ATTACCHI · ATTACCO DISTRUTTIVO, WIPER E OT
Rete energetica polacca, dicembre 2025: un wiper contro impianti e apparati
Il 29 dicembre 2025 un attacco distruttivo ha colpito più di 30 impianti eolici e fotovoltaici, una grande centrale di cogenerazione e un'azienda manifatturiera in Polonia. Apparati danneggiati e stazioni scollegate dal gestore della rete, ma nessun blackout; CERT Polska collega l'attacco a un gruppo associato alla Russia.
- Vittima
- Impianti rinnovabili, una centrale di cogenerazione e un'azienda manifatturiera
- Settore
- Energia
- Paese
- Polonia
- Data
- 29 dicembre 2025
- Categoria
- Attacco distruttivo, wiper e OT
- Causa
- Credenziali rubate o MFA assente · Errore di configurazione
- Attore
- Legato a uno Stato (confermato). Per CERT Polska il cluster Berserk Bear o Dragonfly, associato alla Russia; ESET e Dragos indicano Sandworm (GRU) con confidenza media
- Scenari di danno
- Danno fisico · Ripristino di dati e sistemi
Le cause in breve
- Accesso iniziale. In tutti i casi da apparati perimetrali esposti a internet, configurati come VPN e firewall, con accessi senza autenticazione a più fattori (Help Net Security).
- Configurazioni note. Secondo Dragos gli attaccanti conoscevano le configurazioni tipiche degli apparati in campo e hanno usato vulnerabilità note ed errori di configurazione (The Register).
- Presenza prolungata. Nella centrale l'attaccante era presente da tempo, con account privilegiati (CERT Polska).
L'impatto
- Danneggiati controllori remoti (RTU) e firmware: le stazioni hanno perso il collegamento con il gestore della rete di distribuzione (CERT Polska).
- In alcuni casi apparati danneggiati in modo irreparabile, secondo Dragos (The Register).
- Produzione di elettricità e fornitura di calore a quasi mezzo milione di utenti non interrotte; nella centrale un software EDR ha bloccato il wiper (CERT Polska).
- Costi e coperture assicurative: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Dipende dal wordingL'indagine risponde solo se l'esclusione per atti di guerra o di Stato non si applica: con un'attribuzione ufficiale alla Russia è il primo punto di discussione.
- Ripristino di dati e sistemiRisponde con limitiLe polizze cyber coprono il ripristino di dati e software; la sostituzione di apparati resi inutilizzabili rientra solo con estensioni dedicate.
- Business interruption propriaNon pertinenteLa produzione non si è fermata.
- Business interruption dipendente (fornitore)Non pertinenteNessun fermo per i clienti degli impianti.
- EstorsioneNon pertinenteNessuna richiesta di riscatto: l'obiettivo era distruttivo.
- Notifica e responsabilità privacyNon pertinenteLe fonti non riportano un furto di dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliNon pertinenteNessun danno a terzi: niente blackout né interruzioni del calore.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Guerra e attori statali. Un attacco distruttivo contro infrastrutture energetiche, attribuito a uno Stato, è il caso per cui le esclusioni sono state scritte.
- Danno fisico. Le polizze cyber escludono di norma i danni materiali; quelle danni li escludono se causati da un attacco informatico. Senza un testo chiaro, l'apparato distrutto resta in mezzo.
- Infrastrutture critiche. Molti testi escludono il guasto di reti elettriche e di telecomunicazione esterne all'assicurato.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un attacco coordinato su più di 30 impianti ha danneggiato apparati in modo irreparabile; un'interruzione in pieno inverno avrebbe colpito la popolazione.
Segnale di cumulo per il portafoglio.
Cumulo sulle infrastrutture critiche: lo stesso attaccante ha colpito decine di impianti insieme, sfruttando configurazioni comuni agli apparati in campo.