46 Failles Critiques Trouvées Dans Les Modèles D'Inverters Solaires Des Marques Leaders

Les chercheurs en sécurité de Forescout Vedere Labs ont identifié 46 vulnérabilités critiques dans des inverters solaires fabriqués par trois grands fabricants de systèmes d’énergie solaire : Sungrow, Growatt et SMA, ce qui pourrait entraîner des mesures d’urgence ou des pannes potentielles.

Analyse et Conclusions de Forescout

Forescout a analysé six grands fournisseurs mondiaux de systèmes d’énergie solaire : Huawei, Sungrow, Ginlong Solis, Growatt, GoodWe et SMA. Ils ont découvert 46 nouvelles vulnérabilités affectant différents composants chez trois fournisseurs : Sungrow, Growatt et SMA.

Ces vulnérabilités nouvellement découvertes mentionnées dans la recherche SUN:DOWN par Forescout Vedere Labs ont maintenant été corrigées par les fournisseurs concernés.

Ces failles auraient potentiellement permis aux acteurs malveillants d’exécuter des commandes arbitraires sur des appareils ou sur le cloud du fournisseur, d’activer la prise de contrôle de comptes, d’impacter la stabilité du réseau et la vie privée des utilisateurs, de s’introduire dans l’infrastructure du fournisseur et de prendre le contrôle des appareils des propriétaires d’inverters.

« L’impact collectif des systèmes solaires résidentiels sur la fiabilité du réseau est trop significatif pour être ignoré — les hôpitaux pourraient perdre l’accès à des équipements critiques, les familles pourraient se retrouver sans chauffage en hiver ou sans climatisation lors d’une vague de chaleur, et les entreprises pourraient fermer », a déclaré Barry Mainz, PDG de Forescout.

« Les acteurs malveillants ciblent de plus en plus les infrastructures critiques, ce qui rend essentiel de les prendre au sérieux et de sécuriser les systèmes d’inverters solaires avant que les vulnérabilités ne conduisent à des perturbations dans le monde réel. »

Selon les chercheurs, en moyenne, plus de 10 nouvelles vulnérabilités ont été divulguées chaque année au cours des trois dernières années. Parmi les 93 vulnérabilités précédemment divulguées, 80 % sont classées comme ayant une gravité élevée ou critique, avec 32 % d’entre elles ayant un score CVSS de 9,8 ou 10, suggérant que les attaquants pourraient potentiellement obtenir un contrôle total sur un système affecté.

Les composants les plus souvent touchés sont les moniteurs solaires, qui représentent 38 % des vulnérabilités signalées, suivis des backends cloud à 25 %. En revanche, les inverters solaires eux-mêmes sont directement affectés dans seulement 15 % des cas.

Les chercheurs ont également constaté que 53 % des fabricants d’inverters solaires, 58 % des systèmes de stockage et 20 % des fabricants de systèmes de surveillance sont basés en Chine, soulevant des inquiétudes concernant la domination des composants solaires fabriqués à l’étranger.

Scénarios Potentiels de Cyberattaque Sur Les Réseaux Électriques

Un scénario d’attaque possible implique des acteurs malveillants obtenant des noms d’utilisateur de comptes, utilisant la fonction de réinitialisation de mot de passe pour détourner des comptes, puis utilisant les comptes détournés pour envoyer des commandes afin de modifier les paramètres des inverters.

Si les attaquants prennent le contrôle de ces inverters, ils peuvent modifier leurs paramètres de sortie d’énergie ou les éteindre et les allumer de manière coordonnée comme un botnet. Lorsque plusieurs inverters sont détournés en même temps, cela produit un grand effet sur la génération d’énergie dans un réseau. L’étendue des dommages dépend de la quantité d’énergie de secours que le réseau possède et de la rapidité avec laquelle elle peut être activée.

Dans le contexte du réseau électrique européen, des recherches antérieures indiquent que prendre le contrôle de 4.GW de production d’énergie solaire pourrait abaisser la fréquence du réseau à 49Hz, déclenchant la nécessité de délestage.

Étant donné que l’Europe dispose de 270GW de capacité solaire installée, prendre le contrôle de seulement 2 % des inverters pourrait suffire à perturber le réseau pour les attaquants dans un marché dominé par Huawei, Sungrow et SMA.

« Les systèmes d’énergie solaire deviennent rapidement des éléments essentiels des réseaux électriques à travers le monde, mais des failles de sécurité persistantes menacent à la fois la stabilité du réseau et la sécurité nationale », a déclaré Daniel dos Santos, responsable de la recherche chez Forescout Vedere Labs.

Implications Pour L’Industrie

L’identification de ces vulnérabilités souligne la nécessité d’améliorer les mesures de sécurité au sein de l’industrie de l’énergie solaire.

Forescout recommande aux fabricants d’appareils de mettre en œuvre des pratiques de cycle de vie logiciel sécurisé, de réaliser des tests de pénétration réguliers, de mettre en œuvre des stratégies de sécurité en profondeur utilisant des pare-feu d’applications web, et d’utiliser des audits tiers des liens de communication basés sur des normes, telles que ETSI EN 303 645, la Directive sur les Équipements Radio (RED) et la Loi sur la Résilience Cybernétique (CRA).

Recommandations Pour Les Consommateurs

Pour atténuer les vulnérabilités potentielles associées à l’équipement des inverters d’énergie solaire, il est recommandé aux utilisateurs de mettre régulièrement à jour le firmware de leur inverter, de surveiller les performances de leur système et de maintenir une communication ouverte avec les fabricants, ce qui peut aider à atténuer les risques.