Päikeseenergiasüsteemi murettekitavad vead võivad häkkeritel elektrivõrke häirida

Kasvav sõltuvus päikeseenergiast võib tekitada küberjulgeolekuriskidele uue piiri. Küberjulgeolekufirma Forescouti hiljutine uurimine avastas murettekitava haavatavuste laine, mis mõjutab suurte tootjate Sungrow, Growatt ja SMA päikeseenergiasüsteemide tooteid. Leiud tekitavad tõsist muret tänapäevase energiataristu vastupanuvõime pärast küberrünnakute vastu ja laiaulatuslike häirete potentsiaali pärast.

Kümned haavatavused paljastavad päikeseenergia infrastruktuuri

Forescouti meeskond avastas 46 uut turvaauku, mis on viimastel aastatel lisanud enam kui 90 varem kataloogitud veale päikeseenergiasüsteemides. Viimane avastuste laine oli suunatud maailma 10 parima päikesesüsteemi müüja toodetele, kusjuures Sungrow, Growatt ja SMA paistsid silma tuvastatud probleemide tõsiduse ja mitmekesisuse tõttu.

Nende päikesesüsteemide tuumaks on inverterid - seadmed, mis muudavad päikesepaneelide toodetud alalisvoolu kasutatavaks vahelduvvooluks. Need inverterid sisaldavad sageli Interneti-ühendusega komponente pilveplatvormide ja mobiilirakenduste kaudu jälgimiseks, juhtimiseks ja kaugjuurdepääsuks. Kahjuks muudavad need digitaalsed võimalused päikesetaristu küberkurjategijate jaoks atraktiivseks rünnakupinnaks.

Mida teadlased leidsid

• SMA : üksainus, kuid tõsine haavatavus võimaldab ründajatel üles laadida pilveplatvormile pahatahtliku faili, mis võib viia suvalise koodi käivitamiseni SMA serveris – see on kriitiline oht, kui seda ei parandata.
• Growatt : Teadlased tuvastasid vapustavad 30 haavatavust. Need vead hõlmavad saitidevahelist skriptimist (XSS), kaugülevõtmisvõimalusi, teabe avalikustamise probleeme ja isegi võimalusi, kuidas ründajad võivad päikeseenergia infrastruktuurile füüsilist kahju tekitada.
• Sungrow : paljastati üle tosina haavatavuse, nagu näiteks ebaturvalised otseviited (IDOR), teenuse keelamise (DoS) haavatavused ja koodi kaugkäitamise ohud. Need võivad kaasa tuua volitamata juurdepääsu, teenuse katkemise või mõjutatud seadmete täieliku kahjustamise.

Miks see on oluline: oht elektrivõrgule

Võib-olla on kõige murettekitavam võimalus, et ründajad saavad kontrolli Interneti-ühendusega inverterite üle. Forescouti sõnul võib suure hulga nende seadmete kaaperdamine võimaldada küberkurjategijatel elektrivõrke destabiliseerida – kas siis energiasisendiga manipuleerides või sünkroniseeritud häireid tekitades.

Kujutage ette, et sajad või tuhanded ohustatud inverterid äkitselt välja lülituvad või on valesti seadistatud. Mõju võib levida üle kohalike või isegi riiklike võrkude, põhjustades katkestusi, suurendades nõudlust varusüsteemide järele ning põhjustades rahalist kahju kommunaalteenustele ja operaatoritele.

Lisaks võrgu häiretele võib ohustatud päikesesüsteeme kasutada järgmistel eesmärkidel:

• Isikuandmete vargus – sealhulgas pilvega ühendatud süsteemidega seotud klienditeave.
• Külgmised võrgurünnakud – kus ründajad liiguvad ohustatud inverteritelt teistele sama võrgu tundlikele seadmetele.
• Energiaturu manipuleerimine – väljund- või jõudlusandmete rikkumine.
• Lunavararünnakud – päikesetaristu pantvangis hoidmine kuni lunaraha maksmiseni.

Paigutamise edenemine ja müüja vastus

Mõjutatud müüjaid on teavitatud. Nii SMA kui ka Sungrow reageerisid kiiresti, paikades kõik tuvastatud haavatavused ja avaldades klientidele nõuandeid. USA küberturvalisuse ja infrastruktuuri turbeagentuur (CISA) kordas seda kiireloomulisust, andes välja oma nõuanded, rõhutades nende toodete laialdast kasutamist kogu ülemaailmses energiasektoris.

Growatt on aga käsitlenud vaid mõnda teatatud probleemi. 2025. aasta veebruari lõpu seisuga on enamik selle toodete haavatavusi paikamata – see on ühe juhtiva päikeseenergia inverteri kaubamärgi staatus murettekitav.

Kuidas kasutajad saavad olla kaitstud

Päikeseenergiasüsteemide turvamine nõuab samasugust küberturvalisuse hoolsust nagu mis tahes muu ühendatud infrastruktuur. Forescout ja NIST soovitavad järgmisi parimaid tavasid.

• Muutke vaikeparoole ja rakendage tugevat autentimist.

Samuti soovitab Forescout ärilistel päikesesüsteemide halduritel lisada hankelepingutesse turvanõuded ja viia läbi regulaarseid riskianalüüse.

Kuna päikesetehnoloogia integreeritakse üha enam elektrivõrkudesse, muutub selle turvalisus sama kriitiliseks kui selle tõhusus. Forescouti paljastatud haavatavused tuletavad karmilt meelde, et puhas energia ei tähenda automaatselt ohutut energiat. Ilma ennetavate küberjulgeolekumeetmeteta võivad samad süsteemid, mis on loodud jätkusuutlikkuse edendamiseks, muutuda meie kriitilise infrastruktuuri nõrgaks lüliks.

Operaatorid, müüjad ja kasutajad peavad tegutsema kohe – enne kui küberründajad saavad võimaluse lülitit ümber pöörata.