Cyber offshore wind

Morskie farmy wiatrowe wchodzą do polskiego systemu elektroenergetycznego w momencie, w którym cyberwojna i sabotaż infrastruktury krytycznej przestały być scenariuszem i stały się rutyną. Czy jesteśmy gotowi?

Operatorzy ponad 30 polskich farm wiatrowych i fotowoltaicznych 29 grudnia 2025 r. nagle stracili łączność z operatorem sieci dystrybucyjnej. W tym samym momencie duża elektrociepłownia ogrzewająca pół miliona odbiorców odnotowała próbę ataku, którego celem było trwałe zniszczenie danych. Złośliwe oprogramowanie tej klasy nazywa się wiperem – w odróżnieniu od ransomware nie szyfruje on danych dla okupu, lecz je niszczy. Zatrzymał go dopiero EDR, system wykrywający anomalie w czasie rzeczywistym na komputerach i serwerach.

Raport CERT Polska z 30 stycznia 2026 r. przypisał operację rosyjskiemu klastrowi znanemu pod nazwami Static Tundra, Berserk Bear i Dragonfly, który podlega jednostce FSB Center 16. Słowacki ESET w niezależnej analizie wskazał z umiarkowanym prawdopodobieństwem inną grupę – Sandworm powiązana z GRU. Atrybucja w cyberatakach rzadko bywa jednoznaczna, ale bez względu na to, kto ostatecznie pociągał za sznurki, rosyjska jednostka wojskowa po raz pierwszy publicznie i celowo uszkodziła oprogramowanie sterujące w polskiej infrastrukturze energetycznej.

Zaatakowane urządzenia to standardowe wyposażenie każdej farmy. RTU pośredniczą między turbinami a centrum kontroli, panele HMI to ekrany dyspozytorów, do tego serwery komunikacyjne, modemy, routery, switche. Dokładnie ten sam zestaw stanowi w morskiej farmie wiatrowej jedyne cyfrowe połączenie turbin z lądem. Rodzi się pytanie, co się stanie, gdy Baltic Power, pierwsza polska farma na Bałtyku, 76 turbin o łącznej mocy 1,14 GW, osiągnie pełną zdolność operacyjną.

Jednak lądowa farma wiatrowa w Wielkopolsce i farma na Bałtyku to z punktu widzenia cyberbezpieczeństwa 2 różne światy. Każda morska farma wymaga znacznie bardziej zaawansowanej infrastruktury cyfrowej: podmorskiego światłowodu łączącego stację transformatorową morską z lądową, łącza satelitarnego jako rezerwy, sieci łączącej platformę z jednostkami obsługi, telemetrii, dronów inspekcyjnych, komunikacji między turbinami. Każdy z tych segmentów może być atakowany. Każdy też musi być utrzymywany w warunkach, w których „twardy reset” sterownika oznacza lot helikopterem albo rejs statkiem. Aktualizacja oprogramowania PLC turbiny – sterownika programowalnego, który nadzoruje na przykład nastawianie kąta łopaty – na lądzie zajmuje godzinę pracy technika. Pojedyncza farma 1–1,5 GW odpowiada w przybliżeniu blokowi elektrowni jądrowej, z tą jedną różnicą, że blok jądrowy chroniony jest jak obiekt militarny, a farma wiatrowa jak zwykły zakład przemysłowy.

Tymczasem rosyjska doktryna konsekwentnie sprzęga operacje cybernetyczne w sektorze energetycznym z operacjami militarnymi. Widać to w działaniach podejmowanych w Ukrainie. W marcu 2014 rpowiązana z GRU grupa Sandworm rozpoczęła systematyczne działania w celu uzyskania dostępu do ukraińskich systemów przemysłowych. 23 grudnia 2015 r. miał miejsce pierwszy w historii cyberatak skutkujący blackoutem. Złośliwe oprogramowanie BlackEnergy3 uderzyło w trzech operatorów dystrybucyjnych zachodniej Ukrainy (Prykarpattyaoblenergo, Kyivoblenergo, Czernivtsioblenergo). Atakujący zdalnie otworzyli wyłączniki i zniszczyli oprogramowanie stanowisk dyspozytorskich, w wyniku czego 230 tys. odbiorców było pozbawionych dostawy prądu przez ok. 6 godzin. Dwa lata później, czyli 17 grudnia 2016 r. miał miejsce drugi blackout, gdy zaatakowano stację Pivnichna pod Kijowem. Tym razem wykorzystano Industroyera, pierwsze złośliwe oprogramowanie napisane bezpośrednio pod protokoły komunikacyjne stosowane w energetyce (IEC 60870-5-101/104, IEC 61850, OPC).  To nie wszystko, 24 lutego 2022 r., godzinę przed wjechaniem rosyjskich czołgów na terytorium Ukrainy, złośliwe oprogramowanie AcidRain zaatakowało modemy satelitarne firmy Viasat. Po stronie ukraińskiej spowodowało to utratę łączności satelitarnej struktur wojskowych i administracyjnych, ale atak ten miał także inny skutek: pozbawił zdalnej łączności 5800 turbin wiatrowych firmy Enercon w Niemczech. To był pierwszy udokumentowany cyberatak, którego skutkiem (w tym przypadku ubocznym) było wyłączenie monitoringu wielogigawatowej floty turbin wiatrowych w innym kraju. W kwietniu 2022 r. przy pomocy złośliwego oprogramowaniaIndustroyer2 dokonano nieudanej próby ataku na ukraińską stację wysokiego napięcia obsługującą ok. 2 mln odbiorców.

Wzorzec jest czytelny: cyberataki przeciwko energetyce nie są autonomicznym tematem, lecz integralnym elementem rosyjskiej doktryny działań łączonych. Eskalują przed inwazją, towarzyszą jej, poprzedzają decyzje militarne. Polski incydent z 29 grudnia 2025 r. nie jest izolowany – aktor ten sam (FSB Center 16, GRU), podobne cele (energetyka, dystrybucja, łączność), narzędzia stanowiące kolejną generację narzędzi użytych w Ukrainie. Pytanie dla polskiej branży nie brzmi „czy podobny atak nastąpi”, lecz „kiedy i gdzie”. I czy atak na morską farmę wiatrową może wywołać blackout?  Przyjrzyjmy się możliwym scenariuszom takich działań wobec polskich farm wiatrowych. Pierwszy scenariusz to kaskadowe odłączenie przez zmianę ustawień. Każda farma ma w nastawach falowników próg napięcia, poniżej którego turbiny odłączają się od sieci – to zabezpieczenie zwane Low Voltage Ride Through. Atakujący wchodzi do systemu zarządzania flotą turbin wiatrowych jednego operatora i podnosi ten próg do wartości tuż nad poziomem zwykłych fluktuacji. Wystarczy potem rutynowe wahnięcie napięcia, by farma odłączyła się sama. Jeśli zaburzenie propaguje się przez sieć, sąsiednie farmy mogą reagować podobnie – zaczyna się kaskada. W logach taki atak wygląda jak zwykła rekonfiguracja.

Drugi scenariusz to oscylacje wzbudzone manipulacją falowników. Polskie morskie farmy wiatrowe w fazie pierwszej – Baltic Power, PGE Baltica 2, Bałtyk 2 i 3 – wyprowadzają moc kablami HVAC 220–275 kV. Falowniki znajdują się przy każdej turbinie i regulują jej pracę na podstawie pomiarów prądu, napięcia i częstotliwości sieci. W tym scenariuszu atakujący wstrzykuje fałszywe pomiary do skoordynowanej grupy turbin u jednego operatora; wystarczy odchylenie kilku procent, by zamiast tłumić drobne zakłócenia, falowniki zaczęły je wzmacniać. Oscylacje mocy przenoszą się przez kabel eksportowy do krajowej sieci. Skalę takiego zjawiska widać było 28 kwietnia 2025 r., gdy takie oscylacje (choć nie spowodowane cyberatakiem) doprowadziły do blackoutu w Hiszpanii. W fazie drugiej rozwoju polskiego MEW (po 2030 r.) i w planowanych interkonektorach HVDC dojdzie jeszcze bardziej dramatyczny wariant: wstrzyknięcie fałszywych pomiarów kąta fazowego do falowników napięciowych HVDC-VSC, gdzie wedle badań 5 stopni błędu wystarcza do utraty synchronizacji, a odchylenie 2–5 % może odłączyć całe łącze w mniej niż sekundę.

Trzeci scenariusz to skoordynowane wyłączenie w godzinie szczytu. Siódma rano w styczniowy wtorek, niskie temperatury, silny wiatr bałtycki, polskie morskie farmy wiatrowe oddają 4,5 GW, system energetyczny jest mocno obciążony. Cyfrowe odcięcie w sekundę zabiera tę produkcję. PSE musi sięgnąć po rezerwy – w 2025 r. dostępne w szczycie porannym ok. 12,8 GW, w wieczornym 10,3 GW. Utrata 4,5 GW pochłania ponad 1/3 porannej puli i blisko połowę wieczornej. Nie dochodzi do blackoutu, ale gwałtownie rosną ceny na rynku bilansującym, maleje też rezerwa.

Czwarty scenariusz to implant w łańcuchu dostaw. Sterowanie turbiną – kąt łopaty, prędkość wirnika, moment elektromagnetyczny odbywa się przez PLC, do którego producent ma uprzywilejowany dostęp. „Backdoor” (umyślnie pozostawiona luka w zabezpieczeniach systemu, aplikacji lub sieci, umożliwiająca nieautoryzowany dostęp z pominięciem uwierzytelniania) zainstalowany w fabryce lub zaszyty w aktualizacji firmware’u czeka na sygnał aktywacji wybrany przez przeciwnika – np. w przeddzień operacji wojskowej. Światowy rynek turbin wiatrowych zdominowany jest przez chińskich producentów. Tymczasem eksperci i politycy ostrzegają, że turbiny produkowane przez chińskie firmy, takie jak Mingyang, mogą być wyposażone w czujniki i oprogramowanie umożliwiające szpiegostwo oraz dostęp do protokołów bezpieczeństwa infrastruktury energetycznej. Wykrycie wymagałoby audytu kodu, którego operator nie ma kompetencji ani prawa wykonać.

Piąty scenariusz to hybryda fizyczno-cyfrowa. Statek floty cieni przecina kotwicą kabel eksportowy morskiej farmy, jednocześnie ransomware blokuje systemy SCADA operatora a spoofing GPS uderza w synchronizację czasu. Operator wie, że coś się stało, ale nie wie co. Awaria kabla? Dywersja? Czy farma w ogóle pracuje? Nawet jeśli nie dochodzi do blackoutu, koszt incydentu może być liczony w dziesiątkach milionów.

Na razie polska sieć energetyczna jest, dzięki znacznemu udziałowi tradycyjnych elektrowni,  stosunkowo odporna na destabilizację prowadzącą do kaskadowego wyłączania jej kolejnych segmentów. To sprawia, że bardzo mało prawdopodobne jest doprowadzenie do dotkliwego uderzenia w tą sieć w wyniku ataku cybernetycznego. Również poziom rezerw mocy w polskim systemie w stosunku do mocy planowanych morskich elektrowni wiatrowych sprawia, że nawet w razie ich odłączenia od sieci, możliwe będzie jej zbilansowanie. Jednak atak z 29 grudnia 2025 r. dowodzi, że adwersarze testują już możliwości wywołania blackoutu poprzez cyberatak. W miarę wzrostu udziału OZE w miksie energetycznym skuteczność ataków opisanych w powyższych scenariuszach i dotkliwość ich skutków będą wzrastać, a znaczna moc planowanych morskich farm wiatrowych oraz trudności operacyjne związane z zapewnieniem im bezpieczeństwa i obsługi sprawiają, że staną się one bardzo atrakcyjnym celem dla atakującego. Dlatego niezbędne jest budowanie – równolegle do kompetencji i możliwości technicznych – również kompetencji w dziedzinie cyberbezpieczeństwa i skutecznych zabezpieczeń.

Artykuł opracowany we współpracy z czasopismem „Namiary na Morze i Handel”.