Hacken van zonnepanelen kan leiden tot Europese stroomstoring

De stroomvoorziening in heel Europa – ook in Nederland - loopt gevaar door een beveiligingslek in zonnepanelen. De ict-beveiliging van omvormers, apparaten die nodig zijn om zonne-energie geschikt te maken voor het stroomnet, zijn nog steeds te hacken, blijkt uit onderzoek van beveiligingsbedrijf ITsec.

Ethisch hacker Willem Westerhof van ITsec ontdekte anderhalf jaar geleden een behoorlijk aantal kwetsbaarheden bij omvormers van het Duitse merk SMA. Zonder al te veel moeite lukte het hem om binnen te dringen en kon hij zonnepanelen op afstand bedienen. Als meerdere kwaadwillenden zoiets op grote schaal op hetzelfde moment zouden doen, kunnen zij het stroomnetwerk op tilt laten staan en zelfs volledig platleggen. Niet alleen in Duitsland, maar alle landen die op het Europees stroomnetwerk zijn aangesloten. Reden genoeg om alarm te slaan over dit beveiligingslek, vond Westerhof. 

Omvormers SMA nog steeds makkelijk te hacken

Westerhof waarschuwde de wereldwijde marktleider van omvormers SMA, maar actie bleef uit. Na acht maanden zocht hij daarom de publiciteit op. Pas nadat ook het Nationaal Cyber Security Center met SMA in gesprek ging en de media kritische vragen stelde, beloofde het bedrijf beterschap en bracht een statement uit op hun site. SMA kreeg nogmaals ruim de tijd om alsnog de beveiliging te verbeteren, maar wat Westerhof al vermoedde, blijkt waar: ruim anderhalf jaar na de eerste hack, zijn de omvormers van SMA nog steeds makkelijk te hacken. 

Een grote teleurstelling noemt Westerhof het. "Het lijkt wel gangbaar onder fabrikanten dat producten niet goed worden beveiligd. Is het onwetendheid, of laksheid? Gaat het om het kostenplaatje, of denken ze: ‘we accepteren de risico’s wel’? Ik vind dat overheid en burgers dit niet langer moeten pikken.’’ 

SMA: ‘Geen gevaar voor de stabiliteit van het net’ 

SMA laat in een reactie weten dat het ‘slechts om 25% van de omvormers gaat die kwetsbaar is voor deze hack’ en dat zij ‘direct na de eerste hack van Willem Westerhof maatregelen hebben getroffen om de betreffende omvormers veilig te maken.’ (ITsec zegt dat deze maatregelen in de praktijk nog niet aanwezig zijn). Ook zegt het bedrijf dat aanpassingen doorvoeren lang duurt, omdat deze allemaal op hetzelfde moment moet worden geïnstalleerd. 

Op de vraag hoe reëel SMA het scenario acht dat de stroomtoevoer in disbalans kan worden gebracht, zegt het bedrijf: "Particuliere zonnestystemen zijn over het algemeen minder kwetsbaar voor hacks dan elektriciteitscentrales. Wil je een aanval doen op het stroomnetwerk, dan moeten alle omvormers op hetzelfde moment aan- of uit worden gezet. Dit vergt veel kennis en voorbereiding. In het onwaarschijnlijke geval dat de omvormers van SMA worden gehackt en ingezet bij een aanval, verwachten wij geen gevaar voor de stabiliteit van het elektriciteitsnet; wereldwijd is slechts een klein deel van omvormers van SMA vatbaar voor deze aanval en deze bevinden zich in verschillende tijdzones.” 

Dat laatste hoeft voor ervaren, georganiseerde hackergroepen geen obstakel te zijn, meent Westerhof van ITsec. Bovendien koos hij juist voor de test met omvormers van het Duitse SMA, omdat de kwaliteit ervan hoog is. "Als ik deze omvormers al kan hacken, is de kans groot dat andere types en andere merken ook te hacken zijn.”

Miljoenen Europeanen zonder stroom 

Hoeveel omvormers er in Nederland en wereldwijd in omloop zijn, wil SMA niet zeggen. In Nederland kan een aanval op omvormers niet veel aanrichten, omdat zonnestroom hier nog niet veel wordt gebruikt. In Duitsland is dat anders: daar ligt het percentage zonnestroom op 35 - 50% op zonnige dagen. Een plotselinge piek of dip in die stroomtoevoer heeft gevolgen voor het hele Europese stroomnetwerk, waardoor ook Nederland alsnog ook geraakt worden. 

Dat ons Europees stroomnet kwetsbaar is, bleek in 2006. Door het afkoppelen van een hoogspanningskabel in Duitsland ontstond een tekort van 5 gigawatt. De stroomtoevoer klapte, waardoor van Duitsland tot Portugal miljoenen Europeanen zonder stroom zaten. Ook in Noord-Brabant viel de elektriciteit uit. 

‘Fabrikanten verwaarlozen de veiligheid’ 

Wolters Pieters, professor Cyberrisk aan de TU Delft, vindt dat de bevindingen van Westerhof zeer serieus moet worden genomen: "Alles wordt aan het internet gehangen en ‘smart’ gemaakt, zonder dat fabrikanten kaas hebben gegeten van cyberveiligheid. En dan hangt een omvormer ook nog aan ons stroomnetwerk.” 

Hij vindt dat te veel belangrijke beslissingen, zoals goede beveiliging, overgelaten wordt aan individuen en de markt. "Terwijl die beslissingen juist op collectief niveau genomen zouden moeten worden, omdat het ook over collectieve gevolgen gaat zoals grootschalige stroomuitval.”

Eisen aan ICT-producten

Europa werkt op dit moment aan de Cyber Act, een verordening waarin wordt vastgelegd aan welke eisen ICT-producten of diensten moeten voldoen. Ook in Nederland is veel aandacht voor de risico’s van het verder verweven raken van digitale stroomvoorziening en digitale technologie. De Raad voor de Leefomgeving en de Infrastructuur (RLI) bracht er begin maart nog een rapport over uit. Annemiek Nijhoff van RLI legt uit:  "Je ziet dat samenleving elektrificeerd en daarmee neemt niet alleen de afhankelijkheid enorm toe, het vergroot ook de kans op moedwillige verstoring of fouten. Gelukkig hebben we het nu goed geregeld voor een uur, maar zou een storing een paar dagen duren, dan praat je al over ontwrichting. Zover moet het niet komen.”  

Netbeheerderders: ‘onvoldoende beveiligde omvormers zorgelijk’ 

Netbeheerder Nederland, verantwoordelijk voor de stroomvoorziening in ons land, noemt de situatie van onvoldoende beveiligde omvormers van SMA ‘zorgelijk’. "Nu geeft dat nog geen problemen, maar bij grootschalige opwek van zonnestroom kunnen onveilige omvormers de stabiliteit van het electriciteitsnet in gevaar brengen.” Eerder zagen de netbeheerders zoiets bij laadpalen van elektrische auto’s en hebben zij met het European Network for Cyber Security en gemeenten strengere beveiligingseisen afgesproken. "Dat zou voor omvormers van zonnepanelen ook moeten gelden, maar dat kunnen we als netbeheerders niet afdwingen; omvormers worden door consumenten zelf aangeschaft.” 

Consumenten moeten wachtwoord wijzigen 

Willem Westerhof van ITsec vindt dat SMA de gebruikers en installateurs van de omvormers technisch zou moeten dwingen het standaard wachtwoord te veranderen. Nu kon hij al eenvoudig inbreken door veelgebruikte standaard wachtwoorden, bijvoorbeeld ‘0000’ te gebruiken.

Ook SMA zelf zou moeten stoppen met het gebruiken van ‘superwachtwoorden’, waarmee het bedrijf bijvoorbeeld eenvoudig op afstand een gebruiker kan helpen bij problemen met het apparaat. Als een hacker er één weet te achterhalen, heeft hij in een klap de controle over een groot aantal apparaten van SMA. Dergelijke ‘superwachtwoorden’ zouden ze alleen moeten gebruiken op basis van fysieke toegang, aldus de ethisch hacker. 

ITsec en SMA werken momenteel samen aan een oplossing voor de problemen.