España concentra un tercio de los sistemas solares expuestos en internet en Europa

Las plantas solares y los parques eólicos europeos dependen de paneles de control digitales para arrancar, parar y supervisar la producción. Un estudio publicado por la empresa de inteligencia en internet Modat, con la colaboración del Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL), concluye que miles de esas interfaces están accesibles desde la red pública sin las protecciones adecuadas. Y el país con más casos detectados en el apartado solar es España.

Qué han encontrado los investigadores

El informe, titulado To See the Wind and the Sun y realizado con la plataforma Modat Magnify, rastreó instalaciones renovables en 35 países de la Unión Europea, candidatos a la adhesión y la EFTA. El resultado: 8.547 sistemas expuestos, de los cuales 7.942 corresponden a plantas fotovoltaicas y 605 a parques eólicos.

No todos tienen el mismo alcance. Según el estudio, algunos son la pantalla de gestión de una única turbina, mientras que otros se sitúan en un nivel superior y permiten supervisar varias máquinas o incluso una explotación completa desde una sola interfaz. Los investigadores afirman haber llegado a controladores industriales —los equipos que dan órdenes directas a la maquinaria— y a la interfaz web de una turbina desde la que podían consultar en tiempo real la electricidad generada y su ubicación.

El dato más llamativo para el lector español es que 2.766 sistemas vinculados a instalaciones solares del país aparecen accesibles desde internet. Representan en torno al 35% del total detectado, es decir, uno de cada tres. En eólica, los primeros puestos los ocupan Alemania e Italia.

Paneles sin contraseña

En declaraciones recogidas por Efe, Soufian El Yadmani, fundador de Modat y coautor del trabajo, explica que algunos de esos paneles no tenían «ningún tipo de autenticación o protección». Con una simple conexión a internet, sostiene, sería posible detener una turbina, volver a ponerla en marcha o reiniciarla.

El investigador atribuye la posición española al tamaño de su parque renovable y al enorme volumen de instalaciones fotovoltaicas construidas en pocos años. A ello se suman, según el análisis difundido por otros medios, la dispersión de proveedores que participan en cada proyecto, la rotación de los equipos técnicos y el ritmo acelerado al que ha crecido la potencia instalada. En la práctica, muchas plantas pequeñas se conectan con equipos de distintos fabricantes y con configuraciones por defecto que nadie revisa después.

Expuesto no es lo mismo que atacado

Conviene leer las cifras con cuidado. El propio informe aclara que estar expuesto no significa haber sido vulnerado: no hay 2.766 ciberataques en España, sino 2.766 interfaces y sistemas digitales localizables desde fuera. Tampoco equivalen a 2.766 plantas distintas, porque una misma instalación puede tener varios sistemas accesibles.

Aun así, los autores advierten de que el recuento se queda corto. Solo han contabilizado aquellos sistemas que pudieron atribuir con certeza a una instalación concreta; los investigadores reconocen que existirán muchos más equipos vulnerables que no han podido vincular por falta de información suficiente.

Qué recomiendan

Modat y el NCSC-NL plantean medidas que suenan básicas pero que, según el estudio, no siempre se aplican:

• Retirar de la red pública las interfaces de administración y dejarlas accesibles solo por canales controlados, como una VPN.
• Supervisar y limitar los accesos de proveedores y empresas externas que participan en el mantenimiento.
• Garantizar que los sistemas industriales se puedan operar de forma manual en caso de incidente.

El contexto no ayuda a relajarse. El sector energético lleva años en el punto de mira de ataques contra infraestructuras críticas, y la electrificación multiplica el número de puntos conectados que hay que vigilar. La exposición de equipos industriales se suma a otros frentes abiertos en materia de seguridad digital, desde el bloqueo de llamadas y SMS fraudulentos hasta la falta de recursos en el software que sostiene la web.

La noticia ha sido difundida en España por Xataka a partir de la información de Efe sobre el estudio de Modat Magnify y el NCSC-NL.