Endişe Verici Güneş Enerjisi Sistemi Kusurları, Bilgisayar Korsanlarının Elektrik Şebekelerini Bozmasına Yol Açabilir

Güneş enerjisine olan artan bağımlılık, siber güvenlik risklerinin yeni bir sınırını yaratıyor olabilir. Siber güvenlik firması Forescout tarafından yakın zamanda yapılan bir araştırma, büyük üreticiler Sungrow, Growatt ve SMA'nın güneş enerjisi sistemi ürünlerini etkileyen rahatsız edici bir güvenlik açığı dalgasını ortaya çıkardı. Bulgular, modern enerji altyapısının siber saldırılara karşı dayanıklılığı ve geniş çaplı kesinti potansiyeli konusunda ciddi endişeler yaratıyor.

Onlarca Güvenlik Açığı Güneş Enerjisi Altyapısını Açığa Çıkarıyor

Forescout ekibi, son yıllarda güneş enerjisi sistemlerindeki 90'dan fazla kataloglanmış kusura ek olarak 46 yeni güvenlik açığını ortaya çıkardı. Son keşif dalgası, dünyanın en iyi 10 güneş sistemi tedarikçisinin ürünlerini hedef aldı ve Sungrow, Growatt ve SMA, belirlenen sorunların ciddiyeti ve çeşitliliği nedeniyle öne çıktı.

Bu güneş enerjisi sistemlerinin merkezinde invertörler bulunur; güneş panelleri tarafından üretilen DC elektriğini kullanılabilir AC gücüne dönüştüren cihazlar. Bu invertörler genellikle bulut platformları ve mobil uygulamalar aracılığıyla izleme, kontrol ve uzaktan erişim için internet bağlantılı bileşenler içerir. Ne yazık ki bu dijital yetenekler güneş enerjisi altyapısını siber suçlular için çekici bir saldırı yüzeyine dönüştürüyor.

Araştırmacılar Ne Buldu?

• SMA : Tek bir ciddi güvenlik açığı, saldırganların kötü amaçlı bir dosyayı bulut platformuna yüklemesine olanak tanıyor ve bu da SMA sunucusunda keyfi kod yürütülmesine yol açabiliyor. Bu, yama yapılmadığı takdirde kritik bir risk oluşturuyor.
• Growatt : Araştırmacılar tam 30 tane güvenlik açığı tespit etti. Bu kusurlar arasında çapraz site betikleme (XSS), uzaktan devralma yetenekleri, bilgi ifşa sorunları ve hatta saldırganların güneş enerjisi altyapısına fiziksel hasar verme yolları yer alıyor.
• Sungrow : Güvenli olmayan doğrudan nesne referansları (IDOR), hizmet reddi (DoS) güvenlik açıkları ve uzaktan kod yürütme tehditleri gibi bir düzineden fazla güvenlik açığı ortaya çıkarıldı. Bunlar yetkisiz erişime, hizmet kesintisine veya etkilenen cihazların tamamen tehlikeye girmesine yol açabilir.

Bu Neden Önemli: Elektrik Şebekesine Yönelik Bir Tehdit

Belki de en endişe verici olanı, saldırganların internet bağlantılı invertör filolarını kontrol altına alma olasılığıdır. Forescout'a göre, bu cihazlardan çok sayıda ele geçirmek, siber suçluların enerji girişini manipüle ederek veya senkronize kesintilere neden olarak elektrik şebekelerini istikrarsızlaştırmasına olanak tanıyabilir.

Yüzlerce veya binlerce tehlikeye maruz kalmış invertörün aniden kapandığını veya yanlış yapılandırıldığını hayal edin. Etkisi yerel veya hatta ulusal şebekelere yayılabilir, kesintilere, yedek sistemlere olan talebin artmasına ve kamu hizmetleri ve operatörler için finansal kayıplara neden olabilir.

Şebeke kesintilerinin ötesinde, tehlikeye giren güneş enerjisi sistemleri şu amaçlarla kullanılabilir:

• Kişisel veri hırsızlığı – buluta bağlı sistemlere bağlı müşteri bilgileri de dahil.
• Yanal ağ saldırıları – saldırganların tehlikeye atılmış invertörlerden aynı ağdaki diğer hassas cihazlara geçmesi.
• Enerji piyasası manipülasyonu – çıktı veya performans verilerinin tahrif edilmesi yoluyla.
• Fidye yazılımı saldırıları – fidye ödenene kadar güneş enerjisi altyapısını rehin tutmak.

Yama İlerlemesi ve Satıcı Tepkisi

Etkilenen satıcılara bildirim yapıldı. Hem SMA hem de Sungrow, tespit edilen tüm güvenlik açıklarını yamalayarak ve müşteriler için uyarılar yayınlayarak hızla yanıt verdi. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bu ürünlerin küresel enerji sektöründe yaygın olarak kullanıldığını vurgulayarak kendi uyarılarını yayınlayarak aciliyeti dile getirdi.

Ancak Growatt, bildirilen sorunların yalnızca birkaçını ele aldı. Şubat 2025 sonu itibarıyla, ürünlerindeki güvenlik açıklarının çoğu henüz yamalanmamış durumda; bu, önde gelen güneş enerjisi invertör markalarından biri için endişe verici bir durum.

Kullanıcılar Nasıl Korunabilir?

Güneş enerjisi sistemlerinin güvenliğini sağlamak, diğer bağlı altyapılarla aynı siber güvenlik titizliğini gerektirir. Forescout ve NIST aşağıdaki en iyi uygulamaları önermektedir:

• Varsayılan şifreleri değiştirin ve güçlü kimlik doğrulamayı uygulayın.

Forescout ayrıca ticari güneş enerjisi sistemi operatörlerine, tedarik sözleşmelerine güvenlik gerekliliklerini eklemelerini ve düzenli risk değerlendirmeleri yapmalarını tavsiye ediyor.

Güneş enerjisi teknolojisi güç şebekelerine giderek daha fazla entegre oldukça, güvenliği de verimliliği kadar kritik hale geliyor. Forescout tarafından ortaya çıkarılan güvenlik açıkları, temiz enerjinin otomatik olarak güvenli enerji anlamına gelmediğinin çarpıcı bir hatırlatıcısıdır. Proaktif siber güvenlik önlemleri olmadan, sürdürülebilirliği sağlamak için tasarlanmış aynı sistemler kritik altyapımızda zayıf bir halka haline gelebilir.

Operatörler, tedarikçiler ve kullanıcılar, siber saldırganlar düğmeye basma fırsatı yakalamadan önce harekete geçmeli.