חוקרי סייבר חשפו ב-DEF CON: 10,000 מוסדות ציבור ו-250,000 אתרים עם פרצות אבטחה קריטיות

שלושה כשלים מערכתיים

קרוצ'ק ושצ'ורובסקי הצביעו על שלושה כשלים הקשורים זה בזה שאיפשרו סיכונים אלה:

1. תוכנה בסוף חייה — Pad CMS ופלטפורמות אחרות ללא תמיכה המשיכו לפעול בשירותים ציבוריים קריטיים גם לאחר שהספק הפסיק לתמוך בהן .

2. היעדר תוכניות תגמול (Bug Bounty) וערוצי דיווח מובנים — היעדר תוכניות גילוי פרצות רשמיות ומנגנונים מאובטחים לדיווח על ליקויי אבטחה שלל מחוקרים את האפשרות לחשוף בעיות באופן מסודר .

3. דחיית דיווחי אבטחה — כאשר החוקרים דיווחו על ממצאים ישירות לספקים, דיווחיהם נדחו לעתים קרובות כ"אי-נוחות" זניחה ולא כאיומי אבטחה קריטיים .

אותן פרצות מנוצלות נגד תשתיות קריטיות

המחקר הוצג על רקע הסלמה במתקפות סייבר שיוחסו למדינת רוסיה נגד תשתיות קריטיות בפולין. דפוסי החולשה שקרוצ'ק ושצ'ורובסקי מצאו בתשתיות האינטרנט הציבוריות זהים לאלה המנוצלים באופן פעיל בפשיטות סייבר:

תקיפות במגזר האנרגיה (דצמבר 2025)

מתקפות מתואמות פגעו בתשתיות האנרגיה של פולין, כולל 30 מתקני אנרגיית רוח ושמש, ותחנת כוח גדולה בשיטת כוח וחום משולבים (CHP). המתקפות יוחסו לקבוצת ה-APT סנדוורם (Sandworm) המגובה על ידי רוסיה וכללו תוכנת הרס (Wiper). זוהי מתקפת הסייבר הראשונה נגד מגזר האנרגיה הפולני שמטרתה הייתה הרסנית בלבד .

במקביל, מתקפה נוספת שטרם פורסמה פגעה בתחנת CHP קטנה יותר המשרתת 50,000 תושבים. התוקפים השתמשו בטכניקת APN פרטי חדשנית (התיעוד הראשון של שימוש בטכניקה זו במתקפת סייבר בעולם האמיתי), חדרו לבקר תעשייתי WAGO שהוגן רק על ידי פרטי גישה ברירת מחדל, השביתו טורבינת קיטור ומערכת טיהור מים. לאחר מכן הם חיבלו בהתקני רשת ומחקו יומני תיעוד כדי להקשות על השחזור .

פריצות למתקני טיהור מים (2025)

האקרים פרצו לפחות לחמישה מתקני טיהור מים בפולין בשנת 2025, תוך שהם משיגים גישה למערכות בקרה תעשייתיות (ICS) המווסתות משאבות, מסננים ומינון כימיקלים. התוקפים שינו פרמטרים תפעוליים והפיצו הקלטות ברשתות חברתיות .

וקטור הפריצה היה, בכל המקרים, פשוט באופן מביך: סיסמאות ברירת מחדל ומערכות בקרה המחוברות ישירות לאינטרנט . סוכנות הביטחון הפנימית הפולנית (ABW) הגישה כתב אישום נגד שני אזרחים רוסים בחשד לביצוע קמפיין של 17 מתקפות סייבר נגד תשתיות קריטיות, כולל שבעה מתקני טיהור מים ושפכים .

המסקנה המרכזית

ממצאיהם של קרוצ'ק ושצ'ורובסקי מדגימים שאותו דפוס של אבטחה חלשה — תוכנות בסוף חייהן, היעדר מנגנוני דיווח ודחיית דיווחי אבטחה — שהותיר את תשתיות האינטרנט הציבוריות של פולין חשופות, מקביל בדיוק לפגיעויות המנוצלות במתקפות המיוחסות לרוסיה על מגזרי האנרגיה והמים. פרטי גישה חלשים, מערכות לא מעודכנות ורשתות שאינן מופרדות היו וקטורי תקיפה ישירים הן בליקויי תשתיות האינטרנט והן במתקפות ההרסניות על תחנות כוח ומתקני מים.