Alarmující chyby solárního systému by mohly hackerům umožnit narušit elektrické sítě

Rostoucí závislost na solární energii může vytvářet novou hranici rizik kybernetické bezpečnosti. Nedávné vyšetřování společnosti Forescout zabývající se kybernetickou bezpečností odhalilo znepokojivou vlnu zranitelností ovlivňujících produkty solárních systémů od hlavních výrobců Sungrow, Growatt a SMA. Zjištění vzbuzují vážné obavy ohledně odolnosti moderní energetické infrastruktury vůči kybernetickým útokům – a potenciálu rozsáhlého narušení.

Desítky zranitelností odhalují solární infrastrukturu

Tým Forescout odhalil 46 nových zranitelností a přidal se k více než 90 dříve katalogizovaným chybám v solárních energetických systémech v posledních letech. Poslední vlna objevů se zaměřovala na produkty od 10 nejlepších světových prodejců solárních systémů, přičemž Sungrow, Growatt a SMA vynikají díky závažnosti a rozmanitosti zjištěných problémů.

Jádrem těchto solárních systémů jsou invertory – zařízení, která přeměňují stejnosměrnou elektřinu generovanou solárními panely na použitelnou střídavou energii. Tyto střídače často obsahují komponenty připojené k internetu pro monitorování, ovládání a vzdálený přístup prostřednictvím cloudových platforem a mobilních aplikací. Bohužel tyto digitální schopnosti mění solární infrastrukturu na atraktivní útočnou plochu pro kyberzločince.

Co výzkumníci našli

• SMA : Jediná, ale závažná zranitelnost umožňuje útočníkům nahrát škodlivý soubor na cloudovou platformu, což může vést ke spuštění libovolného kódu na serveru SMA – což je kritické riziko, pokud nebude opraveno.
• Growatt : Výzkumníci identifikovali ohromujících 30 zranitelností. Mezi tyto nedostatky patří cross-site scripting (XSS), možnosti vzdáleného převzetí, problémy se zpřístupněním informací a dokonce cesty, jak mohou útočníci fyzicky poškodit solární infrastrukturu.
• Sungrow : Bylo odhaleno více než tucet zranitelností, jako jsou nezabezpečené přímé objektové odkazy (IDOR), zranitelnosti typu denial-of-service (DoS) a hrozby vzdáleného spuštění kódu. To by mohlo vést k neoprávněnému přístupu, přerušení služby nebo úplnému ohrožení postižených zařízení.

Proč na tom záleží: Hrozba pro rozvodnou síť

Snad nejvíce alarmující je možnost, že útočníci získají kontrolu nad flotilami střídačů připojených k internetu. Podle Forescouta by únos velkého počtu těchto zařízení mohl umožnit kyberzločincům destabilizovat energetické sítě – buď manipulací se vstupem energie, nebo způsobením synchronizovaných poruch.

Představte si stovky nebo tisíce napadených měničů, které se náhle vypnou nebo jsou špatně nakonfigurovány. Dopad by se mohl rozvinout napříč místními nebo dokonce národními rozvodnými sítěmi, což by způsobilo výpadky, nárůst poptávky po záložních systémech a finanční ztráty pro energetické společnosti a operátory.

Kromě narušení sítě by ohrožené solární systémy mohly být využity pro:

• Krádež osobních údajů – včetně informací o zákaznících spojených s cloudovými systémy.
• Laterální síťové útoky – kdy se útočníci přesunou z napadených měničů na jiná citlivá zařízení ve stejné síti.
• Manipulace s energetickým trhem – manipulací s údaji o výkonu nebo výkonu.
• Ransomwarové útoky – držení solární infrastruktury jako rukojmí, dokud nebude zaplaceno výkupné.

Průběh oprav a odezva dodavatele

Dotčení prodejci byli informováni. SMA i Sungrow zareagovaly rychle, opravily všechny zjištěné zranitelnosti a zveřejnily doporučení pro zákazníky. Americká Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) zopakovala naléhavost vydáním vlastních doporučení, která zdůraznila široké použití těchto produktů v globálním energetickém sektoru.

Společnost Growatt se však zabývala pouze několika nahlášenými problémy. Ke konci února 2025 zůstává většina zranitelných míst v jejích produktech neopravena – což je znepokojivý stav jedné z předních značek solárních invertorů.

Jak mohou uživatelé zůstat chráněni

Zabezpečení solárních energetických systémů vyžaduje stejnou péči v oblasti kybernetické bezpečnosti jako jakákoli jiná připojená infrastruktura. Forescout a NIST doporučují následující osvědčené postupy:

• Změňte výchozí hesla a implementujte silné ověřování.

Forescout také radí provozovatelům komerčních solárních systémů, aby do smluv o nákupu zahrnuli bezpečnostní požadavky a prováděli pravidelná hodnocení rizik.

Jak se solární technologie stále více integruje do energetických sítí, její bezpečnost se stává stejně kritickou jako její účinnost. Zranitelnosti, které Forescout odhalil, jsou jasnou připomínkou toho, že čistá energie automaticky neznamená bezpečnou energii. Bez proaktivních opatření v oblasti kybernetické bezpečnosti by se stejné systémy navržené k podpoře udržitelnosti mohly stát slabým článkem naší kritické infrastruktury.

Operátoři, prodejci a uživatelé musí jednat hned – než kybernetičtí útočníci dostanou šanci přepnout.