Kto ma klucze do farmy fotowoltaicznej? Cyberbezpieczeństwo farm PV

Do typowej farmy fotowoltaicznej zdalnie loguje się około siedmiu firm, a w każdej z nich po kilka osób. Konta przybywają przy budowie, rozruchu, zmianie operatora i sprzedaży aktywa, a zamyka się je bardzo rzadko. Niewielu właścicieli ma listę osób, które mogą zmienić nastawy ich elektrowni albo ją wyłączyć. Publicznie opisane incydenty z rynków zagranicznych pokazują, że farmy traciły nadzór głównie przez firmy, którym ktoś wcześniej przekazał dostęp.

Drzwi do farmy są dziś w sieci

Przez lata bezpieczeństwo farm sprowadzało się do ogrodzenia, kamer i ochrony przed kradzieżą kabla. Te zabezpieczenia nadal są potrzebne. Coraz więcej wejść do elektrowni prowadzi jednak przez internet: przez system SCADA, portale producentów falowników, rejestratory kamer i zdalne połączenia serwisowe. Większość z nich powstała z dobrych powodów, bo farma pracuje bez obsługi na miejscu i musi być nadzorowana zdalnie. Problem zaczyna się wtedy, gdy nikt nie wie, ile tych wejść jest i kto ma do nich klucze.

Kto może zalogować się do farmy

Lista podmiotów z dostępem zdalnym na typowej farmie wygląda podobnie:

• Operator O&M. Do farmy logują się dyspozytorzy i inżynierowie, często kilka lub kilkanaście osób.
• Producent falowników. Część producentów utrzymuje portale w chmurze, z którymi falowniki łączą się automatycznie, żeby przesyłać dane i pobierać aktualizacje. Zależy to od producenta, modelu i konfiguracji instalacji.
• Instalator lub wykonawca EPC. Zakłada konto w systemie producenta przy uruchomieniu. W części systemów konto instalatora daje wgląd we wszystkie instalacje, które dana firma kiedykolwiek uruchomiła.
• Integrator systemu SCADA. Zostawia sobie zdalny dostęp serwisowy, zwykle przez VPN, często na stałe.
• Firma od monitoringu wizyjnego i agencja ochrony. Łączą się zdalnie z rejestratorem kamer.
• Telemechanik. Często jest to podwykonawca wykonawcy EPC, który konfiguruje urządzenia, przez które operator sieci widzi stację i nią steruje.
• Operator systemu dystrybucyjnego. Zakres dostępu zależy od warunków przyłączenia.

Przy magazynie energii dochodzą producent magazynu, dostawca systemu EMS zarządzającego ładowaniem i rozładowaniem oraz trader lub agregator, który steruje magazynem w czasie rzeczywistym. W sumie wychodzi zwykle około siedmiu firm, a bywa więcej. Oznacza to kilkadziesiąt osób z dostępem do systemów sterujących jedną elektrownią.

Farma musi być obsługiwana zdalnie, bo inaczej jej utrzymanie kosztowałoby wielokrotnie więcej, więc kilka dostępów zawsze będzie potrzebnych. Ważne, żeby każdy z nich miał konkretnego właściciela, cel i datę, do której jest potrzebny. To ten sam porządek, który obowiązuje przy kluczach do biura.

Wspólne konta i hasła w protokole

W praktyce rynkowej powtarzają się te same wzorce. Firma loguje się na jedno wspólne konto, a hasło zna pięć osób, w tym dwie, które już w niej nie pracują. Hasła trafiają do protokołu przekazania w arkuszu Excel i są rozsyłane mailem do kilkunastu adresatów, razem z podwykonawcami. Routery i rejestratory pracują na hasłach fabrycznych, bo nikt ich nie zmienił przy uruchomieniu. Dostępy tymczasowe z rozruchu działają jeszcze kilka lat po jego zakończeniu.

Źródłem tych wzorców są warunki rozruchu. Odbywa się on pod presją terminu przyłączenia i odbioru przez bank, a na obiekcie pracuje równolegle kilka ekip, które muszą szybko dostać się do swoich urządzeń. Hasła schodzą wtedy na dalszy plan, a po uruchomieniu nikt już do nich nie wraca.

W bankowości do przelewu na sto złotych potrzebny jest kod z telefonu, czyli uwierzytelnianie dwuskładnikowe (MFA). Do systemu, który może wyłączyć farmę wartą kilkadziesiąt milionów złotych, często wystarcza samo hasło. Warto zapytać operatora, na ilu dostępach do farmy MFA jest włączone, i sprawdzić, jak szybko przyjdzie odpowiedź.

Konta narastają jak słoje w drzewie

Na każdym etapie życia farmy dostępy się dodaje, a prawie nigdy się ich nie odbiera. Budowa przynosi konta wykonawcy i podwykonawców. Rozruch dodaje instalatora, integratora, telemechanika i producenta. Przy odbiorze nikt niczego nie zamyka, bo trwa gwarancja. W eksploatacji pojawiają się operator i ochrona. Zmiana operatora oznacza nowe konta, przy czym stare zostają. Po sprzedaży farmy konta poprzedniego właściciela i jego doradców nadal działają.

Po kilku latach eksploatacji farma ma przeważnie znacznie więcej aktywnych dostępów niż w dniu uruchomienia, a właściciel zna coraz mniejszą ich część. Każdy uczestnik widzi tylko swój fragment: operator swoje konta, producent swoje falowniki, integrator system SCADA. Dopóki umowa nie przypisze nikomu prowadzenia pełnej listy, ta lista nie powstanie.

Zmiana operatora i sprzedaż farmy

Najbardziej newralgicznym momentem jest zmiana operatora O&M. Poprzednik przekazuje dokumentację i podpisuje protokół, a jego dostępy do systemu SCADA, portalu falowników i kamer często dalej działają. Żadna umowa nie wskazywała, kto ma je zamknąć. Dotychczasowy operator uznaje temat za zamknięty, nowy nie wie o istnieniu tych kont, a właściciel nie wie, że powinien o nie zapytać.

Przy jednym z przejęć farm do obsługi przez ASO Energy PRO okazało się, że dwie farmy pracujące na falownikach z platformą chmurową producenta wcale nie były zarejestrowane na koncie inwestora. Inwestor miał je jedynie udostępnione z konta wykonawcy EPC, choć obiekty pracowały od ponad roku. Przy rozruchu ktoś w dobrej wierze udostępnił farmy inwestorowi, dane płynęły i tak zostało. Po przeniesieniu obiektów na właściwe konta dostęp wykonawcy wygasł. Przez ponad rok najszersze uprawnienia w systemie zarządzania tymi farmami miała jednak firma, która nie miała już z nimi żadnej umowy.

Ten sam problem pojawia się przy transakcjach. Due diligence techniczne, prawne i finansowe obejmuje setki stron, a pytanie o to, kto ze strony sprzedającego nadal ma dostęp do systemu SCADA, falowników i kamer oraz na czyim koncie zarejestrowano urządzenia, rzadko trafia na listę kontrolną. Kupujący przejmuje razem z farmą wszystkie klucze rozdane przez lata, bez listy ich posiadaczy.

Lekcje z rynków zagranicznych

W Europie Zachodniej, USA i Japonii branża OZE rozwinęła się wcześniej i na większą skalę, dlatego tam incydenty wydarzyły się najpierw. Publicznie opisane przypadki pokazują różne drogi, którymi problem dociera do farmy:

• Dostawca łączności. Rano 24 lutego 2022 r. atak na europejską sieć internetu satelitarnego uderzył także w klientów, którzy nie byli jego celem. Duży niemiecki producent turbin wiatrowych stracił zdalny nadzór nad ok. 5 800 turbinami. Przywracanie łączności trwało tygodnie, bo modemy trzeba było wymieniać na miejscu.
• Wiosną 2022 r. duża niemiecka firma serwisowa padła ofiarą cyberataku, według doniesień ransomware. Żeby go powstrzymać, odcięła zdalne połączenia z ok. 2 000 turbin. Właściciele tych obiektów sami nie popełnili żadnego błędu.
• Urządzenie monitorujące. W 2024 r. w Japonii przestępcy przejęli ok. 800 urządzeń do monitoringu instalacji PV, które miały znaną od dawna, niezałataną lukę. Według doniesień japońskich mediów urządzenia służyły jako pośrednicy przy kradzieżach z kont bankowych.
• Aplikacja producenta. W 2025 r. badacze opisali kilkadziesiąt podatności w systemach trzech producentów falowników, część z nich w portalach i aplikacjach w chmurze. W najgorszym scenariuszu pozwalały one przejąć cudze konta i wydawać polecenia instalacjom. Producenci wydali poprawki.
• Sam producent. Pod koniec 2024 r. pojawiły się doniesienia, że część falowników sprowadzonych do USA poza oficjalnym kanałem sprzedaży przestała działać po sygnale z systemu producenta. Producent zaprzeczył, że wyłączał je zdalnie, i wskazał na automatyczną blokadę urządzeń bez wymaganej certyfikacji. Dla właścicieli skutek był ten sam: falowniki stanęły.

Regulatorzy zaczynają reagować. Litwa pod koniec 2024 r. ograniczyła podmiotom z niektórych państw zdalny dostęp do instalacji OZE o mocy powyżej 100 kW.

Dostawca łączności, serwisant, urządzenie monitorujące, aplikacja i sam producent: w każdym z tych przypadków problem przyszedł przez element, który właściciel sam dopuścił do farmy.

Sygnały, przy których warto zapytać, czy ktoś coś zmienił

Zwykle pierwszym objawem jest nietypowe zachowanie elektrowni, które trafia do zgłoszeń jako zwykła usterka. Warto zwrócić uwagę na cztery sytuacje:

• Performance Ratio spada, choć moduły są czyste, a falowniki pracują bez błędów.
• Dane z systemu SCADA zaczynają rozjeżdżać się z licznikiem rozliczeniowym.
• Część obiektu znika z monitoringu przy dobrej pogodzie, choć fizycznie pracuje.
• Nastawy zmieniają się bez polecenia albo urządzenia restartują się w nocy i w weekendy, poza oknem serwisowym.

W większości przypadków przyczyna okaże się techniczna. Ktoś musi mieć jednak obowiązek sprawdzić także drugą możliwość. Do tego wystarczy infrastruktura, która na farmie już działa: liczniki, pyranometr, system SCADA i raport miesięczny.

Pięć pytań do operatora

Poniższe pytania można zadać operatorowi farmy bez żadnych inwestycji:

1. Proszę o listę wszystkich kont z dostępem zdalnym do farmy: firma, rola, cel i termin ważności. Czy każde konto należy do jednej osoby?
2. Kto i kiedy zamknął dostępy poprzedniego operatora oraz firm, które prowadziły rozruch?
3. Czy raport miesięczny pokazuje zmiany nastaw i zdalne logowania?
4. Co się dzieje, gdy to operator padnie ofiarą ataku? Kto powiadamia właściciela i w jakim czasie?
5. Czy kopia konfiguracji falowników i nastaw zabezpieczeń jest przechowywana poza obiektem?

Nazwiska nie są potrzebne. Firmy często nie przekazują danych pracowników, choćby ze względu na RODO, ale każda z nich powinna wiedzieć, kto stoi za jej kontem. Znaczenie ma także czas odpowiedzi. Operator z uporządkowanymi dostępami odpowie w kilka dni, a odpowiedź po miesiącu również wiele mówi o stanie rzeczy.

Źródło: opracowanie ASO Energy PRO

Rejestr dostępów przy każdym przejęciu

ASO Energy PRO rekomenduje, żeby przy każdym przejęciu obiektu, w ramach Audytu Zerowego, obok stanu falowników, stacji i dokumentacji spisywać także dostępy zdalne: kto, z jakiej firmy, na jakim koncie i w jakim celu loguje się do systemów farmy. Taki rejestr pozwala zdecydować, które konta zamknąć, a które przypisać do konkretnych osób. Warto go aktualizować przy każdej zmianie operatora, podwykonawcy lub właściciela. Konfiguracją sieci i testami bezpieczeństwa zajmują się wyspecjalizowane firmy z obszaru cyberbezpieczeństwa.

Raz w miesiącu warto zadać jedno pytanie: czy elektrownia zachowała się tak, jak jej polecono?

Kontakt: oferty@asoenergy.pro | 790 863 503, 720 720 721 | asoenergy.pro