太陽光発電システムの重大な欠陥によりハッカーが電力網を混乱させる恐れ

太陽エネルギーへの依存度が高まっていることで、サイバーセキュリティリスクの新たな領域が生まれている可能性があります。サイバーセキュリティ企業 Forescout による最近の調査で、大手メーカーの Sungrow、Growatt、SMA の太陽光発電システム製品に影響を及ぼす一連の厄介な脆弱性が明らかになりました。この調査結果は、現代のエネルギーインフラのサイバー攻撃に対する耐性、および大規模な混乱の可能性について深刻な懸念を引き起こしています。

太陽光発電インフラに数十の脆弱性が露呈

Forescout のチームは 46 件の新しい脆弱性を明らかにしました。これは、ここ数年間に太陽エネルギー システムに発見された 90 件以上の欠陥に追加されたものです。最新の一連の発見は、世界トップ 10 の太陽エネルギー システム ベンダーの製品を対象としており、特定された問題の深刻度と多様性から、Sungrow、Growatt、SMA が際立っています。

これらの太陽光発電システムの中核となるのはインバーターです。インバーターは、ソーラーパネルで発電された直流電力を使用可能な交流電力に変換するデバイスです。これらのインバーターには、クラウド プラットフォームやモバイル アプリを介した監視、制御、リモート アクセスのためのインターネット接続コンポーネントが含まれていることがよくあります。残念ながら、これらのデジタル機能により、太陽光発電インフラストラクチャはサイバー犯罪者にとって魅力的な攻撃対象になっています。

研究者が発見したもの

• SMA : 1 つの重大な脆弱性により、攻撃者はクラウド プラットフォームに悪意のあるファイルをアップロードし、SMA のサーバー上で任意のコードが実行される可能性があります。パッチを適用しないと重大なリスクとなります。
• Growatt : 研究者は、驚くべきことに 30 件の脆弱性を特定しました。これらの欠陥には、クロスサイト スクリプティング (XSS)、リモート乗っ取り機能、情報漏洩の問題、さらには攻撃者が太陽光発電インフラに物理的な損害を与える経路などが含まれます。
• Sungrow : 安全でない直接オブジェクト参照 (IDOR)、サービス拒否 (DoS) の脆弱性、リモート コード実行の脅威など、10 件を超える脆弱性が発見されました。これらは、不正アクセス、サービスの中断、または影響を受けるデバイスの完全な侵害につながる可能性があります。

これがなぜ重要なのか: 電力網への脅威

おそらく最も憂慮すべきは、攻撃者がインターネットに接続されたインバーター群を制御できるようになる可能性です。Forescout によると、サイバー犯罪者は、大量のこれらのデバイスを乗っ取ることで、エネルギー入力を操作したり、同期した混乱を引き起こしたりして、電力網を不安定にする可能性があります。

数百、数千の不正アクセスされたインバータが突然シャットダウンしたり、誤って構成されたりすることを想像してください。その影響は地域や国の電力網に波及し、停電を引き起こし、バックアップ システムへの需要が急増し、電力会社やオペレーターに経済的損失をもたらす可能性があります。

電力網の混乱以外にも、被害を受けた太陽光発電システムは次のような用途に活用される可能性があります。

• 個人データの盗難- クラウド接続システムにリンクされた顧客情報を含む。
• 横方向のネットワーク攻撃- 攻撃者が侵害されたインバーターから同じネットワーク上の他の機密デバイスに移動します。
• エネルギー市場の操作- 出力またはパフォーマンス データを改ざんすること。
• ランサムウェア攻撃– 身代金が支払われるまで太陽光発電インフラを人質にする。

パッチ適用の進捗とベンダーの対応

影響を受けたベンダーには通知済みです。SMA と Sungrow はいずれも迅速に対応し、特定されたすべての脆弱性を修正し、顧客向けの勧告を公開しました。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) も独自の勧告を発行して緊急性を強調し、これらの製品が世界のエネルギー部門で広く使用されていることを強調しました。

しかし、Growatt は報告された問題のうちいくつかにしか対処していません。2025 年 2 月下旬現在、同社の製品の脆弱性の大部分は未修正のままです。これは、大手太陽光発電インバータ ブランドの 1 つとしては懸念すべき状況です。

ユーザーが保護される方法

太陽エネルギー システムのセキュリティを確保するには、他の接続インフラストラクチャと同じサイバー セキュリティの注意が必要です。Forescout と NIST は、次のベスト プラクティスを推奨しています。

• デフォルトのパスワードを変更し、強力な認証を実装します。

Forescout はまた、商業用太陽光発電システムの運営者に対し、調達契約にセキュリティ要件を含め、定期的にリスク評価を実施するようアドバイスしています。

太陽光発電技術が電力網にますます統合されるにつれて、そのセキュリティは効率性と同じくらい重要になります。Forescout が発見した脆弱性は、クリーン エネルギーが必ずしも安全なエネルギーを意味するわけではないことをはっきりと思い出させます。積極的なサイバー セキュリティ対策がなければ、持続可能性を推進するために設計された同じシステムが、私たちの重要なインフラストラクチャの弱点になる可能性があります。

オペレーター、ベンダー、ユーザーは、サイバー攻撃者がスイッチを切り替える機会を得る前に、今すぐ行動する必要があります。