L'Espagne en tête des systèmes solaires exposés sur Internet

L'Espagne arrive en tête en Europe pour le nombre de systèmes de parcs solaires accessibles depuis Internet. C'est ce que révèle l'étude « To See the Wind and the Sun », réalisée par la plateforme de cybersécurité Modat Magnify avec Bouke van Laethem, du Centre national de cybersécurité des Pays-Bas (NCSC-NL).

Les chercheurs ont analysé les parcs éoliens et solaires de 35 pays : membres de l'Union européenne, candidats à l'adhésion et États de l'AELE. Ils ont identifié 8 547 systèmes joignables depuis le réseau public sans protection suffisante, dont 7 942 interfaces de parcs solaires et 605 de parcs éoliens. Certaines servent à gérer une seule éolienne, d'autres pilotent plusieurs turbines, voire un site entier, depuis un seul écran.

L'Espagne en tête pour le solaire

Au total, 2 766 systèmes liés à des installations solaires espagnoles sont accessibles en ligne, soit environ 35 % de ceux détectés. Le pays domine ainsi le classement solaire, tandis que l'Allemagne et l'Italie mènent côté éolien. Soufian El Yadmani, fondateur de Modat, y voit l'effet de la taille du parc renouvelable espagnol. La dispersion des fournisseurs, le renouvellement des équipes techniques et la croissance rapide de la puissance installée sont aussi avancés.

Selon lui, certains panneaux de contrôle n'avaient aucune authentification ni protection. Une simple connexion Internet permettrait d'arrêter, de relancer ou de redémarrer une éolienne. Les chercheurs ont aussi atteint des automates industriels qui commandent les machines, et consulté l'interface web d'une éolienne pour voir sa production en temps réel et sa position.

Exposé ne veut pas dire attaqué

L'étude précise qu'une exposition ne signifie pas qu'un système a été attaqué ou piraté, et que les chiffres recensent des interfaces, non des sites distincts. Une attaque réussie pourrait toutefois toucher un pays entier. Modat et le NCSC-NL recommandent de retirer ces interfaces d'administration du réseau public, de contrôler les accès des prestataires externes et de conserver une commande manuelle des systèmes industriels en cas d'incident.

Le chiffre réel est sans doute plus élevé : seuls les systèmes rattachés avec certitude à une installation ont été comptés, et de nombreux autres n'ont pu l'être faute d'informations.