Una investigación de la empresa neerlandesa Modat y del Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL) ha identificado 2.766 sistemas informáticos vinculados a instalaciones solares en España accesibles desde internet que, según los investigadores, no deberían estar expuestos a la red pública. La cifra representa el 35% de los 7.942 sistemas solares localizados en el conjunto de países analizados.
El estudio, presentado el 6 de octubre en la ONE Conference de La Haya, examinó instalaciones solares y parques eólicos en 40 países europeos, incluidos miembros de la Unión Europea, de la Asociación Europea de Libre Comercio y países candidatos a entrar en la UE. Los investigadores encontraron sistemas expuestos en 35 países y contabilizaron 8.547 en total, entre instalaciones solares y eólicas.
La distinción es fundamental: tener un sistema expuesto no significa que se haya producido un ciberataque. El recuento identifica equipos y aplicaciones accesibles desde internet, no intrusiones confirmadas ni instalaciones necesariamente comprometidas.
Qué han encontrado los investigadores
De los 8.547 sistemas identificados, 7.942 estaban asociados a instalaciones solares repartidas por 34 países. España encabezaba el recuento, por delante de Grecia, con 1.860; Italia, con 753; y Alemania, con 672. Estos cuatro países reunían el 76% de los sistemas solares localizados.
El estudio identificó otros 605 sistemas vinculados a parques eólicos en 23 países. En España se localizaron 11 de este tipo, una cifra muy inferior a la correspondiente a la generación fotovoltaica.
Los investigadores no contabilizaron instalaciones residenciales sobre tejados. Además, aplicaron un criterio restrictivo: solo incluyeron sistemas que pudieron vincular con seguridad a un parque solar o eólico concreto. Por eso consideran que los resultados representan un mínimo y no el inventario completo de equipos potencialmente expuestos.
De una pantalla accesible al control de equipos
La exposición puede tener distintos niveles de gravedad. En algunos casos, una interfaz accesible desde internet muestra información operativa y exige credenciales para continuar. En otros, los investigadores encontraron paneles de administración sin autenticación o protección, así como sistemas industriales que permiten enviar instrucciones a los equipos.
El informe describe, por ejemplo, la interfaz web de un aerogenerador que mostraba datos de producción en tiempo real e incluía controles de arranque, parada y reinicio. También documenta accesos a controladores industriales y páginas que identificaban las instalaciones a las que daban servicio.
El alcance de cada exposición depende de las funciones disponibles y del sistema afectado. Un equipo puede gestionar un único dispositivo o abarcar varios; por tanto, el número de sistemas detectados no permite calcular directamente cuántas instalaciones podrían verse afectadas por un incidente.
Qué medidas recomienda el informe
Modat y el NCSC-NL recomiendan retirar de internet las interfaces de administración y evitar que los sistemas de control industrial estén accesibles directamente desde la red pública. El informe también plantea revisar los permisos y accesos de proveedores y empresas de servicios que intervienen en la gestión de las instalaciones.
Los investigadores advierten de que las mismas técnicas utilizadas para localizar equipos expuestos pueden ser aprovechadas por terceros para identificarlos. El trabajo empleó herramientas de agrupación mediante aprendizaje automático para reconocer sistemas similares y localizar dispositivos sin reglas de búsqueda definidas previamente.
La investigación no ofrece una lista pública que permita concluir qué instalaciones españolas han sido comprometidas ni acredita que los 2.766 sistemas hayan sufrido accesos no autorizados. Su principal aportación es identificar una superficie de exposición digital que los operadores deben revisar y proteger.