonanie kodu „przez dłuższy czas” | Inwentarz wersji firmware urządzeń brzegowych w każdej lokalizacji zestawiony z ostrzeżeniami producentów | O&M | 2 tygodnie |
| 4 | Brak domyślnych i współdzielonych haseł na sterownikach RTU, routerach LTE, serwerach portów, PLC i HMI; hasła unikalne per obiekt | Konto domyślne na RTU z prawem zmiany firmware, domyślne hasło administratora na RTU innego producenta, domyślne dane na serwerach portów, „admin” na sterowniku PLC | Lista urządzeń z potwierdzeniem zmiany każdego konta fabrycznego; test logowania domyślnym hasłem wykonany przez O&M na replice lub w oknie serwisowym | O&M, integrator | Natychmiast |
| 5 | Włączona weryfikacja podpisu aktualizacji firmware tam, gdzie urządzenie ją oferuje | Do sterowników wgrano uszkodzone firmware z zewnątrz; funkcja bezpiecznej aktualizacji istniała w nowszych wersjach, ale nie była używana | Dla każdego typu RTU i sterownika: czy funkcja istnieje, czy jest włączona, od której wersji | Integrator, producent | 1 miesiąc |
| 6 | Konta serwisowe producentów i O&M są imienne, ograniczone w czasie i logowane; brak stałych tuneli dostawców | Współdzielone poświadczenia między obiektami; brak śladu, kto i kiedy wchodził | Lista dostawców z dostępem zdalnym, ich kont i ostatnich logowań; usunięcie kont po zakończonych pracach | Właściciel | 2 tygodnie |
| 7 | Prywatny APN i sieć stacyjna nie mają trasy do sterowników poza listą dozwolonych połączeń; zapora między routerem LTE a PLC, domyślnie „odmawiaj” | Z routera na farmie wiatrowej atakujący przeszli tunelem przez prywatny APN operatora sieci do sterownika PLC w elektrociepłowni | Schemat sieci z zaznaczonymi trasami z APN; test z routera jednej farmy, czy widać urządzenia innych obiektów | Operator łączności, integrator | Natychmiast |
| 8 | Rozdział IT od OT: stacje inżynierskie i serwery SCADA poza domeną biurową, polityki GPO nie sięgają OT | W elektrociepłowni program niszczący rozesłano przez polityki domeny z kontrolera domeny biurowej | Lista maszyn OT w domenie biurowej; plan wyniesienia ich do osobnej domeny lub grupy roboczej | Dział IT, integrator | 1 miesiąc |
| 9 | Ochrona EDR i centralne logi na serwerach SCADA, stacjach inżynierskich i serwerach skoków | W dużej elektrociepłowni to EDR zatrzymał program niszczący i ciepło płynęło dalej | Lista systemów Windows w OT z informacją, czy mają EDR i czy logi trafiają poza obiekt | Dział IT | 1 miesiąc |
| 10 | Kopie konfiguracji i obrazów firmware wszystkich urządzeń OT trzymane poza siecią obiektu, test odtworzenia raz w roku | Urządzenia brzegowe przywrócono do ustawień fabrycznych, sterowniki wymagały ponownego wgrania firmware | Katalog kopii per urządzenie z datą; próba odtworzenia jednego urządzenia na replice | O&M | 1 miesiąc |
| 11 | Zdolność pracy lokalnej po utracie zdalnego sterowania: procedura, przeszkolona obsługa, znany czas dojazdu | Operator drugiej elektrociepłowni początkowo uznał atak za awarię podwykonawcy | Ćwiczenie „nie mamy zdalnego dostępu”: kto jedzie, co robi, ile to trwa | Właściciel, O&M | 2 miesiące |
| 12 | Alarmy na zdarzenia, które poprzedzały atak: logowanie VPN bez MFA lub z nowego konta, zmiana konfiguracji zapory, wgranie firmware do RTU, przełączenie PLC w STOP, nowe połączenie z APN do portów przemysłowych | Atak był przygotowywany od marca do lipca 2025: rekonesans, kradzież poświadczeń, eksport konfiguracji zapory | Przegląd, które z tych zdarzeń dziś w ogóle generują alarm i kto go odbiera | Dział IT, SOC | 1 miesiąc |
| 13 | Przegląd ostatnich 9–12 miesięcy pod kątem śladów przygotowań: nieznane konta, eksporty konfiguracji, pulpit zdalny z interfejsu zapory do serwera skoków | Pierwsza aktywność w elektrociepłowni to marzec–maj 2025, osiem miesięcy przed zniszczeniami | Jednorazowe polowanie w logach zapory, VPN i kontrolera domeny | Dział IT, zewnętrzny zespół | 1 miesiąc |
| 14 | Runbook incydentu: kto decyduje o odcięciu dostępu zdalnego, jak zgłosić zdarzenie do CSIRT w 24 godziny zgodnie z ustawą o KSC, kontakty do producentów, O&M i operatora sieci; ćwiczenie raz w roku | Zgłoszenia trafiały do CSIRT po fakcie; część operatorów brała atak za awarię | Czy runbook istnieje, czy numery są aktualne, kiedy ostatnio ćwiczono | Zarząd | 2 miesiące |
| 15 | Umowy z O&M, producentami i integratorami: zakaz przekazywania urządzeń z hasłami fabrycznymi, obowiązek MFA, powiadamianie o podatnościach, terminy poprawek, prawo audytu | Producenci wskazali „niewystarczającą higienę” po stronie obiektów; odpowiedzialność rozmyła się między właścicielem, O&M i integratorem | Przegląd umów pod kątem tych pięciu klauzul; aneksy przy najbliższym odnowieniu | Zarząd, prawnik | 3 miesiące |
Jak czytać wynik. Kontrole 1, 2, 4 i 7 to cztery drzwi, przez które przeszedł atak grudniowy; jeśli któraś jest otwarta, reszta listy może poczekać. Kontrole 9–11 decydują o tym, czy incydent kończy się godziną przestoju, czy tygodniem bez produkcji. Kontrole 14–15 to to, o co zapyta CSIRT, ubezpieczyciel i audytor KSC: system zarządzania bezpieczeństwem ma działać od 3 kwietnia 2027 r., pierwszy audyt i kary przychodzą od 3 kwietnia 2028 r.
Zastrzeżenia. Lista opiera się na publicznych raportach CERT Polska, ESET i Dragos oraz na komunikatach producentów; nie zastępuje przeglądu konkretnego obiektu. Żadnej kontroli nie wykonuje się aktywnymi testami na pracującej instalacji; testy inwazyjne wyłącznie na replice lub w uzgodnionym oknie serwisowym, za pisemną zgodą właściciela.
Źródła: CERT Polska, „Raport z incydentu w sektorze energetycznym” (30.01.2026) i uzupełnienie (8.08.2026), https://cert.pl/ ; ESET Research (23.01.2026); Dragos (2026); ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji (Dz.U. 2026 poz. 252); NIST SP 800‑82r3 (zasada testów pasywnych w OT).