ข้อบกพร่องของระบบพลังงานแสงอาทิตย์ที่น่าตกใจอาจทำให้แฮกเกอร์สามารถทำลายโครงข่ายไฟฟ้าได้

การพึ่งพาพลังงานแสงอาทิตย์ที่เพิ่มมากขึ้นอาจสร้างความเสี่ยงด้านความปลอดภัยทางไซเบอร์รูปแบบใหม่ การสืบสวนล่าสุดของบริษัทด้านความปลอดภัยทางไซเบอร์ Forescout ได้เปิดเผยช่องโหว่ที่น่าวิตก กังวลซึ่ง ส่งผลกระทบต่อผลิตภัณฑ์ระบบพลังงานแสงอาทิตย์จากผู้ผลิตหลักอย่าง Sungrow, Growatt และ SMA ผลการค้นพบดังกล่าวทำให้เกิดความกังวลอย่างจริงจังเกี่ยวกับความสามารถในการรับมือของโครงสร้างพื้นฐานด้านพลังงานสมัยใหม่ต่อการโจมตีทางไซเบอร์ และศักยภาพในการหยุดชะงักในวงกว้าง

ช่องโหว่หลายสิบแห่งเปิดเผยโครงสร้างพื้นฐานด้านพลังงานแสงอาทิตย์

ทีมงานของ Forescout เปิดเผยช่องโหว่ใหม่ 46 รายการ ซึ่งเพิ่มช่องโหว่ในระบบพลังงานแสงอาทิตย์ที่เคยบันทึกไว้ก่อนหน้านี้กว่า 90 รายการในช่วงไม่กี่ปีที่ผ่านมา การค้นพบครั้งล่าสุดนี้มุ่งเป้าไปที่ผลิตภัณฑ์จากผู้จำหน่ายระบบพลังงานแสงอาทิตย์ 10 อันดับแรกของโลก โดย Sungrow, Growatt และ SMA โดดเด่นกว่าเนื่องจากความรุนแรงและปัญหาที่พบหลากหลาย

อินเวอร์เตอร์เป็นอุปกรณ์ที่แปลงไฟฟ้ากระแสตรงที่ผลิตจากแผงโซลาร์เซลล์ให้เป็นไฟฟ้ากระแสสลับที่ใช้งานได้ โดยอินเวอร์เตอร์เหล่านี้มักมีส่วนประกอบที่เชื่อมต่ออินเทอร์เน็ตเพื่อใช้ในการเฝ้าติดตาม ควบคุม และเข้าถึงจากระยะไกลผ่านแพลตฟอร์มคลาวด์และแอปมือถือ น่าเสียดายที่ความสามารถทางดิจิทัลเหล่านี้ทำให้โครงสร้างพื้นฐานด้านพลังงานแสงอาทิตย์กลายเป็นพื้นผิวการโจมตีที่น่าสนใจสำหรับอาชญากรทางไซเบอร์

สิ่งที่นักวิจัยค้นพบ

• SMA : ช่องโหว่ร้ายแรงเพียงรายการเดียวทำให้ผู้โจมตีสามารถอัปโหลดไฟล์ที่เป็นอันตรายไปยังแพลตฟอร์มคลาวด์ ซึ่งอาจทำให้เกิดการเรียกใช้โค้ดตามอำเภอใจบนเซิร์ฟเวอร์ของ SMA ซึ่งถือเป็นความเสี่ยงร้ายแรงหากไม่ได้รับการแก้ไข
• Growatt : นักวิจัยระบุช่องโหว่ที่น่าตกใจถึง 30 รายการ ช่องโหว่เหล่านี้รวมถึง Cross-site Scripting (XSS) ความสามารถในการควบคุมจากระยะไกล ปัญหาการเปิดเผยข้อมูล และแม้แต่ช่องทางให้ผู้โจมตีสร้างความเสียหายทางกายภาพต่อโครงสร้างพื้นฐานพลังงานแสงอาทิตย์
• Sungrow : พบช่องโหว่มากกว่าสิบรายการ เช่น การอ้างอิงวัตถุโดยตรงที่ไม่ปลอดภัย (IDOR) ช่องโหว่การปฏิเสธการให้บริการ (DoS) และภัยคุกคามการเรียกใช้โค้ดจากระยะไกล ช่องโหว่เหล่านี้อาจนำไปสู่การเข้าถึงโดยไม่ได้รับอนุญาต การหยุดชะงักของบริการ หรืออุปกรณ์ที่ได้รับผลกระทบเสียหายทั้งหมด

เหตุใดเรื่องนี้จึงสำคัญ: ภัยคุกคามต่อโครงข่ายไฟฟ้า

สิ่งที่น่าตกใจที่สุดก็คือความเป็นไปได้ที่ผู้โจมตีจะสามารถควบคุมอินเวอร์เตอร์ที่เชื่อมต่ออินเทอร์เน็ตได้ Forescout ระบุว่า การแฮ็กอุปกรณ์เหล่านี้จำนวนมากอาจทำให้ผู้ก่ออาชญากรรมทางไซเบอร์สามารถทำให้ระบบไฟฟ้าไม่เสถียรได้ ไม่ว่าจะเป็นการจัดการอินพุตพลังงานหรือทำให้เกิดการหยุดชะงักแบบซิงโครไนซ์

ลองนึกภาพอินเวอร์เตอร์หลายร้อยหรือหลายพันตัวที่มีปัญหาหยุดทำงานกะทันหันหรือมีการกำหนดค่าไม่ถูกต้อง ผลกระทบอาจขยายไปยังระบบไฟฟ้าในท้องถิ่นหรือแม้แต่ระดับชาติ ทำให้เกิดไฟฟ้าดับ ความต้องการระบบสำรองเพิ่มสูงขึ้น และทำให้บริษัทสาธารณูปโภคและผู้ให้บริการต้องสูญเสียทางการเงิน

นอกเหนือจากการหยุดชะงักของระบบไฟฟ้า ระบบพลังงานแสงอาทิตย์ที่ได้รับผลกระทบอาจมีประโยชน์สำหรับ:

• การโจรกรรมข้อมูลส่วนบุคคล รวมถึงข้อมูลลูกค้าที่เชื่อมโยงกับระบบที่เชื่อมต่อผ่านคลาวด์
• การโจมตีเครือข่ายด้านข้าง – โดยผู้โจมตีจะย้ายจากอินเวอร์เตอร์ที่ถูกบุกรุกไปยังอุปกรณ์ที่ละเอียดอ่อนอื่น ๆ บนเครือข่ายเดียวกัน
• การจัดการตลาดพลังงาน – โดยการดัดแปลงข้อมูลผลผลิตหรือประสิทธิภาพการทำงาน
• การโจมตีด้วยแรนซัมแวร์ – ยึดโครงสร้างพื้นฐานด้านพลังงานแสงอาทิตย์ไว้เป็นตัวประกันจนกว่าจะจ่ายค่าไถ่

ความคืบหน้าการแก้ไขและการตอบสนองของผู้ขาย

ผู้ขายที่ได้รับผลกระทบได้รับแจ้งแล้ว ทั้ง SMA และ Sungrow ตอบสนองอย่างรวดเร็วโดยแก้ไขช่องโหว่ทั้งหมดที่ระบุและเผยแพร่คำแนะนำสำหรับลูกค้า สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) สะท้อนถึงความเร่งด่วนนี้โดยออกคำแนะนำของตนเอง โดยเน้นย้ำถึงการใช้ผลิตภัณฑ์เหล่านี้อย่างแพร่หลายในภาคส่วนพลังงานทั่วโลก

อย่างไรก็ตาม Growatt ได้แก้ไขปัญหาที่รายงานไปเพียงไม่กี่อย่างเท่านั้น ณ ปลายเดือนกุมภาพันธ์ 2025 ช่องโหว่ส่วนใหญ่ในผลิตภัณฑ์ของบริษัทยังไม่ได้รับการแก้ไข ซึ่งถือเป็นสถานะที่น่ากังวลสำหรับหนึ่งในแบรนด์อินเวอร์เตอร์พลังงานแสงอาทิตย์ชั้นนำ

ผู้ใช้จะได้รับการปกป้องได้อย่างไร

การรักษาความปลอดภัยของระบบพลังงานแสงอาทิตย์ต้องใช้ความรอบคอบด้านความปลอดภัยทางไซเบอร์เช่นเดียวกับโครงสร้างพื้นฐานที่เชื่อมต่ออื่นๆ Forescout และ NIST แนะนำแนวทางปฏิบัติที่ดีที่สุดดังต่อไปนี้:

• เปลี่ยนรหัสผ่านเริ่มต้น และใช้การตรวจสอบสิทธิ์ที่แข็งแกร่ง

Forescout ยังแนะนำให้ผู้ดำเนินการระบบพลังงานแสงอาทิตย์เชิงพาณิชย์รวมข้อกำหนดด้านความปลอดภัยไว้ในสัญญาจัดซื้อจัดจ้างและดำเนินการประเมินความเสี่ยงเป็นประจำ

เนื่องจากเทคโนโลยีพลังงานแสงอาทิตย์ถูกผนวกเข้ากับโครงข่ายไฟฟ้ามากขึ้น ความปลอดภัยจึงมีความสำคัญพอๆ กับประสิทธิภาพของเทคโนโลยีดังกล่าว จุดอ่อนที่ Forescout เปิดเผยออกมาเป็นเครื่องเตือนใจอย่างชัดเจนว่าพลังงานสะอาดไม่ได้หมายความถึงพลังงานที่ปลอดภัยเสมอไป หากไม่มีมาตรการป้องกันความปลอดภัยทางไซเบอร์เชิงรุก ระบบเดียวกันที่ออกแบบมาเพื่อขับเคลื่อนความยั่งยืนอาจกลายเป็นจุดอ่อนในโครงสร้างพื้นฐานที่สำคัญของเรา

ผู้ให้บริการ ผู้ขาย และผู้ใช้จะต้องดำเนินการทันที ก่อนที่ผู้โจมตีทางไซเบอร์จะมีโอกาสพลิกสถานการณ์