Un hito en las amenazas a infraestructuras críticas: El vector de ataque APN
Recientemente, el CERT de Polonia ha desvelado los detalles de un incidente de ciberseguridad ocurrido en diciembre de 2025 que marca un precedente preocupante en la seguridad industrial (OT). Un grupo de atacantes logró infiltrarse en los sistemas de control de una planta de cogeneración de calor y electricidad (CHP) que abastece a 50.000 residentes, logrando detener una turbina de vapor y el sistema de tratamiento de agua.
Lo más relevante de este caso no es solo el impacto operativo, sino el vector de entrada: una red celular privada (APN). Hasta ahora, estas redes se consideraban entornos relativamente seguros y aislados, pero este incidente demuestra que una configuración permisiva puede convertirlas en un puente directo para los ciberdelincuentes.
Anatomía del ataque: De un parque eólico a la sala de control
El ataque no comenzó directamente en la planta afectada, sino que utilizó un movimiento lateral complejo que pone de manifiesto la interconexión de las infraestructuras modernas:
- Punto de entrada: Los atacantes comprometieron primero un parque eólico remoto a través de un dispositivo FortiGate que tenía su VPN expuesta a internet y carecía de autenticación de doble factor (MFA).
- El salto por APN: Una vez dentro de la red del parque eólico, los atacantes utilizaron el router celular (un Teltonika RUTX50) para acceder a la red APN privada gestionada por el operador de distribución.
- Falta de aislamiento: Debido a que la red APN permitía el tráfico entre clientes (client-to-client), el atacante pudo escanear otros dispositivos conectados a esa misma red celular, localizando un controlador WAGO PFC200 en la planta de energía.
- Credenciales por defecto: El controlador WAGO aún conservaba sus contraseñas de administrador predeterminadas, lo que facilitó el acceso total al entorno OT de la planta.
Impacto técnico y acciones destructivas
Una vez dentro de la red industrial, los atacantes interactuaron con controladores Siemens PLC utilizando el protocolo S7. El 29 de diciembre, procedieron a poner los controladores en modo «STOP», lo que provocó la parada inmediata de la turbina.
Para dificultar la recuperación y el análisis forense, los atacantes automatizaron el restablecimiento de fábrica de varios servidores de dispositivos Moxa y switches, cambiaron contraseñas y asignaron direcciones IP inalcanzables. Finalmente, corrompieron la tabla de particiones del controlador WAGO para eliminar rastros de su actividad.
Lecciones para el sector empresarial e industrial
Este incidente subraya que la confianza ciega en las redes «privadas» es un riesgo inasumible. Desde Intedya, destacamos las siguientes recomendaciones críticas para las organizaciones que gestionan activos industriales:
- Auditoría de configuraciones APN: Es imperativo activar el aislamiento de clientes en las redes celulares privadas para evitar que un dispositivo comprometido pueda ver a otros en la misma red.
- Tratar la red APN como no confiable: Incluso si es una red privada, debe segmentarse y protegerse con firewalls como si fuera una conexión a internet pública.
- Eliminar credenciales por defecto: El uso de contraseñas de fábrica en controladores industriales (PLCs) sigue siendo una de las mayores vulnerabilidades en entornos críticos.
- Implementación de MFA: Cualquier acceso VPN o administrativo debe estar protegido por autenticación multifactor, sin excepciones.
La seguridad de las infraestructuras críticas depende de una visión integral que combine la robustez técnica con una gestión de riesgos rigurosa y actualizada ante las nuevas tácticas de los adversarios.
Fuentes
- The Hacker News — Hackers Breach Polish Power Plant Controls via Private Cellular Network and Shut Turbine
https://thehackernews.com/2026/08/hackers-breach-polish-power-plant.html