В Европа има 8547 уязвими системи в обекти за слънчева и вятърна енергия в 35 държави, според нови данни. На Испания се пада повече от една трета от общия брой системи в сектора на слънчевата енергия.
Изследователи от Modat – компания за интернет разузнаване със седалище в Хага – и Националния център за киберсигурност на Нидерландия (NCSC-NL) откриха 8547 системи, свързани с интернет, в европейски проекти за слънчева енергия и вятърни паркове. Тези системи не би трябвало да бъдат достъпни от глобалната мрежа и включват уязвими администраторски интерфейси и контролни панели.
Изследователите картографираха действащите слънчеви паркове и вятърни централи в 40 държави (включващи страните от ЕС, Европейската асоциация за свободна търговия и кандидатите за членство в ЕС), като изключиха инсталациите върху покриви, и откриха уязвими системи в 35 от тези държави. Те представиха резултатите от проучването на конференцията ONE в Хага.
Слънчевите енергийни обекти са източник на 7942 от откритите системи, разпределени в 34 държави. Според данните на Modat и NCSC-NL, Испания е с най-голям брой – 2766 системи (или 35% от общия брой), следвана от Гърция с 1860, Италия със 753 и Германия с 672. На тези четири държави се падат 76% от уязвимите системи в сектора на слънчевата енергия. Унгария е с 514, а Турция – с 454 системи.
В сектора на вятърната енергия са открити 605 уязвими системи в 23 държави, като начело са Германия с 212 и Италия със 192. Испания, която е лидер при слънчевите системи, тук има едва 11.
Изследователите отбелязват, че посочените цифри вероятно са занижени, тъй като системите са били отчитани само когато е можело със сигурност да бъдат свързани с конкретни обекти. Броенето обхваща системите, а не самите слънчеви панели или вятърни турбини, като някои от откритите системи управляват по няколко турбини или цели вятърни паркове.
Стартиране и спиране
Един от примерите в доклада е уеб интерфейсът на отделна вятърна турбина, достъпен от интернет, който показва данни за производството в реално време, както и контроли за стартиране, спиране и нулиране. Друга страница дава достъп до уеб сървъра на програмируемия логически контролер, управляващ турбината, а страница с карта показва нейното местоположение.
Други достъпни от интернет страници за вход посочват името на вятърния парк, който защитават, а една от тях дори разкрива, че потребителското име по подразбиране е „root“.
От Modat заявиха, че са идентифицирали системите чрез клъстеризация с машинно обучение на своята платформа Magnify; тя автоматично групира сходни системи и открива типове устройства, за които изследователите не са създавали правила за търсене.
Изследователите отбелязаха, че нападателите могат да картографират същите системи също толкова бързо. Инструменти с изкуствен интелект вече са използвани за откриване на уязвимости, позволяващи дистанционно изключване на микроинвертори.
„Това, което ние можем да картографираме за часове, нападателите също могат да картографират за часове. Не можеш да защитиш нещо, което не виждаш, а никой не е в състояние да обхване цялата тази картина сам“, заяви Суфиан Ел Ядмани, основател и изпълнителен директор на Modat, който е съавтор на доклада заедно с Буке ван Лаетем от NCSC-NL.
Изследователите публикуваха само обобщени данни по държави, без да посочват конкретни проекти, оператори или IP адреси. Засегнатите страни биват уведомявани чрез националните екипи за реагиране при компютърни инциденти.
Докладът призовава операторите незабавно да премахнат администраторските интерфейси от интернет, да приемат, че нападателите вече са проникнали в мрежите им, и да осигурят видимост върху оборудването, свързвано от доставчици и фирми за поддръжка.
Изключването на интерфейсите от мрежата няма да е достатъчно, коментира Томас Планк, изпълнителен директор на австрийската компания за индустриална киберсигурност Tributech. Така е, защото отдалечените и географски разпръснати обекти трябва да останат свързани, за да обслужват нуждите на мрежовите оператори, търговците на енергия и изпълнителите по поддръжката.
„Днес мнозина не могат самостоятелно да проверят дали данните, от които зависят системите им за управление, са автентични или са били манипулирани по време на преноса“, каза Планк.
Прецедент в Полша
В доклада се споменават атаките срещу енергийния сектор на Полша, извършени през декември 2025 г., които засегнаха най-малко 30 вятърни и слънчеви парка.
Полският национален екип за реагиране при компютърни инциденти (CERT Polska) установи, че нападателите са проникнали чрез защитни стени (firewalls), достъпни от интернет – много от които без многофакторна автентификация – и след това са използвали данни за вход по подразбиране, за да деактивират устройства за дистанционно управление, защитни релета, работни станции на операторите и комуникационно оборудване в подстанциите за присъединяване към мрежата.
Обектите са загубили връзка с операторите на разпределителните мрежи, въпреки че производството на електроенергия е продължило. Впоследствие инцидентът разкри пропуски в обхвата на киберзастраховането за системи за съхранение на енергия чрез батерии.
