सबसे खतरनाक खामियां

शोधकर्ताओं ने कई विशिष्ट गंभीर कमजोरियों की पहचान की:

• Pad CMS में गंभीर खामियां — यह एक लोकप्रिय कंटेंट मैनेजमेंट सिस्टम है, जो अब "एंड ऑफ लाइफ" यानी बंद हो चुका है । शोधकर्ता बिना पासवर्ड के 300 से अधिक सरकारी वेबसाइटों तक पहुंच सकते थे। विक्रेता ने सॉफ्टवेयर को पैच करने से इनकार कर दिया क्योंकि वह अब समर्थित नहीं है ।

• न्यायपालिका का बड़ा हिस्सा उजागर — एक और बग के जरिए शोधकर्ता पोलैंड के लगभग दो-तिहाई न्यायिक वेबसाइटों यानी करीब 245 कोर्ट तक पहुंच प्राप्त कर सकते थे ।

• आसानी से एक्सप्लॉइट होने वाले बग — कुछ खामियों को "अविश्वसनीय रूप से एक्सप्लॉइट करना आसान" बताया गया, लेकिन विक्रेताओं ने इन रिपोर्टों को गंभीरता से नहीं लिया और उन्हें मात्र "असुविधा" करार दिया ।

तीन प्रणालीगत विफलताएं

क्रुज़ेक और स्ज़ुरोस्की ने इन जोखिमों को बढ़ाने वाली तीन आपस में जुड़ी विफलताओं की ओर इशारा किया:

1. बंद हो चुका और असमर्थित सॉफ्टवेयर — Pad CMS और अन्य अनपैच्ड प्लेटफॉर्म विक्रेता के सपोर्ट खत्म होने के बाद भी अहम सार्वजनिक सेवाओं पर चलते रहे ।

2. बग बाउंटी या रिपोर्टिंग चैनलों का अभाव — आधिकारिक बग बाउंटी प्रोग्राम और सुरक्षा खामियों की रिपोर्ट करने के सुरक्षित तरीकों के न होने से शोधकर्ताओं और एथिकल हैकर्स के पास खामियां बताने का कोई स्पष्ट रास्ता नहीं था ।

3. बग रिपोर्ट्स को नजरअंदाज करना — जब शोधकर्ताओं ने सीधे विक्रेताओं को खामियां बताईं, तो उनकी रिपोर्ट को अक्सर नजरअंदाज कर दिया गया या इसे मामूली असुविधा बताकर खारिज कर दिया गया ।

वही खामियां, अब क्रिटिकल इंफ्रास्ट्रक्चर पर हमलों में इस्तेमाल

यह शोध ऐसे समय में सामने आया है जब पोलैंड के क्रिटिकल इंफ्रास्ट्रक्चर पर संदिग्ध रूसी राज्य-प्रायोजित साइबर हमले तेज हो रहे हैं। क्रुज़ेक और स्ज़ुरोस्की ने जो पैटर्न पाए, वही कमजोरियां इन हमलों में सक्रिय रूप से हथियार के रूप में इस्तेमाल हो रही हैं:

ऊर्जा क्षेत्र पर हमले (दिसंबर 2025)

समन्वित हमलों ने पोलैंड के ऊर्जा बुनियादी ढांचे को निशाना बनाया, जिसमें 30 पवन और सौर ऊर्जा प्रतिष्ठान और एक बड़ा संयुक्त ताप एवं विद्युत (CHP) संयंत्र शामिल था। इन हमलों की जिम्मेदारी रूसी राज्य-समर्थित सैंडवॉर्म APT समूह पर लगाई गई और इसमें वाइपर मैलवेयर का इस्तेमाल हुआ। पोलैंड के ऊर्जा क्षेत्र पर यह पहला साइबर हमला था, जिसका उद्देश्य पूरी तरह विनाशकारी था ।

एक और समानांतर, पहले से अज्ञात हमले में, 50,000 निवासियों को सेवा देने वाले एक छोटे CHP संयंत्र को निशाना बनाया गया। हमलावरों ने एक नई प्राइवेट APN पिवट तकनीक (वास्तविक हमले में इस वेक्टर का पहला दस्तावेजी उपयोग) का इस्तेमाल किया, डिफॉल्ट एडमिन क्रेडेंशियल्स से सुरक्षित WAGO PLC तक पहुंच बनाई और एक स्टीम टरबाइन और जल उपचार प्रणाली को बंद कर दिया। इसके बाद उन्होंने नेटवर्क डिवाइसों को खराब कर दिया और रिकवरी में बाधा डालने के लिए लॉग नष्ट कर दिए ।

जल उपचार संयंत्रों में सेंध (2025)

हैकर्स ने 2025 में पोलैंड के कम से कम पांच जल उपचार संयंत्रों में सेंध लगाई और पंप, फिल्टर और रसायन खुराक को नियंत्रित करने वाले औद्योगिक नियंत्रण प्रणालियों (ICS) तक पहुंच बनाई। हमलावरों ने ऑपरेशनल पैरामीटर बदल दिए और रिकॉर्डिंग को सोशल मीडिया पर प्रसारित कर दिया ।

हर मामले में हमले का तरीका सामान्य था: डिफॉल्ट पासवर्ड और सीधे इंटरनेट से जुड़ी नियंत्रण प्रणालियां । पोलैंड की आंतरिक सुरक्षा एजेंसी (ABW) ने दो रूसी नागरिकों के खिलाफ क्रिटिकल इंफ्रास्ट्रक्चर को निशाना बनाकर किए गए 17 साइबर हमलों के अभियान के लिए औपचारिक रूप से आरोप पत्र दायर किया, जिसमें सात जल और अपशिष्ट जल उपचार संयंत्र शामिल थे ।

मुख्य निष्कर्ष

क्रुज़ेक और स्ज़ुरोस्की के निष्कर्ष बताते हैं कि कमजोर सुरक्षा का वही पैटर्न — बंद हो चुका सॉफ्टवेयर, रिपोर्टिंग तंत्र का अभाव और रिपोर्ट को नजरअंदाज करना — जिसने पोलैंड के सार्वजनिक वेब बुनियादी ढांचे को खतरे में डाला, वही कमजोरियां पोलैंड के ऊर्जा और जल क्षेत्रों पर संदिग्ध रूसी हमलों में सक्रिय रूप से शोषित की जा रही हैं। कमजोर डिफॉल्ट क्रेडेंशियल्स, अनपैच्ड सिस्टम और अनसेगमेंटेड नेटवर्क वेब बुनियादी ढांचे की खामियों और बिजली संयंत्रों एवं जल उपचार सुविधाओं पर विनाशकारी OT-स्तरीय हमलों दोनों में प्रत्यक्ष हमले के वेक्टर थे।

सबसे खतरनाक खामियां

शोधकर्ताओं ने कई विशिष्ट गंभीर कमजोरियों की पहचान की:

• Pad CMS में गंभीर खामियां — यह एक लोकप्रिय कंटेंट मैनेजमेंट सिस्टम है, जो अब "एंड ऑफ लाइफ" यानी बंद हो चुका है । शोधकर्ता बिना पासवर्ड के 300 से अधिक सरकारी वेबसाइटों तक पहुंच सकते थे। विक्रेता ने सॉफ्टवेयर को पैच करने से इनकार कर दिया क्योंकि वह अब समर्थित नहीं है ।

• न्यायपालिका का बड़ा हिस्सा उजागर — एक और बग के जरिए शोधकर्ता पोलैंड के लगभग दो-तिहाई न्यायिक वेबसाइटों यानी करीब 245 कोर्ट तक पहुंच प्राप्त कर सकते थे ।

• आसानी से एक्सप्लॉइट होने वाले बग — कुछ खामियों को "अविश्वसनीय रूप से एक्सप्लॉइट करना आसान" बताया गया, लेकिन विक्रेताओं ने इन रिपोर्टों को गंभीरता से नहीं लिया और उन्हें मात्र "असुविधा" करार दिया ।

तीन प्रणालीगत विफलताएं

क्रुज़ेक और स्ज़ुरोस्की ने इन जोखिमों को बढ़ाने वाली तीन आपस में जुड़ी विफलताओं की ओर इशारा किया:

1. बंद हो चुका और असमर्थित सॉफ्टवेयर — Pad CMS और अन्य अनपैच्ड प्लेटफॉर्म विक्रेता के सपोर्ट खत्म होने के बाद भी अहम सार्वजनिक सेवाओं पर चलते रहे ।

2. बग बाउंटी या रिपोर्टिंग चैनलों का अभाव — आधिकारिक बग बाउंटी प्रोग्राम और सुरक्षा खामियों की रिपोर्ट करने के सुरक्षित तरीकों के न होने से शोधकर्ताओं और एथिकल हैकर्स के पास खामियां बताने का कोई स्पष्ट रास्ता नहीं था ।

3. बग रिपोर्ट्स को नजरअंदाज करना — जब शोधकर्ताओं ने सीधे विक्रेताओं को खामियां बताईं, तो उनकी रिपोर्ट को अक्सर नजरअंदाज कर दिया गया या इसे मामूली असुविधा बताकर खारिज कर दिया गया ।

वही खामियां, अब क्रिटिकल इंफ्रास्ट्रक्चर पर हमलों में इस्तेमाल

यह शोध ऐसे समय में सामने आया है जब पोलैंड के क्रिटिकल इंफ्रास्ट्रक्चर पर संदिग्ध रूसी राज्य-प्रायोजित साइबर हमले तेज हो रहे हैं। क्रुज़ेक और स्ज़ुरोस्की ने जो पैटर्न पाए, वही कमजोरियां इन हमलों में सक्रिय रूप से हथियार के रूप में इस्तेमाल हो रही हैं:

ऊर्जा क्षेत्र पर हमले (दिसंबर 2025)

समन्वित हमलों ने पोलैंड के ऊर्जा बुनियादी ढांचे को निशाना बनाया, जिसमें 30 पवन और सौर ऊर्जा प्रतिष्ठान और एक बड़ा संयुक्त ताप एवं विद्युत (CHP) संयंत्र शामिल था। इन हमलों की जिम्मेदारी रूसी राज्य-समर्थित सैंडवॉर्म APT समूह पर लगाई गई और इसमें वाइपर मैलवेयर का इस्तेमाल हुआ। पोलैंड के ऊर्जा क्षेत्र पर यह पहला साइबर हमला था, जिसका उद्देश्य पूरी तरह विनाशकारी था ।

एक और समानांतर, पहले से अज्ञात हमले में, 50,000 निवासियों को सेवा देने वाले एक छोटे CHP संयंत्र को निशाना बनाया गया। हमलावरों ने एक नई प्राइवेट APN पिवट तकनीक (वास्तविक हमले में इस वेक्टर का पहला दस्तावेजी उपयोग) का इस्तेमाल किया, डिफॉल्ट एडमिन क्रेडेंशियल्स से सुरक्षित WAGO PLC तक पहुंच बनाई और एक स्टीम टरबाइन और जल उपचार प्रणाली को बंद कर दिया। इसके बाद उन्होंने नेटवर्क डिवाइसों को खराब कर दिया और रिकवरी में बाधा डालने के लिए लॉग नष्ट कर दिए ।

जल उपचार संयंत्रों में सेंध (2025)

हैकर्स ने 2025 में पोलैंड के कम से कम पांच जल उपचार संयंत्रों में सेंध लगाई और पंप, फिल्टर और रसायन खुराक को नियंत्रित करने वाले औद्योगिक नियंत्रण प्रणालियों (ICS) तक पहुंच बनाई। हमलावरों ने ऑपरेशनल पैरामीटर बदल दिए और रिकॉर्डिंग को सोशल मीडिया पर प्रसारित कर दिया ।

हर मामले में हमले का तरीका सामान्य था: डिफॉल्ट पासवर्ड और सीधे इंटरनेट से जुड़ी नियंत्रण प्रणालियां । पोलैंड की आंतरिक सुरक्षा एजेंसी (ABW) ने दो रूसी नागरिकों के खिलाफ क्रिटिकल इंफ्रास्ट्रक्चर को निशाना बनाकर किए गए 17 साइबर हमलों के अभियान के लिए औपचारिक रूप से आरोप पत्र दायर किया, जिसमें सात जल और अपशिष्ट जल उपचार संयंत्र शामिल थे ।

मुख्य निष्कर्ष

क्रुज़ेक और स्ज़ुरोस्की के निष्कर्ष बताते हैं कि कमजोर सुरक्षा का वही पैटर्न — बंद हो चुका सॉफ्टवेयर, रिपोर्टिंग तंत्र का अभाव और रिपोर्ट को नजरअंदाज करना — जिसने पोलैंड के सार्वजनिक वेब बुनियादी ढांचे को खतरे में डाला, वही कमजोरियां पोलैंड के ऊर्जा और जल क्षेत्रों पर संदिग्ध रूसी हमलों में सक्रिय रूप से शोषित की जा रही हैं। कमजोर डिफॉल्ट क्रेडेंशियल्स, अनपैच्ड सिस्टम और अनसेगमेंटेड नेटवर्क वेब बुनियादी ढांचे की खामियों और बिजली संयंत्रों एवं जल उपचार सुविधाओं पर विनाशकारी OT-स्तरीय हमलों दोनों में प्रत्यक्ष हमले के वेक्टर थे।