Amplia gama de equipos de energía solar expuestos en línea

Publicado por primera vez el

• Casi 35.000 dispositivos de energía solar se pueden gestionar de forma remota y son accesibles abiertamente para cualquier persona desde cualquier lugar del mundo, según un nuevo informe de la empresa de ciberseguridad industrial Forescout.
• Estos dispositivos expuestos con interfaces de gestión accesibles a Internet, fabricados por 42 empresas diferentes, incluyen equipos esenciales para el funcionamiento de la infraestructura de energía solar, según el informe del martes.
• Algunas de las interfaces de administración pueden incluir protecciones con contraseña, pero Forescout dijo que prácticamente ninguna de ellas necesita estar en línea y que cualquier excepción debería ubicarse detrás de VPN.
• Los 10 proveedores con el mayor número de dispositivos expuestos han revelado vulnerabilidades en la última década, lo que aumenta el riesgo de que permanezcan expuestos en Internet público.

La transición a fuentes de energía renovables y la creciente digitalización de la red eléctrica se han combinado para crear graves riesgos de ciberseguridad. Los últimos hallazgos de Forescout ilustran cómo la ausencia de prácticas de diseño seguro en dispositivos de infraestructura crítica también puede poner en peligro la vida de las personas y presentar oportunidades para desestabilizar regiones enteras.

El informe de Forescout, basado en un análisis de direcciones IP públicas mediante el motor de búsqueda Shodan, contiene detalles sobre la distribución de equipos solares con interfaces de gestión accesibles a través de internet. Por ejemplo, estos dispositivos son más comunes en Europa y Asia que en otros lugares, con tres cuartas partes de los dispositivos ubicados en Europa y el 17 % en Asia. Alemania y Grecia representan cada uno una quinta parte del número total de dispositivos expuestos. Además, los 10 proveedores con más dispositivos expuestos no coincidían con los 10 proveedores con las mayores cuotas de mercado; el gigante global Huawei, por ejemplo, no figura en la lista de Forescout.

El Sunny WebBox de SMA, un dispositivo que recopila y reporta información sobre el rendimiento de los inversores solares, fue el equipo más frecuentemente observado y accesible remotamente, seguido de los inversores de Fronius International. El Sunny WebBox, descontinuado en 2015, siempre ha estado entre los dispositivos solares más expuestos, afirmó Forescout, a pesar de que los investigadores revelaron una vulnerabilidad de código duro en el producto en septiembre de 2015. De hecho, si bien el número de dispositivos expuestos disminuyó de 80.000 en diciembre de 2014 a 9.500 al momento de la divulgación de la vulnerabilidad, volvió a subir a 13.000 el mes pasado, según Forescout.

Según los expertos en ciberseguridad, una infraestructura expuesta a Internet descontinuada con vulnerabilidades conocidas constituye una receta para el desastre.

“Vemos grupos de amenazas que acceden de forma agresiva y oportunista a la infraestructura conectada a internet”, declaró Rob Lee, director ejecutivo de la empresa de ciberseguridad industrial Dragos. “Los parques solares y otros recursos energéticos distribuidos requieren conectividad. Sin embargo, dicha conectividad debe estar debidamente protegida y se debe asumir una mentalidad de riesgo de vulneración, considerando el atractivo que estos sistemas presentan para los adversarios”.

Algunos de los dispositivos pueden ser accesibles de forma remota porque sus operadores ni siquiera saben de su existencia en medio de un mar de infraestructura difícil de gestionar.

“Sin una visibilidad completa de cómo estos activos expuestos se comunican entre entornos, los operadores no pueden controlarlos adecuadamente”, declaró Gary Kneeland, gerente sénior de producto de la empresa de ciberseguridad industrial Claroty, a Cybersecurity Dive por correo electrónico. “A medida que esta vía de ataque se vuelve más frecuente, aspectos como la visibilidad de los activos y el mapeo de las comunicaciones serán clave para proteger la infraestructura crítica”.

Kneeland dijo que las vulnerabilidades en dispositivos que se dejaron accidentalmente en línea “siguen siendo un problema persistente para los sectores que compiten por digitalizarse, especialmente en el sector energético”.

“Los atacantes no necesitan herramientas sofisticadas”, dijo, “sólo acceso”.