8 547 eksponerte energisystemer oppdaget i Europa

Forskere har identifisert 8 547 eksponerte energisystemer knyttet til sol- og vindkraftanlegg i 35 europeiske land. Funnene omfatter administrasjonsgrensesnitt og kontrollpaneler som er tilgjengelige via det offentlige internettet.

Internettetterretningsselskapet Modat undersøkte infrastrukturen for fornybar energi i 40 land innenfor EU, EFTA og EUs kandidatland. Selv om de fleste grensesnittene viste innloggingssider, rapporterte forskerne at de hadde full kontroll over systemene på 181 steder.

Funnene gjelder potensiell uautorisert tilgang og driftsforstyrrelser. De fastslår ikke at angripere har kompromittert alle de eksponerte systemene eller forårsaket strømbrudd.

Solenergisystemer står for flest eksponeringer

Solenergiinfrastrukturen utgjorde den største andelen av funnene, med 7 942 offentlig tilgjengelige systemer i 34 land.

Spania sto for 2 766 av disse eksponeringene, tilsvarende omtrent 35 prosent av det totale antallet solenergisystemer. Til sammen sto Spania, Tyskland, Hellas og Italia for 76 prosent.

Samtidig identifiserte forskerne 605 eksponerte vindkraftsystemer i 23 land. Tyskland og Italia sto til sammen for 67 prosent av denne kategorien.

Nederland hadde 132 eksponerte solenergisystemer og ni vindkraftsystemer.

Disse tallene beskriver systemene forskerne identifiserte under undersøkelsen. De viser ikke hvor stor andel av hvert lands infrastruktur for fornybar energi som var eksponert.

Forskere rapporterer full kontroll på 181 steder

De fleste grensesnittene krevde at brukerne passerte en innloggingsside. Forskerne opplyste imidlertid at de fikk full kontroll på 181 steder.

De tilgjengelige funksjonene omfattet muligheten til å stoppe individuelle vindturbiner eller stenge ned en hel vindpark. Tilgangen ga også innsyn i produksjonsinformasjon i sanntid og turbinenes plassering.

Dette skillet skiller synlighet på internett fra direkte operativ tilgang. En offentlig tilgjengelig innloggingsside innebærer eksponering, men det betyr ikke automatisk at hvem som helst kan styre utstyret bak den.

Likevel peker den rapporterte kontrollen ved enkelte anlegg på en mer umiddelbar risiko. Uautoriserte endringer kan forstyrre energiproduksjonen i stedet for bare å avsløre informasjon.

Redegjørelsen opplyser ikke at forskerne faktisk stengte ned turbiner eller vindparker.

Offentlige grensesnitt gjorde infrastrukturen enkel å finne

Modat opplyste at selskapets forskere fant de eksponerte energisystemene i løpet av noen få timer.

Ifølge grunnlegger og administrerende direktør Soufian El Yadmani utgjør infrastrukturen for fornybar energi et fragmentert digitalt landskap. Operatører overvåker ikke alltid systemer som er tilgjengelige fra internett, noe som gjør det vanskeligere å opprettholde en fullstendig oversikt over eksponeringen.

Dermed kan den samme synligheten som hjalp forskerne med å identifisere kontrollpanelene, også hjelpe angripere med å oppdage potensielle mål.

Problemet strekker seg utover sikkerheten ved enkeltanlegg. Tusenvis av separat administrerte grensesnitt skaper en større utfordring når det gjelder å identifisere og utbedre svakheter på tvers av sektoren.

Administratorer får advarsler om eksponerte systemer

Forskerne varslet administratorene som hadde ansvar for de berørte grensesnittene, og oppfordret dem til å fjerne systemene fra offentlig internettilgang.

Denne anbefalingen gjelder tilgang til administrasjons- og kontrollgrensesnitt, ikke en generell nedstenging av strømproduksjonen.

Forskerteamet presenterte funnene sine på The ONE Conference i Haag tidligere samme uke.

Samtidig følger undersøkelsen etter tidligere bekymringer knyttet til tilkoblet utstyr for fornybar energi. I juli rapporterte Chaos Computer Club og en sikkerhetsforsker om alvorlige sårbarheter i Hoymiles-vekselrettere for solcelleinstallasjoner på balkonger og tak.

De nye funnene utvider fokuset fra enkeltprodukter til tilgjengeligheten til operative systemer i hele Europa. For berørte operatører er det umiddelbare spørsmålet om utenforstående kan få tilgang til sensitive kontrollfunksjoner, og hva disse forbindelsene gjør det mulig for dem å utføre.