Etickí hekeri odhalili zraniteľnosť solárnych panelov voči kybernetickým útokom

Okrem veterných turbín sú kybernetickou hrozbou pre Európu aj solárne panely – útočníci ich môžu na diaľku ovládnuť, zmeniť ich parametre, vypnúť ich či cez ne destabilizovať sieť. Solárny priemysel chce preto prísnejšie pravidlá najmä pre čínske výrobky.

Doteraz boli čínske veterné turbíny, ktoré cez senzory zhromažďujú množstvo údajov a sú napojené na internet, považované za dieru v kybernetickej bezpečnosti Európskej únie. Európa sa snaží tejto hrozbe čeliť a prijala viaceré opatrenia, ktoré obmedzujú účasť čínskych výrobcov na európskych aukciách na veterné elektrárne.

Teraz sa obavy rozšírili aj na solárne panely, ktoré nie sú zabezpečené proti manipulácii na diaľku, ako ukázali takzvaní etickí hekeri v Holandsku. Tí testujú zabezpečenie počítačových systémov, odhaľujú ich zraniteľné miesta s cieľom pomôcť firmám či inštitúciám (ale aj spoločnosti ako celku) udržiavať ich údaje v bezpečí.

V roku 2022 solárna energia zabezpečovala približne 14 percent dodávok energie v krajine, čo je najvyšší podiel solárnej energie v mixe elektrickej energie zo všetkých krajín EÚ. Holandskí hekeri sa preto zameriavajú práve na solárne panely, pri ktorých zistili veľkú mieru zraniteľnosti. Bez väčších problémov dokázali virtuálne vniknúť do riadenia solárnych elektrární, čo im umožnilo ich vypínať a zapínať alebo meniť ich parametre.

To potvrdzuje správu z roku 2023 holandskej štátnej agentúry, ktorá zistila, že konvertory, vďaka ktorým je elektrina vyrobená panelmi vhodná pre elektrickú sieť a ktoré sú zvyčajne pripojené na web, je možné ľahko ovládnuť, deaktivovať na diaľku alebo použiť na útoky, ktoré zahltia systém a znefunkčnia ho.

Priemyselná asociácia EÚ SolarPower Europe sa po správe o heknutí panelov vyjadrila, že Únia musí zaviesť prísnejšie pravidlá kybernetickej bezpečnosti pre distribuované zdroje energie.

Podiel slnečnej energie v európskej rozvodnej sieti vzrástol z jedného percenta v roku 2010 na 9 percent v roku 2023 a s tým sa zvýšil aj možný potenciál kybernetického útoku na solárne panely.

„Zariadenia, ktoré možno centrálne koordinovať alebo spravovať (napríklad agregované strešné solárne inštalácie), musia podliehať úrovni monitorovania na európskej aj národnej úrovni,“ zdôraznil Dries Acke, zástupca generálneho riaditeľa asociácie.

Hrozby vidí aj eurokomisia

Solárne panely dodávajú jednosmerný prúd, ktorý sa pred vstupom do elektrickej siete premení na striedavý prúd. Na to je potrebný menič. K nemu je často pripojených viacero solárnych panelov alebo môže mať každý solárny panel svoj vlastný mikrokonventor. Keďže tie sú pripojené na web, predstavujú vstupnú bránu pre prípadný kybernetický útok. Zákazník si môže zostaviť svoj vlastný systém, ktorý potom spravuje prostredníctvom svojho účtu alebo tento manažment zadá niekomu inému.

Podľa správy investigatívneho portálu FollowTheMoney objavili holandskí hekeri chybu v softvéri, ktorá im umožnila, aby sa stali správcami zákazníckych účtov. Nešlo len o individuálne zariadenia, hekeri objavili chybu aj v systéme samotného výrobcu, ktorý predáva panely na celom svete. Potenciálne by im tieto bezpečnostné diery dovolili infikovať milióny systémov solárnych panelov na celom svete malvérom a potom ich nechať robiť, čo chcú.

Útočník môže napríklad každých pár sekúnd zapínať a vypínať solárne panely, čo napríklad pri kapacite 3 gigawatty stačí na destabilizáciu siete. Hekeri mohli upraviť parametre meničov,  preťažiť elektrickú sieť, čo nemusia zvládnuť staršie elektrické spotrebiče v domácnostiach, ktoré by mohli začať horieť.

Stručne povedané: rozvodná sieť je zraniteľná voči sabotáži, či už zo strany nahnevaných zamestnancov a hekerov, alebo zo strany „štátnych aktérov“, akými sú Čína, Irán alebo Rusko. Posledná kategória môže nasadzovať skupiny hekerov nepretržite sedem dní v týždni na vyhľadávanie prihlasovacích údajov veľkých solárnych parkov.

Tieto zistenia v plnej miere potvrdzuje správa agentúry EÚ pre kybernetickú bezpečnosť z 24. júla. Podľa nej nie je Únia pripravená na koordinovaný útok na svoju energetickú infraštruktúru, či už zo strany cudzieho štátu, alebo osôb.

Keďže elektrina je nenahraditeľná, akýkoľvek útok na Európu „priťahuje značnú predbežnú aktivitu aktérov pokročilých hrozieb“ v energetickom sektore, ak sa zameriavajú na „vykonanie deštruktívneho útoku“, dodáva.

Solárne panely boli načrtnuté ako zraniteľné miesto v niekoľkých scenároch, a to aj z dôvodu dominancie Číny v dodávateľskom reťazci.

Európske panely majú mať prednosť

Priemysel tvrdí, že zatiaľ čo zákony, ako aktualizovaná smernica EÚ o bezpečnosti sietí a informácií, známa ako NIS2, a zákon o kybernetickej odolnosti, sú len začiatkom, je potrebných viac opatrení: solárne panely by mali byť klasifikované ako kritický produkt, čo znamená, že by podliehali prísnejším hodnoteniam.

Tieto obavy prichádzajú, keď domáci solárny priemysel v EÚ uvádza kybernetickú bezpečnosť ako dôvod, prečo by mali dostať preferenčné zaobchádzanie, čo by im pomohlo získať späť podiel na trhu od čínskych konkurentov.

„Kybernetické požiadavky budúcnosti by mali byť súčasťou akčného plánu EÚ pre elektrifikáciu,“ povedal Acke a dodal, že „Európa sa musí poučiť zo svojich nedávnych lekcií v oblasti energetickej bezpečnosti a zmapovať bezpečnú cestu vpred“.

Podľa hekerov však problémom nie sú len čínske meniče, ale aj tie vyrobené v Spojených štátoch.