Un rapport d’experts européens alerte sur la cybersécurité des panneaux solaires connectés. Selon eux, des pirates capables de prendre le contrôle d’un grand nombre d’onduleurs pourraient déstabiliser le réseau électrique, un scénario qui résonne forcément, après l’attaque des frigos Danfoss.
Les panneaux solaires connectés ont un vrai point faible, et un rapport européen publié fin septembre vient de le mettre en pleine lumière. Vous l'aurez déjà compris, il s'agit de leur cybersécurité. Les auteurs du rapport décrivent comment quelques failles bien exploitées permettraient de piloter un grand nombre d'onduleurs d'un seul geste. Et forcément, l'actualité française, avec ces frigos de supermarchés changés en étuves par des pirates il y a tout juste une semaine, donne à leur mise en garde un drôle de goût de déjà-vu.
Après les frigos des supermarchés, les experts européens s’inquiètent pour les onduleurs des panneaux solaires
Plus le photovoltaïque gagne les toits, les parkings et les champs de France et d'Europe, plus sa sécurité informatique devient l'affaire de tout le réseau électrique, et plus seulement celle de chaque propriétaire. D'ailleurs, les choses se joue dans l'onduleur, un boîtier discret qui convertit le courant continu des panneaux en courant alternatif, celui de nos prises. De plus en plus souvent, il est relié à internet, on suit sa production sur son smartphone, on modifie les réglages, le fabricant glisse ses mises à jour. Le rapport du Smart Energy Expert Group (SEEG) passe en revue toute la gamme, du kit de moins de 800 W qui se branche sur une simple prise jusqu'aux centrales de plus d'un mégawatt. Pratique, tant que personne d'autre ne s'invite dans la conversation.
Signé par onze experts issus notamment de SolarPower Europe, d'ENTSO-E (qui fédère les gestionnaires européens de réseaux de transport d'électricité) ou de l'agence fédérale allemande de cybersécurité, le texte n'engage pas officiellement Bruxelles. Mais il rappelle que la capacité solaire de l'Union est passée de 86 GW en 2015 à 406 GW en 2025, et qu'elle pourrait atteindre 718 GW en 2030. En allumant ou en coupant d'un coup une partie de ce parc, un cybercriminel déséquilibrerait la production et la consommation, saturerait certaines lignes, perturberait la tension et, au pire, provoquerait des coupures étendues.
Les experts ont passé en revue les façons dont un pirate pourrait s'y prendre, et en retiennent trois jugées à haut risque. La première vise les plateformes en ligne des fabricants, ces services cloud par lesquels transitent le suivi de la production, les réglages et les mises à jour, surtout chez les particuliers et les entreprises. Une seule faille à cet endroit, et c'est un grand nombre d'onduleurs qui obéiraient d'un coup à l'attaquant. La deuxième est plus insidieuse, puisqu'elle vise un constructeur, contraint par un État, qui dissimulerait une porte dérobée, autrement dit un accès secret, dans sa plateforme, le logiciel de ses onduleurs ou leurs composants. La troisième concerne les grandes centrales, où l'intrus contournerait le pare-feu qui protège les connexions à distance avant de circuler librement dans le réseau informatique du site. Pour mesurer le danger, les experts comparent la puissance qu'un hacker pourrait contrôler aux 3 000 MW que le réseau continental européen garde en réserve pour compenser une perte soudaine de production, un seuil au-delà duquel le choc deviendrait difficile à absorber.
L’attaque Danfoss, un avertissement grandeur nature pour le solaire
En France, l'alerte est lancée. Elle fait écho évidemment à la nuit du 11 au 12 octobre, durant laquelle des attaquants informatiques ont pris la main sur des contrôleurs de froid Danfoss et lancé un dégivrage sans fin, faisant grimper la température jusqu'à 50 °C dans les meubles réfrigérés d'Intermarché, de magasins U ou de Leclerc. La plupart des appareils touchés étaient d'anciens modèles que Danfoss ne met plus à jour, et Thierry Cotillard, à la tête des Mousquetaires, évoquait des pertes de plusieurs dizaines de millions d'euros. « Remplacez les contrôleurs détournés […] par des onduleurs solaires, et le schéma reste le même », observe Shane Barney, responsable de la sécurité des systèmes d'information chez Keeper Security.
Pour verrouiller les grandes centrales, le rapport veut que chaque échange de l'onduleur soit documenté, chiffré et authentifié, que ses connexions sortantes ne visent que des serveurs approuvés situés dans l'UE ou dans un pays aux garanties équivalentes, et que personne ne puisse frapper à sa porte depuis l'extérieur du réseau local. Dans les installations des entreprises comme dans les centrales, les mises à jour automatiques du fabricant céderaient la place à des mises à jour manuelles, réalisées par des prestataires qualifiés. Concernant la réglementation, les experts relèvent que le cadre européen actuel, le Cyber Resilience Act, permet aux fabricants d'attester eux-mêmes de la conformité de leurs onduleurs, sans test ni audit indépendant. Ils réclament une norme dédiée et un contrôle par un organisme tiers. Ils proposent aussi d'imposer des délais pour corriger les failles, de mieux former les installateurs et de restreindre le recours aux fournisseurs « à haut risque », sans en désigner aucun, tout en soulignant la forte dépendance de l'Europe au matériel chinois.
La réglementation avance au pas, et aucune norme future ne sécurisera par magie les onduleurs déjà installés. Danfoss conseille d'ailleurs désormais à ses clients de supprimer toute exposition directe de leurs équipements à Internet. « Les mesures correctives s'avèrent presque toujours plus coûteuses que les mesures proactives », rappelle Shane Barney, dont l'entreprise commercialise justement des solutions de gestion des accès. Sa feuille de route est simple. Il faudrait recenser chaque équipement connecté et vérifier qu'il est encore suivi par son fabricant, bloquer les accès entrants, faire passer les prestataires par une plateforme de gestion des accès privilégiés, puis renouveler chaque identifiant en lui attribuant un responsable. « La réglementation fixe un socle minimal », tranche-t-il. Le niveau réel de protection, lui, est sans aucun doute lié à la gestion des identités et des accès.
