ポーランドの発電所が遠隔操作でタービン停止、プライベート携帯網の盲点を突くサイバー攻撃

要点

• ポーランドの熱電併給（CHP）プラントがサイバー攻撃を受け、蒸気タービンとプロセス水処理システムを停止させられる被害が発生した。

• 攻撃者は侵害した風力発電所を踏み台にし、送配電事業者が管理するプライベートAPN（専用の携帯データ通信網）を経由してプラントの制御機器へ侵入した。

• CERT Polskaによると、プライベートAPNを侵入経路として産業用制御システムへ到達した実環境のサイバー攻撃事例は、把握している限り初だという。

• 本インシデントは単一のソフトウェア脆弱性（CVE）によるものではなく、通信網の端末間通信許可やデフォルト認証情報の放置といった設定不備の連鎖が原因となった。

• 発電所は約5万人の住民へ熱を供給していたが、侵入者がネットワーク内に留まる中で迅速に復旧作業が進められ、熱や電力の供給途絶は回避された。

• ポーランド国内の熱電併給（CHP）プラントにおいて、産業用制御システムがサイバー攻撃を受け、蒸気タービンなどが不正に停止させられていたことが明らかになった。同国のセキュリティ機関であるCERT Polskaが3カ月以上に及ぶ調査を経て、2026年8月8日に詳細な事後報告書を公開した。このインシデントは2025年12月に発生したもので、送配電事業者が遠隔機器の制御に利用しているプライベート携帯ネットワークが悪用されたという。

発電設備が一時停止も供給への影響は回避

被害を受けたCHPプラントは、地域住民約5万人に対して暖房用の熱を供給している重要インフラ施設である。攻撃者によって蒸気タービンおよびプロセス水処理システムが停止状態に追い込まれた。

事態の発覚後、侵入者がまだネットワーク内部で活動を続けている午前7時30分頃から復旧作業が開始された。現場での迅速な対処により、利用者に対する熱や電力の供給が途絶える事態には至らなかったと報告されている。なお、ポーランド首相は2026年1月に国内2カ所のCHPプラントが攻撃対象となった旨を明かしており、今回の報告書はそのうちの2件目の詳細にあたる。

風力発電所を踏み台にした異例の侵入ルート

今回のインシデントで最も特筆すべき点は、その侵入経路にある。攻撃者はまず、プラントとは別拠点である風力発電所のネットワークを足がかりにした。

風力発電所では、インターネットに接続されたFortiGate機器がファイアウォール兼VPN集約装置として稼働していたが、多要素認証（MFA）が設定されていないアカウントが存在していた。攻撃者はこの機器の管理者権限を掌握し、各ネットワークセグメントへアクセス可能なVPN認証情報を取得したとみられる。

そこから攻撃者は、通信用のセルラールーター「Teltonika RUTX50」へアクセスし、SSHトンネリングを確立した。このルーターは送配電事業者が管理するプライベートAPN（アクセスポイント名：専用の携帯データ通信網）に接続されていた。本来、送配電事業者の要件として変電所の遠隔端末装置（RTU）との通信にはシリアルDNP3.0プロトコルの使用が義務付けられていたが、ルーター自体の管理インターフェースを保護する同等の要件は定められていなかったという。

通信設定とデフォルトパスワードの不備が悪用される

プライベートAPNへ到達した攻撃者は、2025年12月18日からネットワーク内のスキャンを開始した。このプライベートAPNでは、接続された端末同士が互いに直接通信できる設定（クライアント間通信）が許可されていた。そのため、攻撃者は風力発電所のルーターを経由して、同一APN上にある全く別の施設であるCHPプラントの制御機器へと到達することが可能になった。

スキャンによって見つかったのが、CHPプラント側に設置されていたWAGO社製のコントローラー「PFC200」である。この機器はWeb管理インターフェースがネットワーク上に露出しており、初期設定（デフォルト）の管理者用認証情報がそのまま残されていた。攻撃者はこの管理画面からアクセスし、最終的にタービンや水処理システムの停止操作を実行したとされる。

脆弱性パッチでは防げない構造的課題

調査報告によると、今回の攻撃は特定のソフトウェア脆弱性（CVE）を悪用したものではないとされている。Teltonika製ルーターについても未知の脆弱性が悪用された可能性は完全には否定できないものの、初期パスワードの変更後になぜ攻撃者がSSHログインに成功したかは特定されていない。また、ルーターのSSH機能やコントローラーの管理画面、端末間通信を許可するAPN設定は、いずれも「設定どおりに動作していた」状態であった。

CERT Polskaの調査では、ポーランド国内でプライベートAPNを運用する組織の間で、ネットワーク内の全端末が相互通信できる設定が広く行われている実態が判明している。同機関は、同様の設定が他国のインフラ運用においても広く採用されている可能性が高いと指摘する。

こうした状況を踏まえ、CERT PolskaはプライベートAPNの設定を見直してクライアント間分離（クライアントアイソレーション）を有効化することを最優先事項として挙げている。さらに、運用技術（OT）環境側からはAPNを信頼できないネットワークとして扱うこと、通信の適切なセグメンテーションと制限、不要な管理サービスの無効化、そしてデフォルト認証情報の確実な変更を推奨している。