Nieznane moduły sieciowe znalezione w chińskich inwerterach fotowoltaicznych

W ostatnich miesiącach amerykańskie instytucje energetyczne rozpoczęły ponowną ocenę zagrożeń związanych z chińskimi urządzeniami wykorzystywanymi w infrastrukturze OZE. Powodem są odkrycia nieudokumentowanych modułów komunikacyjnych w niektórych inwerterach solarnych i magazynach energii produkowanych w Chinach. Te „ghost devices” mogą stanowić poważne zagrożenie dla bezpieczeństwa energetycznego Zachodu, dając potencjalnie możliwość zdalnego obejścia zabezpieczeń sieci i przejęcia kontroli nad kluczowymi elementami infrastruktury – jak informuje Reuters.

Czym są inwertery i dlaczego są krytyczne?

Inwertery to urządzenia niezbędne do integracji paneli fotowoltaicznych, turbin wiatrowych, magazynów energii, pomp ciepła czy ładowarek EV z siecią energetyczną. Ich zadaniem jest konwersja prądu stałego (DC) na zmienny (AC) oraz zarządzanie przepływem energii. Z racji swojej roli są one coraz częściej wyposażane w interfejsy sieciowe umożliwiające zdalny dostęp – m.in. do aktualizacji firmware’u i serwisowania.

Odkrycie nieautoryzowanych modułów komunikacyjnych

Jak wykryto problem?

Amerykańscy eksperci ds. bezpieczeństwa, analizując sprzęt podłączony do sieci energetycznych, natrafili w chińskich inwerterach na nieudokumentowane urządzenia komunikacyjne – m.in. modemy komórkowe – których nie było w oficjalnej dokumentacji technicznej. Podobne komponenty znaleziono również w magazynach energii kilku chińskich producentów.

Dlaczego to niebezpieczne?

• Dodatkowe, nieudokumentowane ścieżki komunikacji mogą pozwalać na zdalne obejście firewalli i innych zabezpieczeń stosowanych przez operatorów sieci.
• Zdalny dostęp do inwerterów umożliwia nie tylko aktualizację oprogramowania, ale – w niepowołanych rękach – także wyłączenie urządzenia, zmianę jego parametrów pracy lub przeprowadzenie ataku na sieć elektroenergetyczną.
• Potencjalnie, masowe przejęcie kontroli nad inwerterami mogłoby spowodować blackouty lub poważne zakłócenia w dostawach energii

Kontekst geopolityczny i przykłady

Patrząc na skalę problemu to Huawei (29% światowego rynku inwerterów w 2022 r.) oraz inni chińscy producenci dominują na rynku, a w samej Europie ponad 200 GW mocy zainstalowanej opiera się na chińskich inwerterach – to więcej niż 200 elektrowni jądrowych. W listopadzie 2024 r. konflikt handlowy pomiędzy Sol-Ark, a Deye skutkował zdalnym wyłączeniem inwerterów w USA i innych krajach, co unaoczniło ryzyko związane z zagraniczną kontrolą nad lokalnym sprzętem energetycznym

USA, Litwa, Estonia i Wielka Brytania rozważają lub wdrażają ograniczenia dla chińskich technologii w sektorze energii. Przykładowo Litwa zakazała zdalnego dostępu do instalacji OZE powyżej 100 kW dla chińskich producentów

Szczegóły techniczne zagrożenia

Jak mogą wyglądać „ghost devices”?

• Najczęściej są to ukryte modemy komórkowe (np. 4G/LTE), niewymienione w dokumentacji, niepołączone z głównym firmware’em inwertera, ale fizycznie obecne na płytce PCB.
• Moduły te mogą posiadać własne firmware, niezależny kanał komunikacji i być aktywowane zdalnie.
• W praktyce mogą one tworzyć „tylne drzwi” (backdoor), umożliwiające komunikację z serwerami poza kontrolą operatora sieci.

Typowy łańcuch ataku:

1. Atakujący inicjuje połączenie z ukrytym modemem (np. przez SMS, połączenie TCP/IP przez sieć komórkową).
2. Modem uruchamia własny kanał komunikacji, omijając sieć LAN/WAN i zabezpieczenia operatora.
3. Atakujący uzyskuje dostęp do interfejsu zarządzania inwerterem, może zmienić konfigurację, wyłączyć urządzenie lub przeprowadzić atak na sieć

W USA trwają prace nad ustawą zakazującą zakupu baterii od wybranych chińskich firm dla Departamentu Bezpieczeństwa Wewnętrznego od 2027 r. Podobne restrykcje mogą objąć także inwertery. Za to Unia Europejska wprowadza przepisy, które nakładają na chińskich producentów technologii – zwłaszcza w sektorze OZE – obowiązek spełnienia rygorystycznych standardów cyberbezpieczeństwa i transparentności działalności. Dotyczy to m.in. wymogu przechowywania danych w Europie, lokalnej obsługi instalacji oraz szczegółowych planów ochrony danych, jeśli firma pochodzi z kraju uznanego za wysokiego ryzyka (w tym Chin).

~Tomek Turba