Wielkie zagrożenie dla europejskiej fotowoltaiki – cyberataki na inwertery mogą sparaliżować systemy energetyczne

• Inwertery PV są narażone na ataki, ponieważ są połączone z internetem, co zwiększa ryzyko włamań i kradzieży danych, zwłaszcza gdy serwery znajdują się poza UE.
• W 2023 roku siedmiu największych producentów inwerterów mogło zdalnie kontrolować 10 GW mocy, co stwarza ryzyko masowych blackoutów i zakłóceń w systemie energetycznym.
• SolarPower Europe zaleca wprowadzenie zharmonizowanych standardów cyberbezpieczeństwa, w tym szyfrowania danych i regularnych testów, aby chronić infrastrukturę energetyczną.

Eksperci ostrzegają, że brak odpowiednich zabezpieczeń może prowadzić do katastrofalnych konsekwencji, w tym utraty kontroli nad znaczną częścią europejskiej infrastruktury energetycznej. Problem nie dotyczy tylko samych urządzeń, ale również infrastruktury zarządzającej danymi, która coraz częściej opiera się na rozwiązaniach chmurowych, często znajdujących się poza granicami Unii Europejskiej. Tego typu systemy, mimo swojej innowacyjności, niosą ze sobą ryzyko włamań, utraty danych oraz innych zagrożeń związanych z cyberbezpieczeństwem.

Cyfrowe słabe punkty nowoczesnych instalacji PV

Problem wynika z faktu, że inwertery fotowoltaiczne coraz częściej funkcjonują jako urządzenia połączone z internetem, co umożliwia zdalny dostęp wielu podmiotom – producentom, instalatorom, operatorom sieci czy agregatorom energii. Przechowywanie danych w chmurze oraz możliwość zdalnego sterowania urządzeniami zwiększa ryzyko włamań i ataków typu ransomware, w których dostęp do systemu blokowany jest do czasu zapłacenia okupu. W takim modelu zagrożenia nie są jedynie teoretyczne – już dziś znane są przypadki przejmowania kontroli nad infrastrukturą krytyczną za pomocą złośliwego oprogramowania. Ponadto, brak świadomości użytkowników oraz niedostateczne szkolenia personelu technicznego często prowadzą do wykorzystania słabych haseł, braku zapór ogniowych czy błędnej konfiguracji systemów, co dodatkowo zwiększa ryzyko.

Mimo wprowadzenia unijnych regulacji, takich jak dyrektywa NIS2, Cyber Resilience Act (CRA) czy Network Code on Cybersecurity (NCCS), wiele małych i średnich instalacji pozostaje poza ich zakresem. Problemem jest także brak jednego operatora odpowiedzialnego za bezpieczeństwo, co utrudnia wdrażanie jednolitych standardów. Instalacje te są często zarządzane przez różnych dostawców usług, co dodatkowo komplikuje sytuację. Ponadto, niektóre dane mogą być przechowywane poza UE, co dodatkowo zwiększa ryzyko szpiegostwa lub sabotażu. W praktyce oznacza to, że dostęp do wrażliwych danych, takich jak informacje o zużyciu energii, lokalizacji instalacji czy parametrach technicznych, może być potencjalnie możliwy dla osób trzecich.

Skala problemu – gigantyczne ryzyko dla europejskiej sieci energetycznej

Skala zagrożenia jest ogromna – według raportu w 2023 roku siedmiu największych producentów inwerterów mogło zdalnie kontrolować ponad 10 GW mocy zainstalowanej. Oznacza to, że potencjalne przejęcie jednego z takich systemów może zagrozić stabilności całej europejskiej sieci energetycznej. Wrażliwe dane, takie jak informacje o zużyciu energii czy lokalizacji instalacji, mogą być łatwym celem dla cyberprzestępców, zwłaszcza jeśli serwery znajdują się poza granicami Unii Europejskiej. W skrajnym przypadku, zdalne przejęcie kontroli nad inwerterami mogłoby prowadzić do masowych blackoutów, awarii systemów bezpieczeństwa czy nawet zakłóceń w pracy innych kluczowych elementów infrastruktury energetycznej.

W obliczu tych zagrożeń SolarPower Europe apeluje o wprowadzenie „zharmonizowanych ram cyberbezpieczeństwa dla fotowoltaiki”, które obejmowałyby nie tylko inwertery, ale całą cyfrową infrastrukturę systemów fotowoltaicznych. Wśród rekomendacji znalazły się m.in. edukacja użytkowników, zabezpieczenia domyślne oraz stworzenie wyraźnych zasad zarządzania ryzykiem przez cały cykl życia instalacji. Kluczowe jest również wdrożenie technologii zabezpieczających komunikację pomiędzy urządzeniami, takich jak szyfrowanie danych, autoryzacja wielopoziomowa oraz regularne testy penetracyjne, które pozwolą na bieżąco oceniać poziom bezpieczeństwa systemów. Tylko w ten sposób można będzie skutecznie chronić europejską sieć energetyczną przed coraz bardziej wyrafinowanymi atakami cybernetycznymi.

Źródło: SolarPower Europe, pv-magazine.com