De tog sig in via mobilnätet — och ingen hade sett det förut
Ryska hackare tog sig in i polskt kraftverk via en aldrig tidigare sedd angreppsväg.
En ny sorts inbrott
Det är sällan man läser en incidentrapport och tänker: det där har ingen gjort förut. Men det är precis vad Polens nationella incidenthanteringsteam, CERT.PL, konstaterar i sin färska genomgång av ett cyberangrepp mot ett polskt kraftvärmeverk — ett angrepp som skedde parallellt med en redan känd attack i december 2025, och som enligt rapporten genomfördes av den ryskstödda gruppen Sandworm.
Det som gör fallet tekniskt anmärkningsvärt är angreppsvägen. Hackarna tog sig inte in via de mer välkända rutterna — nätfiske, exponerade fjärranslutningsgränssnitt eller komprometterade leverantörer. I stället, rapporterar SecurityWeek, inledde de med att bryta sig in i en Fortinet-brandvägg vid ett vindkraftverk. Därifrån rörde de sig in i en Teltonika-router och utnyttjade en SSH-tjänst för att bygga en tunnel rakt in i operatörens privata mobilnät — det nät som används för att kommunicera med industriella styrsystem på distans.
Genom mobilnätet hittade angriparna en programmerbar styrenhet från Wago vid kraftvärmeverket. Väl inne kartlade de anläggningens hela driftnätverk under en vecka — utan att utlösa några larm. Sedan satte de Siemens-styrenheter i stoppläge och låste dem med lösenord för att hindra driftpersonalen från att återta kontrollen. Resultatet: en ångturbin och ett vattenreningssystem slogs ut. Runt 50 000 invånare påverkades.
CERT.PL bedömer att detta är ett tidigare odokumenterat angreppssätt. Det är ett prejudikat vi bör ta på allvar.
Styrsystem och smutsiga antaganden
Det privata mobilnätet — tekniken kallas APN, ett privat accessnätverk — behandlas ofta som en sluten, säker kanal. Det är logiken bakom att man ens kopplar känsliga styrsystem till det. Men Sandworms angrepp visar att den logiken vilar på ett farligt antagande: att nätets slutpunkter, routrar och brandväggar är ordentligt härdade och isolerade.
De var inte det. Och det är egentligen inte förvånande. Industrimiljöer rymmer ofta gammal utrustning, lapptäcken av leverantörslösningar och ett operationellt fokus på driftsäkerhet snarare än informationssäkerhet. Det är inte ett klandervärt val — det är en konsekvens av hur dessa system byggdes. Men det gör dem till attraktiva mål.
Sverige och övriga Norden har likartad infrastruktur. Vi har vindkraftverk. Vi har fjärrstyrda värmeverk. Vi har privata mobilnät för industrikommunikation. Frågan är inte om liknande angreppsytor finns här — utan om vi vet var de är.
Zero-day i analyslagret
Parallellt med den polska infrastrukturattacken kom nyheten att dataanalysverktyget Metabase drabbats av ett zero-day-angrepp — det vill säga att en okänd sårbarhet utnyttjades av angripare innan ens företaget självt kände till felet. Attacken riktades mot Metabase Cloud och upptäcktes av företaget internt.
Sårbarheten rör en allvarlig form av SQL-injektion som, utan någon inloggning alls, ger en angripare fullständig administratörsåtkomst till systemet. Med den åtkomsten kan man ändra inställningar, stjäla lagrade databasuppgifter och exportera all tillgänglig information, rapporterar SecurityWeek.
Metabase används av tusentals organisationer för att analysera affärsdata — ofta kopplat till känsliga databaser. En obehörig angripare med administratörsrättigheter i ett sådant system kan göra stor skada, snabbt och tyst.
Molntjänsten är redan uppdaterad. Men de som kör egna installationer måste agera omedelbart och uppgradera till någon av de åtgärdade versionerna: 58.24, 59.21, 60.17, 61.11, 62.9 eller 63.5.
Två händelser, ett mönster
Det kan tyckas som att ett angrepp mot polsk energiinfrastruktur och ett zero-day-utnyttjande mot ett analysverktyg är orelaterade händelser. Men de illustrerar samma grundläggande verklighet: angripare hittar ständigt nya vägar in, och försvaret halkar efter.
Sandworm hittade ett hål i antagandet att privata mobilnät är skyddade. Metabase-angriparna hittade ett hål som inte ens tillverkaren kände till. I båda fallen är det inte fråga om spektakulär teknisk kapacitet — det är fråga om metodisk kartläggning av ytor som försvarare inte tänkt tillräckligt på.
Det är en påminnelse om att säkerhetsarbete inte handlar om att bygga en perfekt mur. Det handlar om att förstå sin egen attackyta bättre än angriparen gör.
Vår analys
Det som oroar mig mest med den polska incidenten är inte att Sandworm lyckades — det är att de hittade en angreppsväg som ingen dokumenterat tidigare. Det antyder att det finns fler sådana vägar som ännu inte är kända, och att kartläggningen av industriella styrsystems sårbarhet fortfarande är ofullständig.
För Sverige och Norden borde detta vara ett tydligt underlag för att systematiskt inventera hur privata mobilnät används i kritisk infrastruktur — och vilka antaganden om isolering och säkerhet som faktiskt håller under granskning. Det är inte en fråga om resurser, det är en fråga om prioritering.
Metabase-fallet påminner oss dessutom om att zero-day-angrepp inte längre är förbehållna statsaktörer med obegränsade resurser. Analysverktyg som sitter ihop med känsliga databaser är ett lockande mål. Organisationer som inte aktivt bevakar sina egna angreppsytor — inklusive tredjepartsprogramvara — agerar med en falsk känsla av trygghet.
Beredskap börjar med att ställa rätt frågor. Den polska rapporten ger oss en del av dem.