CERT Polska beschreibt den jetzt bekannt gewordenen Angriff als Folge einer Fehlkonfiguration im privaten APN. Diese habe es beliebigen Geräten innerhalb des privaten APN-Netzes ermöglicht, untereinander zu kommunizieren. Nach Einschätzung der Behörde nutzte der Angreifer genau diese Schwäche, um andere angeschlossene Anlagen zu finden und anzusprechen.
Die Untersuchung ergab, dass die Angreifer zunächst eine FortiGate-VPN-/Firewall an einem Windpark kompromittierten. Von dort aus nutzten sie einen Teltonika-Mobilfunkrouter im dortigen Netz, um einen Tunnel in ein vom Verteilnetzbetreiber betriebenes privates APN aufzubauen. Weil in diesem APN die Isolation zwischen den angeschlossenen Clients fehlte, konnten die Angreifer Geräte an weiteren Standorten scannen und mit ihnen kommunizieren.
Ab dem 18. Dezember fanden sie in dem kleinen Heizkraftwerk eine WAGO PFC200 PLC, deren Weboberfläche über das APN erreichbar war und die mit den Standard-Zugangsdaten für Administratoren geschützt war. Nach der Kompromittierung des Controllers aktivierten sie SSH und nutzten das Gerät als Brücke in das OT-Netz der Anlage. In der folgenden Woche scannten sie das Netz nach SCADA-Systemen und industriellen Geräten; am 25. Dezember verbanden sie sich laut CERT Polska mit drei Siemens-PLCs, offenbar zur Vorbereitung des eigentlichen Angriffs.
Am 29. Dezember gegen 5:30 Uhr griffen die Angreifer dann auf die SCADA-Oberfläche und die Siemens-PLCs zu. Sie versetzten die Steuerungen in den STOP-Modus, aktivierten einen Passwortschutz und schalteten damit die Dampfturbine sowie das Prozesswasser-Aufbereitungssystem ab. Zusätzlich setzten sie mehrere Moxa-Geräte zurück und konfigurierten sie neu, um die Wiederherstellung zu behindern. Außerdem zerstörten sie Protokolle und erschwerten die forensische Analyse, indem sie den während des Eindringens verwendeten WAGO-Controller, den Teltonika-Router und die FortiGate-Firewall beschädigten oder zurücksetzten.
CERT Polska verknüpft den breiteren Angriff auf den polnischen Energiesektor vom 29. Dezember 2025 mit der russischen Bedrohungsgruppe Electrum. Damals wurden 30 Wind- und Solaranlagen sowie ein großes Heizkraftwerk in Polen angegriffen; dabei wurden zentrale Geräte irreparabel zerstört. Die Angreifer trafen über das Land verteilte Anlagen für dezentrale Energieerzeugung, setzten Kommunikationsausrüstung außer Betrieb, beschädigten OT-Geräte und löschten Windows-Systeme. Trotz dieses Versuchs, das Netz zu destabilisieren, kam es laut Bericht nicht zu Unterbrechungen bei Energieerzeugung und -verteilung.
Für den nun beschriebenen zweiten Vorfall betont CERT Polska die Bedeutung des Zugangswegs. Nach Kenntnis der Behörde war dies „der erste beobachtete Fall“, in dem ein Angreifer in einem realen Cyberangriff über ein privates APN in ein OT-Netz eindrang. Nach der Untersuchung hätten Erhebungen zudem gezeigt, dass eine solche Konfiguration in Polen damals verbreitet war; CERT Polska hält ähnliche Aufbauten auch international für wahrscheinlich weit verbreitet.