Quelles cybermenaces contre les panneaux solaires ?

La fondation norvégienne DNV est l’un des principaux prestataires internationaux de services en management des risques. Son consultant Alexander Hansen Bakken détaille dans un rapport récent les vulnérabilités cyber qui touchent l’énergie, et en particulier les fermes photovoltaïques.

La sécurisation de l’OT est selon lui un défi « de plus en plus urgent » pour le secteur énergétique : « à mesure que les systèmes OT sont mis en réseau et connectés aux systèmes informatiques, les attaquants peuvent plus facilement accéder aux systèmes exploitant les infrastructures critiques et les contrôler », expose le chercheur.

« Il est désormais possible pour les attaquants d’empêcher les onduleurs photovoltaïques de fonctionner, de perturber l’approvisionnement en énergie d’un réseau électrique, d’arrêter un parc éolien et de désactiver les systèmes de sécurité des pipelines, des raffineries ou des plateformes pétrolières et gazières », synthétise Alexander Hansen Bakken.

Une étude de DNV de mai 2022 indiquait d’ailleurs que 84 % des professionnels de l’énergie anticipent une cyberattaque d’ici deux ans. Concernant spécifiquement le photovoltaïque, Alexander Hansen Bakken pointe les vulnérabilités les plus courantes, notamment les onduleurs, de plus en connectés et intelligents, et donc susceptibles d’être attaqués, car il s’agit d’infrastructures critiques.

En effet, les onduleurs assurent la stabilité de la tension de l’électricité produite : or, une importante variation de tension dans l’électricité injectée peut potentiellement endommager de nombreuses infrastructures en aval, voire conduire à un black-out.

Le consultant met également en garde contre les SI gérés par des tiers qui pourraient avoir accès aux infrastructures SCADA, comme par exemple un système de vidéosurveillance.

Enfin, il indique la nécessité, pour les opérateurs de panneaux photovoltaïques, d’investir largement pour garantir une cybersécurité corrélée au risque réel, sans se contenter de suivre les normes en la matière (qui sont souvent insuffisantes), ni se reposer sur le fait qu’aucune cyberattaque majeure n’a (encore) frappé d’installation photovoltaïque.