Ethische hacker kaapt vier miljoen zonnepanelen


Dat iemand zomaar miljoenen zonnepanelen kan hacken, doet de discussie over de cyberveiligheid van omvormers weer oplaaien. Strengere regels moeten ook redden wat overblijft van de Europese zonne-industrie.


De Nederlandse ethische hacker Wietse Boonstra ontdekte dit voorjaar lekken in de beveiliging van de omvormers die het Amerikaanse bedrijf Enphase produceert. Die lekken zouden het mogelijk maken om vier miljoen installaties van zonnepanelen in 150 landen aan te sturen. Enphase is ook in ons land actief.

Volgens de Nederlandse nieuwssite Follow the Money, die het verhaal uitbracht, zouden kwaadwillige hackers via dit lek miljoenen zonnepanelen kunnen overnemen, de installaties uitschakelen, of omgekeerd omvormers toestaan om meer elektriciteit het net op te sturen dan toegestaan. Zelfs het hele Europese stroomnet zou in gevaar komen, gelet op de grote capaciteit aan zonnepanelen waarover Nederland beschikt.

Enphase ontkent wel tegenover Follow the Money dat het zo’n vaart zou lopen. Een massale verstoring van de elektriciteitsmarkt zou niet mogelijk zijn geweest. Het bedrijf is bezig met het dichten van de zes lekken die Boonstra en zijn collega’s hebben ontdekt.


Zwakke plek

Toch heropent de hacking de discussie over de cyberveiligheid van zonnepanelen. Het Europese stroomnet is erop voorzien dat drie gigawatt aan capaciteit onverwacht mag uitvallen. Maar de capaciteit van zonnepanelen is intussen veel groter.

Volgens een onderzoek van het cybersecuritybedrijf Secura kan een hacking wel degelijk de stabiliteit van het stroomnet in gevaar brengen en een kortstondige stroomuitval veroorzaken. Dat zou dan weer zware maatschappelijke gevolgen hebben: verkeerslichten werken niet meer, hulpdiensten zijn niet bereikbaar, bedrijven worden technisch werkloos.

Ook een rapport van het cyberveiligheidsagentschap van de Europese Unie waarschuwde deze zomer dat Europa slecht is voorbereid op een gecoördineerde aanval op zijn elektriciteitsinfrastructuur, vooral dan door kwaadwillige insiders, maar ook door cybercriminelen en hackers die door een staat worden ondersteund.

Het zwakke punt zijn de omvormers, het brein van een zonnepaneelinstallatie, die met het internet zijn verbonden. Daardoor kunnen ze worden gehackt, uitgeschakeld of ingezet bij cyberaanvallen.

Het gros van de omvormers is bovendien van Chinese makelij, met Huawei als grootste speler. Maar Huawei is omstreden. De VS hebben bijvoorbeeld de verkoop en import van telecomapparatuur van Huawei verboden, wegens het risico op spionage.

Door de dominante positie van bedrijven als Huawei zou het voor China nog makkelijker moeten zijn dan voor eenvoudige hackers om omvormers te manipuleren en daarmee het Europese stroomnet aan het wankelen te brengen.


Europese regels

Europa is zich daar al langer van bewust. In oktober treedt een nieuwe Europese wetgeving rond cyberveiligheid in werking, die ook omvormers beter moet beschermen.

Voor de sector van de zonnepanelen mag het nog strenger en moet zonne-energie als kritieke infrastructuur worden beschouwd en ook zo worden beveiligd.

De focus op cyberveiligheid is ook een manier om wat rest van de Europese industrie te redden, maar het is al behoorlijk laat. Europese spelers op de markt van de omvormers zijn er nog amper, met het Oostenrijkse Fronius als grootste uitzondering.

Particulieren kunnen zelf weinig meer doen dan de elementaire regels van cyberveiligheid toepassen: een sterk wachtwoord kiezen, software updaten, een veilig wifinetwerk gebruiken en opletten voor phishing. Het enige alternatief is de omvormer van het internet afkoppelen.


Blog DS, 20-08-2024 (Wim Winckelmans)