29 декабря 2025 года группировка Electrum, связываемая с российскими госструктурами, скоординированно атаковала около 30 объектов распределённой энергетики в Польше — ветропарки, солнечные станции и когенерационные установки. По данным Dragos и The Hacker News, злоумышленники получили доступ через уязвимые интернет-доступные периферийные устройства, использовали пароли по умолчанию для пивота на HMI и RTU, а затем развернули вайпер, который повредил прошивки и часть оборудования — по словам специалиста Dragos Фила Тонкина, некоторые устройства «оказались повреждены настолько, что их не удалось восстановить на месте». Массового отключения энергии удалось избежать, но инцидент стал наглядным уроком того, зачем OT-средам нужен не только мониторинг, но и способность реагировать быстрее человека. Часть исследователей, включая ESET, связывает атаку с группой Sandworm — оба атрибуционных сценария сходятся в главном: за атакой стоит структура с многолетним опытом атак на энергетику Украины.
Что произошло
Премьер-министр Польши Дональд Туск публично подтвердил атаку 14 января 2026 года, заявив, что система «ни разу не была под угрозой» — но это утверждение касается стабильности энергоснабжения, а не сохранности самого оборудования. CISA в оповещении от 10 февраля 2026 года указала на три системные проблемы: эксплуатация уязвимых edge-устройств (в том числе снятых с поддержки — тема отдельной директивы BOD 26-02), отсутствие проверки целостности прошивок и неизменённые пароли по умолчанию, позволившие атакующим перейти от периферии к RTU. Ранее похожий почерк — детекция аномалий без сигнатур — разбирался в материале о том, как self-learning AI ловит неизвестные штаммы ransomware.
Как это работает: механика атаки и автономного ответа
Схема Electrum типична для атак на распределённую генерацию: разведка конфигураций → компрометация периферийного устройства → горизонтальное перемещение внутри OT-сегмента → развёртывание деструктивного полезного груза. Ключевая уязвимость — не единичная дыра, а систематически повторяющиеся конфигурации на десятках площадок: взломав одну, атакующий получает шаблон для остальных. Именно здесь автономный ответ отличается от классического SIEM-алертинга: система, способная сама изолировать RTU или разорвать подозрительное соединение до эскалации прав, выигрывает те минуты, которых у человека-аналитика физически нет при одновременной атаке на 30 площадок. Похожий принцип уже описывался в кейсе, где автономная блокировка сканирования сети «выиграла время» для SOC, и в разборе UEBA-детекции аномального логина как раннего сигнала ransomware — оба механизма применимы и к OT, если телеметрия с RTU и HMI вообще доводится до аналитической платформы. Публичные источники по инциденту не упоминают, что на площадках Electrum уже стояла автономная система реагирования, — и это само по себе диагноз: детекция и мониторинг в OT пока чаще ограничиваются пассивным сбором логов, чем активным сдерживанием атаки в реальном времени.
Что внедрить у себя
- Инвентаризируйте все интернет-доступные периферийные устройства в OT-контуре и в первую очередь замените пароли по умолчанию — это была точка входа в польском инциденте.
- Внедрите сегментацию IT/OT так, чтобы компрометация одного RTU не давала шаблона для атаки на остальные площадки — атака Electrum эксплуатировала именно однотипность конфигураций.
- Добавьте OT-нативный мониторинг с проверкой целостности прошивок: без неё вайпер уничтожает не только данные, но и возможность быстро восстановить устройство.
- Определите заранее, какие действия автономная система реагирования может выполнять в OT без подтверждения человека (изоляция порта, блокировка сегмента), а какие требуют эскалации.
- Подготовьте план реагирования на сценарий «устройство необратимо повреждено» — CISA прямо указывает, что план должен учитывать неработоспособные OT-устройства, а не только их компрометацию.
- Проверьте покрытие identity-телеметрией технологического контура по аналогии с ИТ-периметром — принцип, что identity стал новым периметром SOC, справедлив и для OT-сегментов.
Атака на энергосеть Польши показывает: автономный ответ в OT — не футуристическая надстройка, а прямое следствие того, что человек физически не успевает среагировать на одновременную атаку по десяткам однотипных площадок. По теме также полезны материалы о детекции латерального движения до захвата домен-контроллера и о том, где проходит граница автономии в живом SOC.
Источники: Dragos, The Hacker News, CISA, SecurityWeek.
