Danger mondial : vulnérabilités des plateformes photovoltaïques

Exposition

Comme l'ont découvert les experts de Bitdefender Labs, des pannes de courant sont possibles grâce à des attaques contre les onduleurs photovoltaïques et les plateformes de gestion. Une vulnérabilité n’a été corrigée qu’en juillet 2024. Les systèmes photovoltaïques équipés de plates-formes Solarman génèrent 20 pour cent de l'énergie solaire mondiale !

Bitdefender Labs a révélé plusieurs vulnérabilités dans les plateformes de gestion des systèmes photovoltaïques de Solarman et dans la plateforme de contrôle des onduleurs DEYE. Les deux sociétés ne les ont fermés qu’en juillet 2024. Couplées, les vulnérabilités fermées auraient donné aux pirates informatiques un contrôle total sur la configuration de l’onduleur. Jusque-là, les attaquants étaient capables de prendre le contrôle total de la configuration d'un onduleur, d'utiliser plusieurs fois des jetons d'autorisation ou encore d'espionner des données. Une autre conséquence aurait été des fluctuations de tension dans le réseau électrique, voire des pannes de courant.

Contrôle total possible pour les pirates

Un correctif dans l'API (Advanced Programming Interface) des plateformes par les fabricants a corrigé les vulnérabilités. Cependant, l’onduleur DEYE n’est qu’un exemple d’appareil vulnérable connecté à la plateforme Solarman testé par Bitdefender. Solarman travaille avec un certain nombre de partenaires qui pourraient potentiellement être touchés par des lacunes similaires. Bitdefender soupçonne que ces partenaires examineront et résoudront un tel problème dans le cadre de la maintenance de la plateforme.

Solarman exploite l'une des plus grandes plates-formes au monde de surveillance et de gestion des systèmes photovoltaïques, qui génèrent environ 195 % de l'énergie solaire disponible dans le monde avec 10 gigawatts répartis sur plus de deux millions de systèmes actifs et plus de 190 millions d'appareils dans plus de 20 pays. Solarman ne fabrique pas seulement des systèmes, elle vend également des pièces sous licence à d'autres fabricants. L'infrastructure API Solarman est ouverte à plusieurs endroits à d'autres sociétés qui fournissent des onduleurs, des enregistreurs de données et d'autres accessoires pour les systèmes solaires. L'enregistreur de données d'un onduleur transmet des informations et permet de surveiller les systèmes solaires en temps réel. Il permet d'optimiser la production d'énergie grâce à des données historiques sur la puissance, la tension et le sens du courant.

Environ 20 pour cent de l’énergie solaire disponible dans le monde est menacée

Dans l'analyse de Bitdefender Labs, l'enregistreur de données Solarman et l'onduleur DEYE ont révélé plusieurs vulnérabilités qui auraient pu conduire à une panne de courant. Bitdefender Labs a pu accéder aux comptes d'utilisateurs normaux et professionnels sur la plateforme Solarman. Un compte professionnel permettait de modifier la tension et la fréquence du courant et de contrôler d'autres détails de configuration.

Bogdan Botezatu, directeur de la recherche sur les menaces et du reporting chez Bitdefender Labs (Image : Bitdefender).

Cette lacune a entraîné des dangers pour la plateforme Solarman, pour la plateforme d'onduleurs DEYE et pour le réseau électrique :

• Risques sur la plateforme Solarman : D'une part, les attaquants ont pu générer des jetons d'accès pour chaque compte, prendre le contrôle des comptes professionnels de Solarman, modifier les paramètres de l'onduleur ou modifier l'interaction entre l'onduleur et le réseau électrique. Les jetons de la plate-forme cloud DEYE pourraient également être utilisés pour la plate-forme Solarman et accorder un accès complet aux comptes d'utilisateurs en fonction de leur identifiant. La plateforme a également permis aux attaquants d’accéder à un large éventail d’informations telles que des adresses e-mail ou des numéros de téléphone.
• Risques sur la plateforme DEYE : La plateforme DEYE utilisait des comptes d'utilisateurs codés en dur pour accéder aux informations sur les appareils. Les pirates auraient pu accéder à n’importe quel appareil et lire des données techniques ou des configurations sans fil. Un point de terminaison d'API permettait l'exfiltration d'informations sur les utilisateurs, les noms, les adresses e-mail, les numéros de téléphone et les identifiants d'utilisateur. Ici aussi, les attaquants ont pu générer des jetons d’autorisation.
• Risques pour la sécurité du réseau électrique : L'accès des pirates aux appareils qui entrent en contact avec le réseau électrique peut avoir un impact considérable sur le fonctionnement du réseau électrique. En s'emparant des comptes d'utilisateurs, les attaquants peuvent contrôler les onduleurs et interrompre la production d'électricité. La tension dans le réseau fluctue. En modifiant la configuration des onduleurs, les attaquants peuvent interrompre la distribution d’électricité sur une vaste zone, mettre en danger la stabilité du réseau et éventuellement provoquer une panne de courant. De plus, des informations peuvent être lues. Avec cette vulnérabilité, cela était possible jusqu'à la mi-juillet.

"Les pirates auraient pu influencer la stabilité du réseau"

Bogdan Botezatu, directeur de la recherche sur les menaces et du reporting chez Bitdefender Labs : « Les vulnérabilités qui existaient jusqu'à il y a quelques semaines dans les plateformes de gestion des systèmes photovoltaïques de Solarman et dans les plateformes des onduleurs DEYE, également disponibles en Allemagne, n'auraient pas seulement été sous contrôle par des pirates informatiques. Systèmes photovoltaïques possibles. Les cybercriminels pourraient également avoir provoqué des pannes de courant : en interrompant l'alimentation électrique et en provoquant des fluctuations de tension dans l'appareil. Les changements de configuration des onduleurs ont également provoqué des interruptions généralisées de la distribution électrique, une perturbation de la stabilité du réseau et d'éventuelles pannes de courant.

L'incident montre que l'Internet des objets n'est plus un lieu exotique où les pirates peuvent lancer une attaque DDoS, mais plutôt un composant d'infrastructure critique : Solarman gère plusieurs millions d'installations qui génèrent environ 20 % de l'énergie solaire totale dans le monde. Il est fortement conseillé aux utilisateurs et aux opérateurs de vérifier s'ils utilisent la dernière version du logiciel pour leur plateforme et pour les onduleurs DEYE.

Articles liés au sujet