În decembrie 2015, în vestul Ucrainei, câțiva dispeceri au privit neputincioși cum cursorul mouse-ului se mișca singur pe ecranele lor și deconecta, unul câte unul, întrerupătoarele din stații. Aproximativ 225.000 de oameni au rămas fără curent. Nu a fost o defecțiune, nu a fost o eroare umană și nu a fost o furtună. A fost primul incident documentat public în care o rețea electrică a fost oprită de la distanță, prin calculator.
De atunci, subiectul a încetat să mai fie o preocupare de nișă a specialiștilor în automatizări. Problema de fond e că sistemele care comandă o rețea energetică nu seamănă cu sistemele informatice obișnuite, iar reflexele de securitate din IT nu se transferă direct.
De ce automatizarea industrială e un teren atât de prietenos pentru atacatori
Un server de birou se actualizează noaptea și, dacă ceva merge prost, se repornește. Un echipament de protecție dintr-o stație de transformare nu se repornește pentru că a apărut un patch. El trebuie să funcționeze fără întrerupere ani la rând, iar orice modificare de firmware cere fereastră de mentenanță, testare și, uneori, aprobare de la dispecerul național.
Rezultatul este un parc de echipamente cu vechime mare, care rulează versiuni de software oprite din suport de multă vreme. La asta se adaugă protocoalele. Standardele de comunicație folosite masiv în energetică au fost proiectate în epoca în care rețelele erau fizic izolate, iar securitatea nu era o cerință. Multe dintre ele nu au niciun mecanism de autentificare: cine trimite comanda potrivită pe portul potrivit, comandă. Nu se verifică cine e la celălalt capăt.
- Lipsa autentificării la nivel de protocol — o comandă legitimă și una falsificată arată identic pentru echipament.
- Segmentare insuficientă între rețeaua de birou și cea de proces, mai ales acolo unde s-au adăugat sisteme de raportare și facturare.
- Accesul de la distanță al furnizorilor, deschis pentru mentenanță și uitat deschis după.
- Dispozitive periferice — routere celulare, convertoare de protocol, terminale de teren — instalate cu parola implicită.
- Dependența de un singur producător, care transformă o vulnerabilitate într-o problemă la scara întregii flote.
Cum arată un atac real, pas cu pas
Filmele arată intruziuni instantanee. Realitatea e lentă. Într-un scenariu tipic, totul începe cu un e-mail către un angajat din zona administrativă — contabilitate, achiziții, resurse umane. Atacatorul obține un punct de sprijin în rețeaua de birou și stă acolo luni de zile, fără să facă nimic vizibil, învățând topologia și colectând credențiale.
Etapa a doua e trecerea către rețeaua de proces. Rareori există o separare perfectă; aproape întotdeauna există o punte — o stație de lucru de inginerie folosită și pentru e-mail, un server de istoric care primește date din ambele părți, un VPN de furnizor. Odată ajuns dincolo, atacatorul are nevoie de încă ceva: să înțeleagă procesul. Aici se despart amatorii de grupurile serioase. Ca să deschizi un întrerupător nu e suficient accesul, îți trebuie și cunoașterea schemei electrice.
Ultima etapă e execuția, iar aceasta durează minute. În incidentul ucrainean, atacatorii au șters simultan firmware-ul convertoarelor seriale, ca operatorii să nu mai poată comanda de la distanță reanclanșarea, și au blocat centrul de apeluri cu apeluri automate. Restabilirea s-a făcut manual, cu echipe deplasate fizic în stații.
Ce înseamnă apărare, în practică
Prima măsură nu e tehnologică, ci de inventar. Nu poți apăra ce nu știi că ai, iar în multe organizații nu există o listă completă a echipamentelor conectate. Al doilea pas este segmentarea reală, cu diode de date sau firewall-uri industriale care permit traficul într-un singur sens acolo unde se poate. Al treilea este monitorizarea pasivă a traficului de proces: într-o rețea industrială, comunicația e extrem de repetitivă, iar orice pachet neobișnuit iese în evidență mult mai ușor decât într-o rețea de birou.
Directiva europeană NIS2 a transformat o parte din aceste practici în obligații legale pentru operatorii de rețea și pentru producătorii de energie de o anumită dimensiune, cu cerințe de raportare a incidentelor în termene scurte și cu răspundere la nivelul conducerii. Efectul cel mai vizibil nu a fost cumpărarea de echipamente noi, ci apariția unor exerciții periodice de simulare, în care echipele repetă scenariul în care sistemele de comandă nu mai răspund deloc.
Suprafața de atac crește pe măsură ce rețeaua devine mai inteligentă. Fiecare senzor adăugat într-un smart grid este și un punct de intrare potențial, iar același raționament se aplică la milioanele de aparate de măsură instalate la consumatori — inclusiv la contoarele inteligente pentru gaze naturale, care comunică prin rețele radio sau celulare.
Paradoxul acestei discipline e că succesul ei nu se vede niciodată. Un an fără incidente nu demonstrează nimic — poate apărarea a funcționat, poate nimeni nu a încercat. Ceea ce se poate măsura este altceva: cât de repede observi că cineva e înăuntru și cât de bine funcționează rețeaua atunci când, pentru câteva ore, trebuie condusă cu telefonul și cu oameni trimiși în stații.
