250 000 polských webů v ohrožení: Uvnitř bezpečnostní krize odhalené na DEF CON 2026

Tři systémová selhání

Kruczek a Szczurowski poukázali na tři vzájemně propojené selhání, která tato rizika umožnila:

1. Nepodporovaný software po skončení životnosti – Pad CMS a další neaktualizované platformy běžely napříč kritickými veřejnými službami i poté, co dodavatel ukončil jejich podporu .

2. Žádné bug bounty programy ani strukturované kanály pro hlášení – absence oficiálních programů pro hlášení chyb a bezpečných způsobů oznámení zranitelností znamenala, že výzkumníci a etičtí hackeři neměli jasnou cestu, jak problémy zodpovědně zveřejnit .

3. Ignorovaná hlášení – když vědci hlásili chyby přímo dodavatelům, jejich oznámení byla často odmítána nebo označena za marginální problémy, nikoli za kritická bezpečnostní rizika .

Stejné chyby jsou zneužívány v kritické infrastruktuře

Tento výzkum byl prezentován na pozadí eskalujících podezřelých kybernetických útoků spojovaných s Ruskem proti polské kritické infrastruktuře. Vzorce, které Kruczek a Szczurowski objevili ve veřejné infrastruktuře, jsou stejnými slabinami, které jsou aktivně zneužívány:

Útoky na energetický sektor (prosinec 2025)

Koordinované útoky zamířily na polskou energetickou infrastrukturu, včetně 30 větrných a solárních elektráren a velké teplárny. Byly připsány ruskou státem podporované skupině Sandworm a využívaly tzv. wiper malware. Šlo o první kybernetický útok na polský energetický sektor s čistě destruktivním cílem .

Současný, dříve nezveřejněný útok zasáhl menší teplárnu zásobující 50 000 obyvatel. Útočníci použili novou techniku pivotování přes soukromou APN (první zdokumentované použití tohoto vektoru v reálném útoku), získali přístup k WAGO PLC chráněnému pouze výchozími administrátorskými přihlašovacími údaji a odstavili parní turbínu a systém úpravy vody. Poté sabotovali síťová zařízení a smazali logy, aby ztížili obnovu .

Průniky do čistíren odpadních vod (2025)

Hackeři v roce 2025 pronikli do nejméně pěti polských čistíren odpadních vod a získali přístup k průmyslovým řídicím systémům (ICS), které regulují čerpadla, filtry a dávkování chemikálií. Útočníci změnili provozní parametry a šířili záznamy na sociálních sítích .

Útočný vektor byl ve všech případech banální: výchozí hesla a řídicí systémy připojené přímo k internetu . Polská vnitřní bezpečnostní agentura (ABW) formálně obvinila dva ruské občany z kampaně 17 kybernetických útoků na kritickou infrastrukturu, včetně sedmi čistíren odpadních a pitných vod .

Klíčové ponaučení

Zjištění Kruczka a Szczurowského ukazují, že stejný vzorec slabého zabezpečení – nepodporovaný software, chybějící mechanismy hlášení a ignorovaná zjištění – který nechal polskou veřejnou internetovou infrastrukturu otevřenou útokům, je totožný se zranitelnostmi aktivně zneužívanými při podezřelých ruských útocích na polský energetický a vodárenský sektor. Slabá výchozí hesla, neaktualizované systémy a nesegmentované sítě byly přímými útočnými vektory jak u webových chyb, tak u destruktivních útoků na úrovni provozních technologií (OT) na elektrárny a čistírny.