Une enquête de l'entreprise néerlandaise Modat et du Centre National de Cybersécurité des Pays-Bas (NCSC-NL) a identifié 2.766 systèmes informatiques liés à des installations solaires en Espagne accessibles depuis internet qui, selon les chercheurs, ne devraient pas être exposés au réseau public. Ce chiffre représente 35 % des 7.942 systèmes solaires localisés dans l'ensemble des pays analysés.
L'étude, présentée le 6 octobre lors de la ONE Conference à La Haye, a examiné des installations solaires et des parcs éoliens dans 40 pays européens, y compris des membres de l'Union Européenne, de l'Association Européenne de Libre Échange et des pays candidats à entrer dans l'UE. Les chercheurs ont trouvé des systèmes exposés dans 35 pays et ont comptabilisé 8.547 au total, entre installations solaires et éoliennes.
La distinction est fondamentale : avoir un système exposé ne signifie pas qu'une cyberattaque a eu lieu. Le décompte identifie des équipements et des applications accessibles depuis internet, pas des intrusions confirmées ni des installations nécessairement compromises.
Ce que les chercheurs ont trouvé
Parmi les 8.547 systèmes identifiés, 7.942 étaient associés à des installations solaires réparties sur 34 pays. L'Espagne était en tête du décompte, devant la Grèce, avec 1.860 ; l'Italie, avec 753 ; et l'Allemagne, avec 672. Ces quatre pays représentaient 76 % des systèmes solaires localisés.
L'étude a identifié 605 autres systèmes liés à des parcs éoliens dans 23 pays. En Espagne, 11 de ce type ont été localisés, un chiffre très inférieur à celui correspondant à la génération photovoltaïque.
Les chercheurs n'ont pas comptabilisé les installations résidentielles sur les toits. De plus, ils ont appliqué un critère restrictif : ils n'ont inclus que les systèmes qu'ils ont pu lier avec certitude à un parc solaire ou éolien spécifique. C'est pourquoi ils considèrent que les résultats représentent un minimum et non l'inventaire complet des équipements potentiellement exposés.
De un écran accessible au contrôle des équipements
L'exposition peut avoir différents niveaux de gravité. Dans certains cas, une interface accessible depuis internet affiche des informations opérationnelles et exige des identifiants pour continuer. Dans d'autres, les chercheurs ont trouvé des panneaux d'administration sans authentification ni protection, ainsi que des systèmes industriels permettant d'envoyer des instructions aux équipements.
Le rapport décrit, par exemple, l'interface web d'un aérogénérateur qui affichait des données de production en temps réel et incluait des contrôles de démarrage, d'arrêt et de redémarrage. Il documente également des accès à des contrôleurs industriels et des pages qui identifiaient les installations qu'ils desservaient.
La portée de chaque exposition dépend des fonctions disponibles et du système affecté. Un équipement peut gérer un seul dispositif ou en couvrir plusieurs ; par conséquent, le nombre de systèmes détectés ne permet pas de calculer directement combien d'installations pourraient être affectées par un incident.
Quelles mesures recommande le rapport
Modat et le NCSC-NL recommandent de retirer d'internet les interfaces d'administration et d'éviter que les systèmes de contrôle industriel soient accessibles directement depuis le réseau public. Le rapport propose également de revoir les permissions et les accès des fournisseurs et des entreprises de services qui interviennent dans la gestion des installations.
Les chercheurs avertissent que les mêmes techniques utilisées pour localiser des équipements exposés peuvent être exploitées par des tiers pour les identifier. Le travail a utilisé des outils de regroupement par apprentissage automatique pour reconnaître des systèmes similaires et localiser des dispositifs sans règles de recherche définies au préalable.
La recherche ne fournit pas de liste publique permettant de conclure quelles installations espagnoles ont été compromises ni n'atteste que les 2.766 systèmes ont subi des accès non autorisés. Sa principale contribution est d'identifier une surface d'exposition numérique que les opérateurs doivent examiner et protéger.