كشف تحقيق أجرته CERT Polska (NASK)، ونُشر للعلن في 8 أغسطس 2026، عن تفاصيل هجوم سيبراني استهدف محطة لتوليد الطاقة والحرارة المشتركة (CHP) في بولندا. ويمثل هذا الحادث، الذي وقع بالتزامن مع هجوم أوسع نطاقاً استهدف البنية التحتية للطاقة المتجددة البولندية في 29 ديسمبر 2025، أول هجوم سيبراني حقيقي موثق تمكن فيه الفاعلون من اختراق شبكة تكنولوجيا تشغيلية (OT) عبر الانتقال الجانبي من خلال اسم نقطة وصول خلوية خاصة (APN) تابعة لمشغل نظام التوزيع (DSO).

تندرج هذه الهجمات أيضاً ضمن نمط أوسع نطاقاً من الهجمات المتزايدة على البنية التحتية الحيوية التي تنفذها جهات تابعة لدول.    

ملخص

الفئة التحليلية	تفاصيل الحادثة المؤكدة
تاريخ الحادثة	29 ديسمبر 2025 (نُشر التحقيق في 8 أغسطس 2026 بواسطة CERT Polska)
المنشأة المستهدفة	محطة بلدية لتوليد الطاقة والحرارة المشتركة (CHP)، بولندا
التغطية السكانية	ما يقرب من 50,000 نسمة (تدفئة المناطق والتوليد المحلي)
ناقل الدخول الرئيسي	شبكة افتراضية خاصة (VPN) من نوع FortiGate معرضة للإنترنت في مزرعة رياح تابعة لطرف ثالث  جهاز توجيه خلوي Teltonika  اسم نقطة وصول خاصة (APN) لمشغل نظام التوزيع (DSO)
أصول OT المتأثرة	جهاز التحكم المنطقي القابل للبرمجة WAGO PFC200، وأجهزة Siemens S7 PLCs (S7-300، S7-1200، S7-1500)، وخوادم ومبدلات Moxa التسلسلية
الأثر المادي	إيقاف تشغيل اضطراري للتوربين البخاري ونظام معالجة مياه العمليات؛ وتوقف التوليد المشترك
انقطاع الإمداد	انقطاع صفري للكهرباء أو الحرارة عن المستهلكين (تم التخفيف من حدته عبر التشغيل اليدوي الاحتياطي)
نسب الهجوم	لا يزال نسب الهجوم محل نزاع. وقد نسبت CERT Polska الحملة الأوسع إلى جماعة Static Tundra، والتي تُقيم على أنها مرتبطة بالمركز 16 التابع لجهاز الأمن الفيدرالي الروسي (FSB).
مستوى الثقة في النسب	مرتفع (تقييم رسمي من CERT Polska وتوافق مع الحملة الأوسع في ديسمبر 2025)

بينما استهدفت الحملة الأولية في 29 ديسمبر 2025 أكثر من 30 موقعاً للطاقة المتجددة ومنشأة حرارية كبيرة، استغرق التحقيق في هذا الاختراق الثانوي لمحطة التوليد المشترك (CHP) أكثر من ثلاثة أشهر بسبب الإجراءات المضادة للتحقيق الجنائي الرقمي التي اتخذها المهاجم. وقد قامت Shieldworkz بالفعل بتحليل هذا الحادث هنا.

 قام المهاجمون باختراق مزرعة رياح نائية، ونفذوا عبر جهاز التوجيه الخلوي الخاص بها نفقاً إلى شبكة APN خاصة يديرها مشغل نظام التوزيع (DSO)، ثم قاموا بفحص الشبكة الفرعية الخلوية غير المجزأة، وحصلوا على وصول إلى جهاز PLC من نوع WAGO باستخدام بيانات الاعتماد الافتراضية في محطة CHP، وعطلوا أجهزة Siemens PLCs التي تتحكم في التوربينات الحيوية بوضع الإيقاف (STOP).

إعادة بناء الجدول الزمني للحادثة

تم بناء التسلسل الزمني أدناه بناءً على الإفصاحات الجنائية الرقمية التي نشرتها CERT Polska وCSIRT NASK.

شبكة APN الخلوية الخاصة: تحليل المخاطر الهيكلية

إن أهم ما يمكن استخلاصه من إفصاح CERT Polska هو إثبات إمكانية الحركة الجانبية عبر اسم نقطة وصول (APN) خاصة يديرها مزود الخدمة.

ما هو اسم نقطة الوصول الخلوية الخاصة (Private Cellular APN) بالضبط؟

اسم نقطة الوصول الخاصة (APN) هو أساساً معلمة بوابة قابلة للتكوين تُستخدم في الشبكات الخلوية (4G/5G) لتوجيه حركة مرور الأجهزة المحمولة مباشرة إلى شبكة IP خاصة بالشركة أو المؤسسة الخدمية، متجاوزة الإنترنت العام. وتقوم الشركات الخدمية عادةً بنشر شبكات APN الخاصة لربط وحدات الطرفية البعيدة (RTUs) الموزعة جغرافياً، والعدادات الذكية، والمحطات الفرعية، وأصول التوليد بنظام SCADA مركزي رئيسي.

لماذا تم استخدامه هنا؟

فرض مشغل نظام التوزيع (DSO) اتصالات APN خاصة لجمع بيانات القياس عن بعد والتحكم عن بعد من المحطات الفرعية ومواقع التوليد في جميع أنحاء المنطقة. وكانت محطة CHP ومزرعة الرياح كيانين تجاريين مستقلين، ولكنهما اتصلا بنفس شبكة APN التي يديرها DSO لنقل بيانات التحكم في الشبكة الكهربائية.

فشل المغالطات الهيكلية والافتراضات الأمنية

• الثقة الضمنية في شبكات الاتصال الخاصة: غالباً ما يفترض المشغلون أنه نظراً لأن شبكة APN تستخدم مساحة عناوين خاصة RFC 1918 عبر الأبراج الخلوية، فإنها تعمل كشبكة معزولة تماماً. توفر شبكة APN الخاصة توجيهاً خاصاً وفصلاً لحركة المرور عن الإنترنت العام، ولكنها لا توفر تلقائياً عزلاً أمنياً بين كل مشترك أو موقع متصل. ويعتمد إمكانية وصول جهاز متصل إلى آخر على بنية شبكة APN الخاصة بمزود الخدمة، والتوجيه، والتصفية، وضوابط عزل العملاء.

• غياب عزل العميل عن العميل: كانت شبكة APN الخلوية الخاصة بالـ DSO تفتقر إلى عزل الأجهزة المتصلة ببعضها (P2P). وبمجرد حصول المهاجم على موطئ قدم عبر SSH على جهاز توجيه Teltonika في مزرعة الرياح، قامت شبكة APN بتوجيه حركة المرور مباشرة بين جهاز توجيه مزرعة الرياح ووحدة التحكم في محطة CHP.

• تعرض واجهات الإدارة على منافذ WAN: كانت واجهة إدارة الويب الخاصة بجهاز WAGO PFC200 PLC في محطة CHP معرضة على واجهته الخلوية (WAN)، محمية فقط ببيانات الاعتماد الافتراضية للمصنع (admin/wago).

• غياب جدران الحماية للوارد/الصادر خلف البوابات الخلوية: لم يكن هناك جدار حماية حافة مضمن بين واجهة المودم الخلوي وشبكة التحكم الداخلية للمحطة، مما سمح للمهاجم بإنشاء أنفاق SSH عبر جهاز PLC مباشرة إلى الشبكة المحلية للمحطة.

يمكن أن تصبح طبقة الاتصال الخاصة حداً للثقة في تكنولوجيا OT عابراً للمؤسسات.

يمكن لشبكة APN الخلوية توفير اتصال خاص دون توفير عزل أمني بين كل موقع متصل. وإذا شاركت عدة مؤسسات في شبكة خاصة موجهة وتم اختراق أحد الأصول المتصلة، يمكن أن تصبح شبكة APN نفسها مساراً للحركة الجانبية ما لم يتم تطبيق عزل المشتركين وضوابط التوجيه وفرض حدود تكنولوجيا OT بشكل صريح.

التحليل الفني للأنظمة المتأثرة والأثر المادي

مصفوفة تأثير الأنظمة

العواقب المادية: الفعلية مقابل المحتملة

نسب الهجوم وعلاقته بحملة ديسمبر 2025

يربط تحليل نسب الهجوم هذا الحادث بالحملة السيبرانية الأوسع التي استهدفت البنية التحتية الوطنية البولندية في 29 ديسمبر 2025.

العلاقة بين إفصاحات 2025 و2026

• نفس الحملة الرئيسية: وقع الهجوم على منشأة CHP الثانوية هذه في نفس اليوم بالتحديد (29 ديسمبر 2025) الذي وقع فيه الهجوم على 30 منشأة للطاقة المتجددة ومنشأة CHP رئيسية.

• سبب تأخر الإفصاح: في حين نُشر تحليل الحملة الرئيسية في 30 يناير 2026، استغرق التحقيق في هذه المنشأة أكثر من ثلاثة أشهر بسبب التدابير المضادة الواسعة للتحقيق الجنائي الرقمي التي نفذها الخصم (تخريب جداول الأقسام، وإعادة تعيين المبدلات إلى 127.0.0.1، ومسح سجلات FortiGate).

• تقارب الأساليب والتقنيات والإجراءات (TTPs): كانت عملية إعادة التعيين التلقائية لخوادم أجهزة Moxa التسلسلية إلى عناوين IP غير قابلة للوصول (127.0.0.1) متطابقة في كل من منشآت الطاقة المتجددة ومحطة CHP هذه.  

 الأدلة على وجود علاقة مع حملة ديسمبر 2025

• التواريخ متطابقة

• القطاع المستهدف مماثل

• فئات الأجهزة مماثلة

• السلوك التخريبي/المضاد للتحقيق الجنائي الرقمي مماثل

• تغييرات تكوين Moxa مماثلة

• البنية التحتية/الأساليب والتقنيات والإجراءات مماثلة، حيثما تم توثيقها بشكل مستقل

تدعم هذه التشابهات تقييم الحوادث على أنها نشاط مرتبط، ولكن لا ينبغي اعتبارها في حد ذاتها دليلاً قاطعاً على وجود مشغل واحد دون بيان نسب صريح من سلطة التحقيق.

رسم خرائط MITRE ATT&CK لأنظمة التحكم الصناعية (ICS)

تغطي الخريطة التالية التقنيات التي تم التحقق منها بواسطة السجلات الجنائية الرقمية لـ CERT Polska.

خارطة الطريق الدفاعية وقائمة تدقيق أمان شبكة APN الخاصة

قائمة تدقيق أمان شبكة APN الخاصة والمخصصة

• ضوابط مزود الخدمة: فرض عزل الأجهزة المتصلة ببعضها (peer-to-peer) داخل شبكة APN مباشرةً من خلال التكوين الأساسي لمشغل شبكة الهاتف المحمول (MNO).

• تصفية حدود الوارد: التعامل مع كل واجهة APN كاتصال WAN خارجي غير موثوق به؛ وعدم ربط واجهات APN مباشرة باللوحات الخلفية لمبدلات المحطة مطلقاً.

• مصادقة الأجهزة: تطبيق المصادقة المتبادلة المستندة إلى شهادة X.509 (mTLS) للأجهزة التي تنهي أنفاق APN.

• أمن مستوى التحكم: تعطيل بروتوكولات الإدارة غير المصادق عليها (HTTP، Telnet، FTP) على الواجهات المواجهة لشبكة WAN.

• تقييد البروتوكولات: قصر حركة مرور شبكة APN بدقة على البروتوكولات الصناعية المطلوبة (مثل DNP3، IEC 60870-5-104) عبر قواعد جدار الحماية الديناميكي، وحظر حركة مرور SSH أو HTTP/S العشوائية.

حالات استخدام الكشف لمركز العمليات الأمنية (SOC) وOT-SOC

حالة الاستخدام 1: استطلاع الأقران بين شبكات APN

• ما يجب كشفه: حركة مرور IP الناشئة عن واجهة خلوية داخلية تحاول الاتصال بمنافذ TCP (22، 80، 443، 502) ضد عناوين IP المجاورة في نفس الشبكة الفرعية الخلوية.

• مصدر البيانات: سجلات جدار حماية جهاز التوجيه الخلوي، NetFlow/IPFIX من مبدلات بوابة APN.

• الاستجابة الموصى بها: عزل واجهة جهاز التوجيه فوراً على مستوى مزود الخدمة وإلغاء بيانات اعتماد APN.

حالة الاستخدام 2: تغيير غير مصرح به لحالة تشغيل PLC (من RUN إلى STOP)

• ما يجب كشفه: رسائل البروتوكول الصناعي (S7comm، CIP، Modbus) التي تحتوي على أوامر إيقاف PLC أو تعديل المنطق الناشئة عن عناوين IP لمضيفين غير هندسيين.

• مصدر البيانات: مستشعر كشف واستجابة شبكة OT (NDR) الذي يعكس منافذ SPAN لمبدلات المحطة.

• الاستجابة الموصى بها: بدء التحقق المادي من معلمات التوربين؛ وتحويل مفاتيح القفل المادية لجهاز PLC إلى وضع RUN لمنع تغييرات الحالة البرمجية عن بُعد.

حالة الاستخدام 3: إعادة تعيين عناوين المبدلات تلقائياً إلى الاسترجاع الذاتي (loopback)

• ما يجب كشفه: طلبات تكوين SNMP أو HTTP الجماعية التي تعيد تعيين عناوين IP للبوابة إلى 127.0.0.1 أو الشبكات الفرعية الافتراضية عبر أجهزة شبكة متعددة.

• مصدر البيانات: تغذية syslog لنظام إدارة الشبكة (NMS)، وسجلات تدقيق AAA/TACACS+.

• الاستجابة الموصى بها: قطع روابط الإدارة عن بُعد، والبدء في استرداد وحدة التحكم التسلسلية المحلية، وتحميل التكوينات الذهبية المعتمدة من التخزين غير المتصل بالإنترنت.

ما نعرفه مقابل ما لا نعرفه

التقييم التحليلي النهائي

احجز جلسة إيجاز مجانية حول أمن OT

اطلع على حلولنا لأمن OT

المصادر والمراجع الأساسية

1. CERT Polska / CSIRT NASK: ملحق للتقرير الخاص بالهجوم السيبراني على قطاع الطاقة في ديسمبر 2025، نُشر في 8 أغسطس 2026.

2. إطار عمل MITRE ATT&CK لأنظمة التحكم الصناعية (ICS): تصنيف التقنيات ومراجع رسم الخرائط، attack.mitre.org/matrices/ics.

قراءة موصى بها

نموذج خطة مجانية للاستجابة للحوادث لبنيتك التحتية الحيوية

الدليل الأساسي لأمن تكنولوجيا التشغيل (OT)

قائمة تدقيق لوائح CEA لعام 2026

قائمة تدقيق صيانة الأمن السيبراني لـ OT