Nerimą keliantys saulės energijos sistemos trūkumai gali leisti įsilaužėliams sutrikdyti elektros tinklus

Didėjanti priklausomybė nuo saulės energijos gali sukurti naują kibernetinio saugumo pavojų ribą. Neseniai atliktas kibernetinio saugumo įmonės „Forescout“ tyrimas atskleidė nerimą keliančią pažeidžiamumo bangą, turinčią įtakos pagrindinių gamintojų „Sungrow“, „Growatt“ ir „SMA“ saulės energijos sistemų produktams. Išvados kelia rimtą susirūpinimą dėl šiuolaikinės energetikos infrastruktūros atsparumo kibernetinėms atakoms ir galimo plataus masto sutrikimo.

Dešimtys pažeidžiamumų atskleidžia saulės infrastruktūrą

„Forescout“ komanda atskleidė 46 naujus pažeidžiamumus, kurie per pastaruosius metus papildė daugiau nei 90 anksčiau kataloguotų saulės energijos sistemų trūkumų. Naujausia atradimų banga buvo skirta 10 geriausių pasaulyje saulės sistemų pardavėjų produktams, o Sungrow, Growatt ir SMA išsiskiria dėl nustatytų problemų sunkumo ir įvairovės.

Šių saulės energijos sistemų pagrindas yra inverteriai – įrenginiai, paverčiantys saulės kolektorių generuojamą nuolatinės srovės elektros energiją į naudojamą kintamosios srovės energiją. Šiuose keitikliuose dažnai yra prie interneto prijungtų komponentų, skirtų stebėjimui, valdymui ir nuotolinei prieigai per debesų platformas ir programas mobiliesiems. Deja, šios skaitmeninės galimybės paverčia saulės infrastruktūrą patrauklia kibernetiniams nusikaltėliams atakų paviršiumi.

Ką atrado tyrėjai

• SMA : vienas, bet rimtas pažeidžiamumas leidžia užpuolikams įkelti kenkėjišką failą į debesies platformą, o tai gali sukelti savavališko kodo vykdymą SMA serveryje – tai kritinė rizika, jei nepataisyta.
• Growatt : Tyrėjai nustatė 30 stulbinančių pažeidžiamumų. Šie trūkumai apima kryžminį scenarijų (XSS), nuotolinio perėmimo galimybes, informacijos atskleidimo problemas ir net būdus, kuriais užpuolikai gali padaryti fizinę žalą saulės infrastruktūrai.
• Sungrow : buvo atskleista daugiau nei tuzinas pažeidžiamumų, tokių kaip nesaugios tiesioginės nuorodos į objektą (IDOR), paslaugų atsisakymo (DoS) spragos ir nuotolinio kodo vykdymo grėsmės. Tai gali sukelti neteisėtą prieigą, paslaugų teikimo sutrikimus arba visišką paveiktų įrenginių sugadinimą.

Kodėl tai svarbu: grėsmė elektros tinklui

Bene labiausiai nerimą kelia tai, kad užpuolikai gali valdyti prie interneto prijungtų keitiklių parką. „Forescout“ teigimu, užgrobus daug šių įrenginių kibernetiniai nusikaltėliai gali destabilizuoti elektros tinklus – manipuliuodami energijos įvedimu arba sukeldami sinchroninius sutrikimus.

Įsivaizduokite, kad šimtai ar tūkstančiai pažeistų keitiklių staiga išsijungia arba yra netinkamai sukonfigūruoti. Poveikis gali plisti vietiniuose ar net nacionaliniuose tinkluose, sukeldamas gedimus, padidėjusį atsarginių sistemų paklausą ir finansinių nuostolių komunalinėms paslaugoms ir operatoriams.

Be tinklo sutrikimų, pažeistos saulės sistemos gali būti panaudotos:

• Asmens duomenų vagystė – įskaitant klientų informaciją, susietą su sistemomis, prijungtomis prie debesies.
• Šoninės tinklo atakos – kai užpuolikai pereina iš pažeistų keitiklių į kitus jautrius įrenginius tame pačiame tinkle.
• Energijos rinkos manipuliavimas – klastojant produkcijos ar veiklos duomenis.
• Ransomware atakos – saulės infrastruktūros laikymas įkaitais, kol bus sumokėta išpirka.

Taisymo eiga ir pardavėjo atsakymas

Paveikti pardavėjai buvo informuoti. Tiek SMA, tiek Sungrow sureagavo greitai, pataisydami visas nustatytas spragas ir paskelbdamos įspėjimus klientams. JAV kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) pakartojo šią būtinybę paskelbdama savo patarimus, pabrėždama, kad šie produktai plačiai naudojami visame pasauliniame energetikos sektoriuje.

Tačiau Growatt išsprendė tik keletą pranešimų, apie kuriuos pranešta. 2025 m. vasario mėn. pabaigoje dauguma jos gaminių pažeidžiamumų liko nepataisyti – tai vieno iš pirmaujančių saulės energijos keitiklių prekės ženklų statusas.

Kaip vartotojai gali likti apsaugoti

Saulės energijos sistemų apsaugai reikalingas toks pat kibernetinio saugumo atidumas, kaip ir bet kuriai kitai prijungtai infrastruktūrai. Forescout ir NIST rekomenduoja šią geriausią praktiką:

• Pakeiskite numatytuosius slaptažodžius ir įdiekite tvirtą autentifikavimą.

„Forescout“ taip pat pataria komerciniams saulės energijos sistemų operatoriams į pirkimo sutartis įtraukti saugumo reikalavimus ir reguliariai atlikti rizikos vertinimus.

Saulės technologijoms vis labiau integruojantis į elektros tinklus, jų saugumas tampa toks pat svarbus kaip ir efektyvumas. „Forescout“ atskleistas pažeidžiamumas yra ryškus priminimas, kad švari energija automatiškai nereiškia saugios energijos. Be aktyvių kibernetinio saugumo priemonių tos pačios sistemos, sukurtos skatinti tvarumą, gali tapti silpna mūsų ypatingos svarbos infrastruktūros grandimi.

Operatoriai, pardavėjai ir vartotojai turi veikti dabar – prieš kibernetiniams užpuolikams suteikiant galimybę perjungti jungiklį.