Više od 8.500 upravljačkih sustava solarnih i vjetroelektrana diljem Europe može se dosegnuti izravno s interneta, a Njemačka je među najizloženijima.
Studija koju su provela nizozemska tvrtka Modat i nacionalni centar za kibernetičku sigurnost Nizozemske (NCSC-NL) pronašla je 8.500 računalnih sustava u solarnim i vjetroelektranama koji su otvoreni prema javnoj mreži, iako bi trebali biti zatvoreni. Sustavi su razasuti po 35 europskih zemalja. Njemačka ih ima 884, od čega 212 u vjetroelektranama — najviše u Europi za tu granu. U solarnom segmentu daleko prednjači Španjolska s 2.766 izloženih sustava.
Takva izloženost nije apstraktna prijetnja. Napadaču omogućuje da najprije popiše opremu, a zatim traži ranjivosti koje može iskoristiti. Njemački savezni ured za informacijsku sigurnost (BSI) tjedan dana nakon objave studije upozorio je operatere svih vrsta postrojenja — od hidroelektrana i vjetroelektrana do spalionica otpada, solarnih sustava svih veličina, kogeneracijskih jedinica i bioplinskih postrojenja.
Napad na hladnjake kao hladni tuš
Upozorenje je stiglo nedugo nakon napada u Francuskoj. U noći s 11. na 12. listopada hakeri su preuzeli na daljinu sustave hlađenja stotina supermarketa, među kojima su Intermarché, Super U i E.Leclerc, i prebacili ih u način odmrzavanja. Ministar gospodarstva Roland Lescure govori o oko 700 pogođenih trgovina, a dio robe je bačen. Predsjednica BSI-ja Claudia Plattner smatra da je takav napad mogao pogoditi bilo koju zemlju i strahuje od oponašatelja.
Bitno je razumjeti gdje leži problem. U Njemačkoj postrojenja manja od 100 MW ne spadaju pod pravila za kritičnu infrastrukturu, pa načelno ne podliježu nikakvoj obvezi kibernetičke zaštite. BSI zato naglašava da njegove smjernice vrijede bez obzira na veličinu postrojenja ili status operatera — uključujući kućnu solarnu elektranu. Vlasnik čiji je inverter dostupan s interneta u istoj je skupini kao i upravitelj vjetroparka.
Najčešće ranjivosti su trivijalne: zadane lozinke koje nikad nisu promijenjene ili se ponavljaju na više uređaja. Jednako je rizično izlaganje upravljačkih sustava izravno internetu. Da bi nadzirali postrojenja na daljinu, neki operatori nadzorna sučelja ili industrijske automate učine dostupnima s javne mreže. Drugi se previše uzdaju u privatne mreže — privatna mobilna mreža sama po sebi ne jamči da su uređaji na njoj dovoljno zaštićeni jedni od drugih.
Umjetna inteligencija dodatno olakšava posao napadačima. Njome se pišu skripte, analiziraju tehničke informacije i prilagođavaju postojeći alati za pronalaženje ranjivih sustava. U kombinaciji s automatizacijom ubrzava pretragu i umnožava pokušaje upada.
Poljska i SAD kao primjeri iz prakse
BSI u svom dokumentu navodi napad u Poljskoj od 29. prosinca 2025. na više od trideset vjetro i solarnih parkova te kogeneracijsko postrojenje koje grije gotovo pola milijuna kupaca. Na vjetroparkovima su napadači prekinuli komunikaciju s operatorima mreže i blokirali upravljačku i zaštitnu opremu, ali nisu poremetili proizvodnju ni distribuciju struje. Drugi primjer dolazi iz Sjedinjenih Država: u kolovozu 2026. napadači su pristupili automatima i nadzornim sustavima ostavljenima otvorenima na internetu kod više od 30 gradskih vodovoda. Mogli su mijenjati radne vrijednosti i blokirati pristup opremi kako bi otežali povratak u normalu.
Preporuke BSI-ja idu u smjeru koji se čini očitim, ali se u praksi rijetko provodi. Prije svega treba ukinuti svaki izravan pristup upravljačkim sustavima s interneta. Programirljivi automati, nadzorna sučelja i sučelja za ljudsku interakciju ne smiju biti dostupni s javne mreže. Kada je daljinski pristup nužan, veza mora ići preko VPN-a. Treba zamijeniti zadane pristupne podatke, odabrati jake lozinke i uključiti višefaktorsku autentifikaciju. BSI savjetuje i da se provjeri je li veza s proizvođačevim oblakom uopće potrebna — idealno je postrojenje voditi isključivo lokalno. Na kraju, inzistira na ažuriranju softvera i mikrokoda, posebno na usmjerivačima i uređajima za daljinski pristup.
No BSI upozorava da lozinka nije uvijek dovoljna, jer se neke ranjivosti mogu iskoristiti bez ikakve autentifikacije. Zato traži i aktiviranje zaštita koje oprema već ima — popisa blokiranja i filtriranja protokola. Preporučuje i redovitu, po mogućnosti automatsku provjeru dostupnosti novih zakrpa.
3 komentara
Tako nas uvjeravaju da je sigurno i internet bankarstvo ali nekako zaborave naglasiti da je sve ama bas sve ranjivo sto je otvoreno na internetu i samo je pitanje vremena kad ce ta “zastita ” pasti odnosno biti probijea.
a izgleda da je i sigurnija aplikacija koja je dostupna sa interneta od kalkulatora koji generira kod koji nije povezan na internet … cudno ali tako kazu strucnjaci
Bez brige. No frks. Sve je prema planu. Vjerujte Planu!
Kad ih “hakiraju” (točnije kad hakiraju sami sebe smećem koji su si nanijeli u sustave) – biće super, jer će vjerojatno roknuti mreža u cijeloj Europi. Kupite svijeće, peć na drva i uvijek imajte keša kod sebe.