8.547 eksponerede energisystemer fundet i Europa

Forskere har identificeret 8.547 eksponerede energisystemer forbundet med sol- og vindkraftanlæg i 35 europæiske lande. Resultaterne omfatter administrationsgrænseflader og kontrolpaneler, der er tilgængelige via det offentlige internet.

Internetefterretningsvirksomheden Modat undersøgte infrastrukturen for vedvarende energi i 40 lande inden for EU, EFTA og EU’s kandidatlande. Selvom de fleste grænseflader viste login-skærme, rapporterede forskerne, at de havde fuld kontrol over systemerne på 181 lokationer.

Resultaterne vedrører potentiel uautoriseret adgang og driftsforstyrrelser. De fastslår ikke, at angribere har kompromitteret alle de eksponerede systemer eller forårsaget strømafbrydelser.

Solenergisystemer står for flest eksponeringer

Solenergiinfrastrukturen udgjorde den største andel af resultaterne med 7.942 offentligt tilgængelige systemer i 34 lande.

Spanien stod for 2.766 af disse eksponeringer, svarende til cirka 35 procent af det samlede antal solenergisystemer. Tilsammen stod Spanien, Tyskland, Grækenland og Italien for 76 procent.

Samtidig identificerede forskerne 605 eksponerede vindkraftsystemer i 23 lande. Tyskland og Italien stod tilsammen for 67 procent af denne kategori.

Nederlandene havde 132 eksponerede solenergisystemer og ni vindkraftsystemer.

Disse tal beskriver de systemer, som forskerne identificerede under deres undersøgelse. De viser ikke, hvor stor en andel af hvert lands infrastruktur for vedvarende energi der var eksponeret.

Forskere rapporterer fuld kontrol på 181 lokationer

De fleste grænseflader krævede, at brugerne passerede en login-skærm. Forskerne oplyste dog, at de opnåede fuld kontrol på 181 lokationer.

De tilgængelige funktioner omfattede muligheden for at stoppe individuelle vindmøller eller lukke en hel vindmøllepark ned. Adgangen gav også indsigt i produktionsoplysninger i realtid og vindmøllernes placeringer.

Denne forskel adskiller synlighed på internettet fra direkte driftsmæssig adgang. En offentligt tilgængelig login-side indebærer eksponering, men det betyder ikke automatisk, at hvem som helst kan styre udstyret bag den.

Alligevel peger den rapporterede kontrol på nogle anlæg på en mere umiddelbar risiko. Uautoriserede ændringer kan forstyrre energiproduktionen i stedet for blot at afsløre oplysninger.

Redegørelsen angiver ikke, at forskerne faktisk lukkede vindmøller eller vindmølleparker ned.

Offentlige grænseflader gjorde infrastrukturen let at finde

Modat oplyste, at virksomhedens forskere fandt de eksponerede energisystemer i løbet af få timer.

Ifølge grundlægger og administrerende direktør Soufian El Yadmani udgør infrastrukturen for vedvarende energi et fragmenteret digitalt landskab. Operatører overvåger ikke altid systemer, der er tilgængelige fra internettet, hvilket gør det vanskeligere at opretholde et fuldstændigt overblik over deres eksponering.

Derfor kan den samme synlighed, som hjalp forskerne med at identificere kontrolpanelerne, også hjælpe angribere med at opdage potentielle mål.

Problemet rækker ud over sikkerheden ved de enkelte anlæg. Tusindvis af separat administrerede grænseflader skaber en større udfordring med at identificere og afhjælpe svagheder på tværs af sektoren.

Administratorer modtager advarsler om eksponerede systemer

Forskerne underrettede administratorerne med ansvar for de berørte grænseflader og opfordrede dem til at fjerne systemernes adgang fra det offentlige internet.

Denne anbefaling vedrører adgangen til administrations- og kontrolgrænseflader frem for en generel nedlukning af elproduktionen.

Forskerholdet præsenterede sine resultater på The ONE Conference i Haag tidligere samme uge.

Samtidig følger undersøgelsen efter tidligere bekymringer om internetforbundet udstyr til vedvarende energi. I juli rapporterede Chaos Computer Club og en sikkerhedsforsker om alvorlige sårbarheder i Hoymiles-invertere til solcelleinstallationer på altaner og tage.

De nye resultater udvider fokus fra individuelle produkter til tilgængeligheden af driftskritiske systemer i hele Europa. For de berørte operatører er det umiddelbare spørgsmål, om udenforstående kan få adgang til følsomme kontrolfunktioner, og hvad disse forbindelser giver dem mulighed for at gøre.