Vulnerabilidades em sistemas de energia solar podem ameaçar redes elétricas

Os investigadores da Forescout descobriram dezenas de vulnerabilidades em produtos de energia solar das marcas Sungrow, Growatt e SMA que permitem aos atacantes comprometer inversores solares, o que coloca em risco redes elétricas inteiras e possibilita ataques de ransomware e manipulação de preços de energia.

A Forescout tem vindo a analisar produtos de alguns dos maiores fornecedores de sistemas solares e identificou 46 novas vulnerabilidades, elevando para mais de 90 o total de falhas encontradas nos últimos anos. Estas vulnerabilidades podem ser exploradas para roubo de informações, interrupção do fornecimento de energias de energia e ataques à infraestrutura crítica.

Nos produtos da Growatt, os investigadores encontraram 30 vulnerabilidades, incluindo falhas que permitem ataques XSS, controlo remoto de dispositivos e potenciais danos físicos ao sistema. Já nos equipamentos da Sungrow, foram identificadas mais de uma dezena de vulnerabilidades, incluindo problemas que possibilitam ataques de negação de serviços (DoS) e execução remota de código. A SMA, por sua vez, apresentou uma falha que pode levar à execução de código malicioso no servidos da plataforma em cloud.

Os sistemas de energia solar modernos possuem componentes digitais que os ligam à internet e a serviços em cloud, o que facilita a monitorização e o controlo remoto. No entanto, estas mesmas funcionalidades aumentam a superfície de ataque, permitindo que cibercriminosos explorem vulnerabilidades para comprometer inversores e afetar redes elétricas em larga escala. De acordo com a Forescout, um invasor que obtenha controlo sobre uma grande quantidade de inversores pode gerar instabilidade na rede e causar apagões prolongados.

Os fornecedores foram notificados das falhas e algumas correções já foram implementadas. A SMA e a Sungrow corrigiram todas as vulnerabilidades e emitiram alertas para os clientes. No caso da Growatt, parte das falhas for corrigida, mas a maioria continuava sem solução no final de fevereiro, segundo a Forescout. A CISA também emitiu avisos sobre os riscos associados a estes produtos.