L’hacker è stato in grado di sabotare decine di migliaia di pannelli solari rimanendo in giro con una password

L’hacker olandese Jelle Ursem ha scoperto la password nell’aprile 2021. A quel tempo, i dettagli di accesso erano pubblicamente disponibili online da oltre un anno e mezzo. Chiunque sapesse dove trovarli poteva accedere al pannello di amministrazione del brand cinese SolarMAN.

Gli inverter sono necessari per convertire l’elettricità generata in elettricità utilizzabile. Senza questi dispositivi, i pannelli solari sono inutili.

“Molto poco professionale”

“Una password per tutti. Non siamo così stupidi, vero?” dice Aiko Pras, professore di sicurezza in Internet all’Università di Twente. “Così succede comunque. Gli errori sono ancora più stupidi di quanto tu possa immaginare.”

L’hacker Ursem ha informato l’azienda cinese lo scorso anno, dopodiché la password sarebbe stata cambiata rapidamente. Ma quando l’hacker etico tenta di accedere di nuovo con la vecchia password a febbraio di quest’anno, torna indietro. Il professor Pras trova altamente poco professionale per l’azienda cinese trattare la propria sicurezza in questo modo.

Nell’ambiente online di SolarMAN, puoi vedere esattamente dove si trovano gli inverter. Nei Paesi Bassi ci sono più di 40.000 posti. In tutto il mondo, questo interessa più di un milione di siti, principalmente in Cina e Australia.

Sabotare i pannelli solari

Era anche possibile scaricare, modificare e caricare i controlli tecnici del dispositivo sugli inverter, ha detto a RTL Nieuws Frank Breedijk dell’Istituto olandese per la divulgazione delle vulnerabilità (DIVD).

“Se riesci a regolare il software dei dispositivi, puoi fare cose brutte”, afferma Georgios Smaragdakis, professore di sicurezza informatica alla TU Delft. In questo modo puoi spegnere i dispositivi da remoto. Di conseguenza, non è più possibile utilizzare l’energia solare prodotta per la propria casa o reimmetterla nella rete elettrica. I costosi pannelli solari non sono quindi necessari.

Il DIV

L’Istituto olandese per la divulgazione delle vulnerabilità (DIVD) è un’organizzazione di hacker e ricercatori sulla sicurezza che vogliono rendere Internet più sicuro. Per fare ciò, informano le aziende e le organizzazioni delle vulnerabilità presenti.

In questo caso, il DIVD ha collaborato con il National Cyber ​​Security Center (NCSC) del governo olandese. Ha contattato le autorità cinesi a febbraio e aprile per entrare a far parte dell’azienda dietro SolarMAN.

Il 2 luglio la password è stata nuovamente modificata e la pagina in cui si trovava online è stata cancellata. SolarMAN ha dichiarato in una risposta a RTL Nieuws di aver appreso del caso solo all’inizio di luglio.

Se un utente malintenzionato controlla un numero sufficiente di inverter, sarebbe anche possibile mettere a dura prova la rete elettrica. “Con decine di migliaia di dispositivi, probabilmente sparsi in tutti i Paesi Bassi, in questo caso è stato difficile danneggiare davvero la rete elettrica”, afferma Smaragdakis. “Avrai bisogno di centinaia di migliaia per questo.”

Ciò non significa che non ci fosse alcun pericolo. “Un hacker può regolare le impostazioni di sicurezza attorno alla tensione in modo tale che la cosa prenda fuoco”, afferma Pras dell’Università di Twente.

L’Agenzia delle Telecomunicazioni conferma le vulnerabilità menzionate. Se i dispositivi non sono adeguatamente protetti, le persone possono perdere entrate dall’energia solare, tra le altre cose. Il controller segnala anche un rischio di incendio e, nel peggiore dei casi, interruzioni di corrente alla rete elettrica.

“Se l’inverter è connesso alla tua rete Wi-Fi, un hacker può anche interrompere la tua connessione a Internet”, spiega il professore di sicurezza in Internet.

“Se puoi riprogrammare completamente un inverter, puoi anche romperlo o escludere il fornitore”, afferma Breedijk di DIVD, che ha presentato il caso oggi su un palco a un festival degli hacker a Zeewolde. “In effetti, puoi far ballare il dispositivo a tuo piacimento.”

Il problema più grande

Questa non è la prima volta che le apparecchiature attorno ai pannelli solari si sono dimostrate vulnerabili. Nel 2017, l’hacker Willem Westerhof ha mostrato allo stesso festival degli hacker di poter hackerare un produttore tedesco di inverter.

“Sono poi andato consapevolmente alla ricerca di un’azienda che, secondo me, fosse la più sicura”, ricorda l’hacker. “Volevo mostrare che la situazione con gli altri sarebbe probabilmente molto peggiore”.

Non sarà l’ultima volta, prevedono gli esperti. “È ingenuo pensare che sia l’unico produttore che gestisce la sicurezza in modo non professionale”, afferma Pras.

“Sempre più pericoloso”

“È probabile che lo vedremo più spesso”, afferma Smaragdakis di TU Delft. “La prossima volta potrebbe essere un hack di centinaia di migliaia di dispositivi.”

Smaragdakis: “Purtroppo sempre più dispositivi sono connessi a Internet. È qui che iniziano i problemi. Chiunque da tutto il mondo può connettersi ad esso”.

“Questo è il problema”, dice Westerhof. “Mostra che qualcuno che può fare una piccola ricerca su Google può entrare improvvisamente nei nostri dispositivi. Potrebbe essere chiunque voglia causare danni. Sta diventando sempre più pericoloso”.

Risposta SolarMAN

SolarMAN indica in una risposta che la password ha consentito solo l’accesso a un ambiente di test. Tuttavia, lì si potevano vedere i dati di clienti reali, come il comune di Vlissingen. Dice di aver scollegato gli inverter da Internet.

L’azienda cinese conferma che era effettivamente possibile modificare il software degli inverter, ma indica che c’erano ulteriori presidi per prenderne il controllo.

Per quanto è noto, l’incidente non ha causato danni reali e la perdita è ora sigillata. SolarMAN afferma che funziona con il DIVD per proteggere i loro prodotti.