Duizenden systemen bij wind- en zonneparken staan online bloot
Onderzoekers vonden 8.547 internetverbonden systemen bij Europese wind- en zonneparken die niet publiek bereikbaar zouden moeten zijn.
De volgredacteur houdt het voor je bij
Een Nederlands onderzoeksteam heeft duizenden internetverbonden systemen bij Europese wind- en zonneparken gevonden. De onderzoekers waarschuwen dat sommige interfaces toegang geven tot operationele functies, maar benadrukken dat blootstelling op zichzelf geen bewijs is van een succesvolle aanval.
Modat en het Nationaal Cyber Security Centrum brachten 8.547 systemen in kaart die zij met voldoende zekerheid aan wind- of zonneparken konden koppelen. De systemen werden gevonden in 35 Europese landen. Het gaat om 7.942 systemen bij zonneparken en 605 bij windparken.
De onderzoekers gebruikten internetbrede scans en machine-learningtechnieken om systemen te clusteren en aan specifieke energie-installaties toe te schrijven. Veel gevonden systemen waren beheerpagina’s of inlogschermen. In sommige gevallen zagen de onderzoekers interfaces met functies om turbines of andere installaties te starten, te stoppen of opnieuw in te stellen.
Het onderzoek zegt niet dat al deze systemen zonder wachtwoord toegankelijk waren of dat aanvallers de installaties daadwerkelijk hebben bediend. Wel vinden de onderzoekers internettoegang tot dergelijke operationele systemen op zichzelf een onnodig risico. De telling is bovendien een ondergrens: systemen werden alleen meegeteld als de koppeling met een park voldoende zeker was.
De kwetsbaarheid raakt een energiesector die steeds verder digitaliseert. Wind- en zonneparken worden vaak op afstand beheerd, waardoor onderhoud en storingsherstel efficiënter kunnen verlopen. Diezelfde verbindingen vergroten echter het aantal digitale toegangspunten dat operators moeten beveiligen.
Volgens de onderzoekers zijn nationale CERT’s geïnformeerd en zijn betrokken partijen benaderd. Zij adviseren operators om beheerinterfaces niet rechtstreeks vanaf het internet bereikbaar te maken, toegangsrechten te beperken en systemen voortdurend te controleren.
De bevindingen zeggen niets over de veiligheid van afzonderlijke Nederlandse parken zonder aanvullend onderzoek. Ze laten wel zien dat de energietransitie niet alleen een technische en ruimtelijke opgave is. Naarmate meer elektriciteitsproductie op afstand wordt bestuurd, wordt cyberbeveiliging onderdeel van de betrouwbaarheid van het elektriciteitssysteem.
Eén verhaal, meerdere perspectieven
Wat vaststaat
- Duizenden systemen bij Europese wind- en zonneparken waren vanaf internet zichtbaar.
- De onderzoekers telden alleen systemen die zij met voldoende zekerheid konden toeschrijven.
- Een zichtbare interface bewijst niet dat een succesvolle aanval heeft plaatsgevonden.
Links
Argumenten Energiebedrijven en overheden moeten digitale veiligheid als publieke nutsvoorziening behandelen en beveiligingskosten niet afwentelen op consumenten.
Waarden Collectieve veiligheid, publieke infrastructuur en preventie.
Gevolgen Strengere normen kunnen investeringen versnellen, maar ook de kosten van nieuwe duurzame projecten verhogen.
Midden
Argumenten De energietransitie en digitalisering kunnen samengaan als operators minimale beveiligingsnormen naleven, toezicht delen en kwetsbaarheden snel melden.
Waarden Betrouwbaarheid, proportionaliteit en uitvoerbaarheid.
Gevolgen Gerichte maatregelen beperken risico’s zonder afstandsbeheer of nieuwe energieprojecten onmogelijk te maken.
Rechts
Argumenten De sector moet primair zelf verantwoordelijkheid nemen voor systemen die zij exploiteert; innovatie mag niet wachten op nieuwe Europese regels.
Waarden Eigen verantwoordelijkheid, marktwerking en nationale weerbaarheid.
Gevolgen Snelle bedrijfsinvesteringen kunnen effectiever zijn dan langdurige regelgeving, maar leiden mogelijk tot ongelijke beveiligingsniveaus.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De omvang van de blootstelling en de beperkingen van de telling zijn door de onderzoekers en Reuters beschreven. Het artikel maakt geen onbewezen claim dat er al succesvolle aanvallen hebben plaatsgevonden.
- bevestigd Onderzoekers identificeerden 8.547 systemen bij wind- en zonneparken. — Genoemd in het onderzoek van Modat en de onafhankelijke samenvatting van Security Delta. bron
- bevestigd De systemen waren verspreid over 35 Europese landen. — Bevestigd door Modat en Reuters. bron
- bevestigd Sommige interfaces toonden operationele functies. — Security Delta beschrijft beheerinterfaces en functies voor start, stop en reset. bron
Noot van de redactie
Het aantal blootgestelde systemen en de aard van de interfaces zijn bevestigd. Er is geen bewijs aangevoerd dat alle systemen zonder authenticatie toegankelijk waren of daadwerkelijk zijn aangevallen.Bronnen
- To See the Wind and the Sun: Thousands of Exposed Systems — Modat
- Modat and NCSC-NL Research Shows More Than 8,500 Exposed Systems — Security Delta
- Thousands of European wind and solar power systems exposed online — Reuters via Marketscreener
Meer hierover bij andere media
- de Volkskrant — „cybersecurity windenergie”
- NOS — „cybersecurity windenergie”
- Het Parool — „cybersecurity windenergie”