Crisi informatica in Polonia: ricercatori scoprono 250.000 siti web pubblici vulnerabili

Tre fallimenti sistemici

Kruczek e Szczurowski hanno indicato tre fallimenti interconnessi che hanno permesso questi rischi:

1. Software a fine vita e non supportato — Pad CMS e altre piattaforme senza patch continuavano a funzionare in servizi pubblici critici anche dopo la fine del supporto da parte del fornitore .

2. Nessun bug bounty o canali di segnalazione strutturati — la mancanza di programmi di bug bounty ufficiali e di modi sicuri per segnalare falle di sicurezza ha fatto sì che ricercatori e hacker etici non avessero un percorso chiaro per divulgare i problemi .

3. Segnalazioni di bug ignorate — quando i ricercatori hanno segnalato le scoperte direttamente ai fornitori, i loro rapporti sono stati spesso ignorati o descritti come inconvenienti minori piuttosto che come rischi critici per la sicurezza .

Le stesse falle vengono sfruttate nelle infrastrutture critiche

Questa ricerca è stata presentata in un contesto di crescenti attacchi informatici sospettati di essere sponsorizzati dalla Russia contro le infrastrutture critiche polacche. I modelli che Kruczek e Szczurowski hanno trovato nell'infrastruttura web pubblica sono gli stessi punti deboli che vengono attivamente weaponizzati:

Attacchi al settore energetico (dicembre 2025)

Attacchi coordinati hanno preso di mira le infrastrutture energetiche polacche, tra cui 30 impianti eolici e solari e un grande impianto di cogenerazione (CHP). Questi sono stati attribuiti al gruppo APT Sandworm, sostenuto dallo stato russo, e hanno coinvolto malware wiper. Questo è stato il primo attacco informatico al settore energetico polacco con un obiettivo puramente distruttivo .

Un attacco parallelo, precedentemente non divulgato, ha colpito un impianto di cogenerazione più piccolo che serve 50.000 residenti. Gli attaccanti hanno utilizzato una nuova tecnica di pivot APN privato (il primo uso documentato di questo vettore in un attacco reale), hanno avuto accesso a un PLC WAGO protetto solo da credenziali di amministratore predefinite e hanno spento una turbina a vapore e il sistema di trattamento delle acque. Hanno poi sabotato i dispositivi di rete e distrutto i log per ostacolare il ripristino .

Violazioni degli impianti di trattamento delle acque (2025)

Nel 2025, gli hacker hanno violato almeno cinque impianti di trattamento delle acque polacchi, ottenendo l'accesso ai sistemi di controllo industriale (ICS) che regolano pompe, filtri e dosaggio chimico. Gli attaccanti hanno alterato i parametri operativi e diffuso le registrazioni sui social media .

Il vettore d'attacco, in ogni caso, è stato banale: password predefinite e sistemi di controllo collegati direttamente a Internet . L'Agenzia per la Sicurezza Interna polacca (ABW) ha formalmente incriminato due cittadini russi per una campagna di 17 attacchi informatici mirati a infrastrutture critiche, inclusi sette impianti di trattamento delle acque e acque reflue .

Punto chiave

Le scoperte di Kruczek e Szczurowski dimostrano che lo stesso schema di sicurezza debole — software a fine vita, nessun meccanismo di segnalazione e rapporti di bug ignorati — che ha lasciato esposta l'infrastruttura web pubblica polacca rispecchia anche le vulnerabilità attivamente sfruttate nei sospetti attacchi russi ai settori energetico e idrico della Polonia. Credenziali deboli predefinite, sistemi non aggiornati e reti non segmentate sono stati vettori d'attacco diretti sia nelle falle dell'infrastruttura web che negli attacchi distruttivi a livello OT contro centrali elettriche e impianti di trattamento delle acque.