Cyberbezpieczeństwo prosumentów. Jak chronić fotowoltaikę i magazyn przed atakami?
Rozwój przydomowych instalacji OZE to nie tylko wygoda, ale i nowe zagrożenia. Cyberprzestępcy mogą uzyskać dostęp do fotowoltaiki czy magazynu energii. Jak rozpoznać, że jest się ofiarą ataku? Jak się bronić? Kilka wskazówek przygotowała nasza redakcja.
Czy haker może włamać się do instalacji fotowoltaicznej. Tak. Moduły, magazyn energii czy pompa ciepła działają w systemie, łącząc się z Internetem. Nowoczesne falowniki łączą się z chmurą producenta i aplikacją, wiele z nich posiada opcje zdalnego serwisu. Czyni to przydomową energetykę celem. Dr Robert Kośla, przewodniczący rady Fundacji Bezpieczna Cyberprzestrzeń, w odpowiedzi na pytania redakcji Gramwzielone.pl wyjaśnia, jakie zagrożenia czyhają na prosumenta i jak reagować.
Atak przez chmurę i falownik
– Zdalne wyłączenie fotowoltaiki czy magazynu energii jest technicznie możliwe. Falownik jest mózgiem instalacji – kto przejmie nad nim kontrolę, ten steruje przepływem energii w całym domu – wyjaśnia ekspert.
Atakujący może przejąć kontrolę nad naszymi urządzeniami na kilka sposobów: przez chmurę producenta, aplikację, podatność falownika lub źle zabezpieczony router. W takiej sytuacji jest w stanie zatrzymać produkcję energii, rozładować lub wyłączyć magazyn czy też zmienić parametry pracy (napięcie, częstotliwość lub limity mocy).
Analogicznie na ataki narażona jest pompa ciepła, o ile działa w ramach tej samej platformy lub korzysta ze wspólnej aplikacji. Robert Kośla zaznacza, że skutki takiego ataku nie będą spektakularne, ale uciążliwe. Haker może wychłodzić dom zimą czy, zmieniając parametry, podwyższyć rachunki. Sprzęt zaś jest zużywany.
Realność takich zagrożeń pokazało badanie SUN:DOWN z 27 marca 2025 r. przeprowadzone przez Forescout Vedere Labs. W jego ramach przeprowadzono analizę falowników sześciu producentów: Huawei, Sungrow, Ginlong Solis, Growatt, GoodWe i SMA. Wykryto kilkadziesiąt podatności, część krytycznych, umożliwiających przejęcie urządzenia i destabilizację sieci.
Pożar magazynu. Realne zagrożenie czy legenda?
Jedną z obaw związanych z przydomową energetyką jest ryzyko pożaru. Skoro haker jest w stanie włamać się np. poprzez falownik, to czy jest w stanie wywołać pożar?
– Wywołanie pożaru samym cyberatakiem jest przy sprzęcie certyfikowanym mało prawdopodobne, bo chronią nas niezależne zabezpieczenia sprzętowe. Ale „mało prawdopodobne” to nie „niemożliwe” – i właśnie dlatego nie wolno kupować magazynów energii nieznanego pochodzenia – przestrzega Robert Kośla.
Certyfikowane magazyny są chronione przez układ zarządzania baterią (BMS) oraz bezpieczniki i zabezpieczenia (które chronią przed przeładowaniem, przegrzaniem i ucieczką termiczną, ang. thermal runaway). Wspomniane zabezpieczenia działają niezależnie od oprogramowania, więc wyłączenie ich zdalnie jest mało prawdopodobne.
Ekspert podkreśla jednak, że ryzyko to rośnie przy zakupie sprzętu niecertyfikowanego. W takim przypadku rośnie ryzyko, że atakujący będzie potrafił obejść lub wyłączyć zabezpieczenia np. poprzez manipulowanie parametrami ładowania. Aby urządzenia były bezpieczne, ważne też jest aktualizowanie ich na bieżąco.
Chińskie znaczy niebezpieczne?
Wiele się mówi o zagrożeniach wynikających ze stosowania chińskiej technologii. Firmy z Państwa Środka mają mocną pozycję na globalnym rynku, a cały problem jest bardziej złożony niż konieczność unikania produktów z jednego kraju.
– Problem chińskich komponentów to nie kwestia gorszej jakości, lecz ryzyka strategicznego. Podatności znajdowano u producentów z różnych krajów – ale koncentracja produkcji w jednym państwie i jego przepisy realnie podnoszą ryzyko – wyjaśnia Kośla.
Podwyższone ryzyko, jakie stwarza korzystanie z chińskiego sprzętu, wynika z trzech elementów: krajowych przepisów zobowiązujących firmy do współpracy ze służbami, ukrytych w niektórych urządzeniach nieudokumentowanych modułów komunikacyjnych (które pozwalają na ominięcie firewalla) i zależności od chmury producenta, która zlokalizowana jest poza Unią Europejską. Wspomniane urządzenia komunikacyjne wykryto w maju 2025 roku. Znajdowały się w falownikach, magazynach energii i pompach ciepła.
Należy jednak zaznaczyć, że podatności na cyberataki wykryto u producentów z różnych krajów. Stąd problem jest systemowy, nie ogranicza się do jednego kraju.
–-Niezależnie od kraju pochodzenia – bezwzględnie unikajmy urządzeń bez certyfikacji i bez gwarancji aktualizacji bezpieczeństwa – zaznacza Kośla.
Ekspert rekomenduje wykorzystywanie sprzętu produkowanego w krajach UE/EOG. Przy zakupie warto wymagać informacji o tym, gdzie są przechowywane dane, kto może mieć dostęp do urządzeń, i zapoznać się z wykazem komponentów. Należy bezwzględnie unikać urządzeń bez certyfikacji i aktualnego wsparcia technicznego.
Hakerzy atakują mój magazyn energii?
Skąd jednak wiedzieć, że jesteśmy ofiarami cyberprzestępców? Robert Kośla radzi zwrócić uwagę na kilka sygnałów ostrzegawczych:
- Nieznane logowania – powiadomienia o próbie uzyskania dostępu z nieznanego urządzenia lub lokalizacji;
- Samoistne zmiany ustawień – zmienione parametry pracy, harmonogramu ładowania czy limitów, których nie wprowadzaliśmy;
- Nietypowe zachowania instalacji – których przykładem może być rozładowywanie się magazynu energii „bez powodu” czy niespodziewane wyłączenia fotowoltaiki;
- Nadmierne uprawnienia aplikacji – gdy aplikacja chce za dużo uprawnień i wysyła prośbę o dostęp do kontaktów, SMS-ów, lokalizacji czy innych danych, których nie potrzebuje do obsługi instalacji;
- Aplikacja z nieoficjalnej dystrybucji – oprogramowanie instalowane z linku powinno budzić ostrożność. Robert Kośla wyraźnie podkreśla, by korzystać wyłącznie z Google Play lub App Store;
- Brak aktualizacji i wsparcia – gdy aplikacja jest długo nieaktualizowana lub całkowicie porzucona przez producenta, to zagrożenie rośnie;
- Phishing – wiadomości podszywające się pod producenta i proszące o podanie hasła lub logowanie się przez link. Producent nigdy nie prosi o hasło.
Cyberhigiena
Przestępcy często nie korzystają z wyrafinowanych luk czy skomplikowanego oprogramowania. Wykorzystują rutynę i zaniedbania ofiary, brak aktualizacji, proste hasła i pomijanie zasad cyberhigieny. Aby utrudnić nielegalne działanie, warto przestrzegać poniższych zasad:
- Zmień domyślne hasła – po instalacji oprogramowania należy zmienić domyślne hasła. Nowe powinny być długie i unikalne, warto stosować menedżer haseł. Imię ukochanego zwierzaka może być łatwe do zapamiętania, ale nie zapewni bezpieczeństwa;
- Uwierzytelnianie dwuskładnikowe (2FA/MFA) – podwójna weryfikacja nie tylko utrudnia włamanie, ale i może nas ostrzec;
- Aktualizuj oprogramowanie – aktualizacje łatają znane podatności – to najtańsza i najskuteczniejsza ochrona. Warto sprawdzić, na ile lat dostawca zapewnia wsparcie techniczne i aktualizacje;
- Oddzielna sieć dla OZE – warto utworzyć dla przydomowej energetyki osobną sieć Wi-Fi lub VLAN oraz odseparować ją od komputerów i telefonów;
- Dostęp zdalny tylko przez chmurę producenta – dostęp do falownika umożliwia chmura producenta. Nie powinno się stosować przekierowania portów (ang. port forwarding);
- Zabezpiecz router – to brama do naszych urządzeń. Ważne, by miał aktualny firmware, szyfrowanie WPA2/WPA3, zmienione hasło administratora, wyłączone UPnP i zdalne zarządzanie;
- Ogranicz dostęp serwisowy – warto zapytać instalatora, kto i w jaki sposób może uzyskać zdalny dostęp do instalacji oraz wyłączyć ten, który nie jest niezbędny;
- Sprawdzaj historię – instalacje trzeba monitorować. Sprawdzać historię logowania i nietypowe zachowania jak zmiany ustawień czy nagłe rozładowania;
- Kupuj świadomie – sprzęt powinien być certyfikowany i pochodzić od renomowanego dostawcy.
Do kogo zgłosić atak?
Jeżeli powyższe rady nie wystarczyły, warto wiedzieć, do kogo zgłosić zdarzenie. Właściwym kontaktem jest CERT Polska (CSIRT NASK), krajowy zespół reagowania na incydenty. Zgłoszenia może dokonać zarówno przedsiębiorca, jak i osoba fizyczna. W tym celu wystarczy wypełnić formularz na stronie CERT lub wysłać maila. Podejrzane SMS-y można przekazać na numer 8080.
Skoro atak dotyczy przydomowej energetyki, kluczowe jest poinformowanie producenta sprzętu i instalatora. Robert Kośla zaleca, by poprosić o reset poświadczeń, zweryfikować aktywne dostępy zdalne i upewnić się, że posiada się obecną wersję oprogramowania. Jeżeli problem dotyczy współpracy z siecią elektroenergetyczną, warto poinformować Operatora Systemu Dystrybucyjnego.
Podejrzenie popełnienia przestępstwa należy zgłosić Policji, zwłaszcza gdy doszło do kradzieży danych czy strat finansowych (np. przez uszkodzenie instalacji lub wyłudzenia).
Nie trzeba być inżynierem
– Cyberbezpieczeństwo prosumenta nie wymaga wiedzy inżynierskiej – wymaga konsekwencji. Energetyka rozproszona jest przyszłością; zadbajmy, żeby była również cyberbezpieczna – przestrzega Robert Kośla.
Cyberprzestępcy wykorzystują rutynę i lenistwo: pozostawienie domyślnych haseł, odkładanie aktualizacji „na później” czy poleganie na prostych hasłach. Bazują też na emocjach, wysyłają wiadomości, które mają skłonić użytkownika do wejścia w szkodliwy link bez refleksji.
Niezabezpieczone falowniki to problem globalny, nie jednostkowy. Dlatego Unia Europejska pracuje nad regulacjami, których celem jest ograniczenie ryzyka ataków wymierzonych w infrastrukturę krytyczną. Jedną z propozycji jest zablokowanie unijnego finansowania dla inwestycji, które korzystają z chińskich falowników.
Zagrożenia dla cyberbezpieczeństwa stwarzają nie tylko falowniki. Problem szpiegowania przez czujniki turbin wiatrowych w projektach offshore wind był tematem interpelacji posła Kacpra Płażyńskiego. W odpowiedzi resort klimatu przyznał, że nie rekomenduje blokady dla chińskich części.
*Robert Kośla jest przewodniczącym rady Fundacji Bezpieczna Cyberprzestrzeń, organizacji pozarządowej, której główną misją jest wzmacnianie świadomości w obszarze zagrożeń pochodzących z cyberprzestrzeni.
Marcin Karwowski, redaktor Gramwzielone.pl
marcin.karwowski@gramwzielone.pl
© Materiał chroniony prawem autorskim. Wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu tylko za zgodą wydawcy E-Magazyny Sp. z o.o.
90% użytkowników PV nie wie czy ich falownik działa, dopóki nie dostaną rozliczenia i zaczną się interesować dlaczego mają wyższe rachunki. Oczekiwanie że nagle zainteresują się cyberbezpieczeństwem jest dosyć śmieszne 😛
Do MlaskaczWaflami: kwestia bezpieczeństwa informatycznego osprzętu do PV nie determinuje tego, że jak słusznie zauważyłeś zachowania 80% Prosumentów są infantylne i poraża lekceważenie własnych interesów. Wśród braku umiejętności na jednym z pierwszych miejsc można postawić brak wiedzy informatycznej zwłaszcza o sieci informatycznej, internecie, konfiguracjach poszczególnych elementów Sieci (internetowej). Czy w takiej sytuacji (braku umiejętności oceny w sferze informatyki) a w kontekście zakusów Ministra Motyki (wraz z Monopolem) do poumieszczania nam na siłę w prywatnych przestrzeniach sprzętu ,,do zarządzania instalacją PV” ręką Spółek- nie stanowi przyszłego ,dzisiaj nie istniejącego jeszcze obszaru dla niebezpiecznych działań cycerprzestępców?
To bardzo proste . Bezpieczeństwo prosumenta poprawi się jak zostanie unieważniona certyfikacja NCRfG z 2016 roku dla inwerterów i zbędne wymogi organizacji PTPIRE.
To tu jest ogromny problem z narzucaną bzdurną certyfikacją NCRFG i wymogiem wyłączania instalacji , inwerterów przez osoby trzecie.
Ale ekspert ten Pan Kośla. Brednie Pan mówi. Potwierdzam wpis Pana Marcina. To właśnie certyfikacja NCFGR i PTPIRE wymaga wyłączania inwerterów. Inwertery muszą być certyfikowane przez różne instytuty wydające certyfikaty NCRFG i warunki konieczne otrzymania certyfikatu dla producentów na inwertery jest właśnie wymóg wyłączenia inwertera przez osoby trzecie . Instytuty wydające certyfikat NCRFG też badają według wymogów PTPIRE czy inwerter np. po przekroczeniu napięcia z sieci 253V wyłącza się na 60 minut . Przez ten czas ma nie reagować. Dopiero po 60 minutach ma ponownie analizować czy napięcie spadło poniżej 253V. Jeżeli nie spadło poniżej 253V to dalej ma czekać 60minut (pełną godzinę). I jak widać, mamy takich ekspertów i urzędników którzy sami tworzą bardzo niebezpieczne warunki pracy inwerterów.
To takie proste, inwerter ma certyfikat NCRFG to znaczy jest niebezpieczny i narażony na cyberataki !!
Jak chronic? Nie montowac urzadzenia szpiegujacego i sterujacego twoja fotowoltaika, ktore chca wcisnac ludziom sila i niezgodnie z konstytucja. Ja nie mam zadnej aplikacji i internetu podlaczonego do falownika i miec nie zamierzam.
Jedyna bezpieczna komunikacja inwertera (nieważne czy produkowanego w Chinach) jest przez Modbus LOKALNIE, do urządzenia, którego producent daje gwarancję:
– logowania tylko przez użytkownika lokalnie – brak lub widoczna do włączenia zdalna kontrola
– nie ma żadnych automatycznych upgradów (to jedno z częstszych przechwyceń),
– sterowanie inwerterem/ magazynem jest lokalnie
– serwer (najlepiej oczywiście w EU) jest tylko do wyświetlania danych i pracy inwertera
Daje to prawie 100% cyberbezpieczństwa, oczywiście jeśli ktoś nie włamie się do domu i nie przechwyci pracy tego lokalnego EMSa. Ale nie da się tego zrobić hurtowo, tak jak w przypadku falowników podłączonych do chińskiej chmury. Nie wiemy niestety co poza ustawieniami, które widzi użytkownik może zmienić producent. Nawet jeśli zabezpiecza swój serwer i nie jest podatny na ryzyko polityczne, nigdy nie wiadomo, czy zaawansowana grupa nie przejmie kontroli nad wszystkimi kontami. A to może się okazać w najmniej właściwym momencie i mieć fatalny skutek.
Takie urządzenia (nawet nie specjalizowane EMSy), które działają j.w. są na rynku, niedrogie i nawet produkowane w Polsce. Muszą mieć tylko komunikację Modbus i falownik też musi mieć otwartą taką komunikację. Jeśli nie ma lub ma zamknięty protokół, to już pierwszy sygnał, że producent nie chcę tracić kontroli nad swoim produktem (bo da się nim zarządzać tylko przez chmurę).
Koledzy Tomasz i Notek. Piszecie mrzonki. Przy rejestracji instalacji u prosumenta operator sprawdza certyfikat NCRFG inwertera i połączenia z operatorem. Tak więc możecie sobie kombinować do woli i tak PTPIRE nakazuje podłączenie do operatora. A czy to przez RS485 ,modbusy i inne protokoły i media. Bo inaczej instalacja nie zostanie przyjeta od operatora.
Kolego Tomasz. Tak , certyfikacja NCRFG inwerterów jest wbrew konstytucji i prawom obywatela.
Ale mamy bierne społeczeństwo woli płakać, lamentować biadolić niż działać i dbać o swoje prawa.
@notek: a jeszcze bardziej, niż naj- jest to bezpieczne gdy funkcjonalnie dotyczy Off-grid. Wówczas brak powodów i pokus by hakować…..🍻
Adasiu. Mrzonki to masz w glowce. Chyba wiem, co i jak mam podlaczone, bo sam montowalem i zglaszalem swoja mikroinstalacje. Jestem prosumentem, nie mam internetu ani zadnej komunikcji w falowniku i miec nie bede,, nie robilem tez nigdy zadnych aktualizacji Pogodz sie z tym.
Kolego Tomasz. A jak zgłaszałeś instalacje do operatora to chcieli od ciebie certyfikat NRCFG inwertera ?
Nie dawałeś i ci przyjęli ?
Czyli znowu wydatki. A nie można prościej? Musisz mieć pompę ciepła, magazyn czy falownik pod wifi? A po co? Dla wygody, żeby fotkę w media wrzucić? Urządzenia współpracują na przemysłowym RS-485, niektóre na CAN z motoryzacji. Do tego bezprzewodowo się nie włamiesz. Więc po co wifi? Ano właśnie po nic. I tyle w temacie, im mniej wifi w domu tym lepiej. Media muszą mieć ( TV, muzyka). Inteligentny dom, alarm? Tylko dedykowana komunikacja radiowa! Żadne wifi. Wifi to jak otwarta furtka do domu. Alarmy, zamki, kamery po wifi? Nie mówcie, że tak macie 🙁 .
Operator, co do zasady, nie powinien mieć żadnych, jakichkolwiek możliwości poza tymi i takimi jakie miał przez poprzednie 27 lat czyli – dostawa energii do PPE.Za energię pobraną – sprzedawca i Operator powinni na podstawie Umowy i odczytu licznika- dostać kasę.Nic mniej i nic więcej. Z kolei o ile przyjmiemy, że Operator ma możliwość zakupu energii taniej niż z elektrowni konwencjonalnej (czy jądrowej np.z Czech) to on (Operator) i nikt inny powinien się o to starać, by pozyskać część tego co dostarcza- taniej. To wszystko o czym w kółko i w kółko trwają tutaj najgorętsze dyskusje- to patologia. Po części wynikająca z natury Monopolu (dystrybucji), po części z zachowań Waszych- Prosumentów. To wy bowiem (aby zarobić marne kilkaset złociszy rocznie) włazicie w tyłek Spólkom dystrybucji. Robicie to tak, jakby wszystko w Waszym marnym jestestwie od wciśnięcia do OSD Waszych nadwyżek z PV zależało? Jak kto się drugiemu narzuca, to go traktują jak powsinogę……Ostatnimi czasy Operator wskutek wymiany liczników na elektroniczne że stycznikiem na pokładzie- zyskał możliwość ABSOLUTNIE radykalnego reagowania na potencjalnie bliskie blackoutowi sytuacje zagrożenia stabilności systemu elektroenergetycznego poprzez (w razie potrzeby) odcięcie zapotrzebowania u mniejszych czy większych grup odbiorców. Rzecz w tym, że OSD nie wybudowały fizycznie i infrastruktury informatycznej niezbędnej do reagowania w celu ochrony upadającej stabilności przed blackoutem. W zaistniałej rzeczywistości – usiłują obowiązek stworzenia tych niezbędnych (dla nich) narzędzi, przerzucić na cudzy portfel – bo tak się składa, że powstało 2 mln Prosumentów.Stąd pomysły o ,,niezbędnym” dla ,, bezpieczeństwa” sterowaniu instalacjami PV ,na dodatek urządzeniem wysadzonym do prywatnego obszaru i na koszt cudzy.
Pierwszy haker i szkodnik systemu PV, to zakład energetyczny z ujemnymi cenami skupu energii elektrycznej od prosumentów. Co do IT, to dobry firewall, vlan’y i MFA, a zdalny dostęp po VPN z serwerem u siebie. No i zero chmury. Producent falownika nie ma tu kompletnie żadnego znaczenia – jak parametry energetyczne PV pasują, to nie ma co sugerować się siecią teleinformatyczną. Tylko trzeba wiedzieć co i jak ustawić, albo mieć kogoś w otoczeniu, kto jest w stanie to wszystko ustawić zgodnie ze sztuką. Wtedy przy okazji będziemy mieć dobrze zabezpieczoną sieć domową, bo obecnie prawie każdy internet stacjonarny w domu ma, a i na 4G/5G też można taką łączność z powodzeniem ogarnąć.
Najprościej nie logować routera do żadnych chmur! Należy zadać sobie pytanie co zyskujemy? Kolorowe wykresy produkcji? Żadne zabezpieczenia routera nie pomogą jak logger sam otworzy połączenie przez firewall…. Tylko rezygnacja z chmury zapewnia bezpieczeństwo.
Podłączenie falownika do sieci Int. to jak zostawiać klucz do mieszkania pod wycieraczką.