8.547 upravljačkih sistema elektrana u Evropi bilo je izloženo internetu: tri provjere za vašu elektranu

Istraživači su na solarnim i vjetroelektranama u Evropi pronašli 8.547 upravljačkih sistema kojima je s interneta mogao pristupiti bilo ko. Među njima je bila i web stranica jedne vjetroturbine. Na njoj su se uživo vidjeli podaci o proizvodnji i dugmad za start, stop i reset.

Šta su istraživači pronašli

Istraživanje su uradili Modat, firma iz Haga, i holandski Nacionalni centar za cybersecurity (NCSC-NL). Rezultate su predstavili 6. oktobra 2026. na ONE Conference, također u Hagu.

Obuhvatili su solarne i vjetroelektrane koje rade u 40 zemalja, i to u članicama Evropske unije i EFTA-e te u zemljama kandidatima za članstvo u EU. Solarne elektrane na krovovima nisu bile uključene. Sisteme dostupne s interneta našli su u 35 od tih 40 zemalja.

Na solarnim elektranama našli su 7.942 takva sistema, a na vjetroelektranama 605. Najviše ih je bilo u Španiji, 2.766 samo na solarnim elektranama.

Brojali su sisteme, a ne panele ili turbine, a neki od tih sistema upravljaju cijelom vjetroelektranom. Istraživači navode da je stvarni broj vjerovatno veći.

S interneta su se mogle otvoriti administratorske stranice i stranice za upravljanje. Kod vjetroturbine s početka teksta bio je dostupan i web server PLC-a koji njome upravlja. Na jednoj stranici za prijavu pisalo je da je fabričko korisničko ime „root“.

Kako je izveden napad u Poljskoj

U Poljskoj je 29. decembra 2025. napadnuto više od 30 vjetroelektrana i solarnih elektrana. Prema izvještaju CERT Polska, napadači su ušli kroz VPN koji je bio dostupan s interneta i nije tražio višefaktorsku autentifikaciju (MFA), a isti nalozi korišteni su na više objekata. Na RTU uređaje u priključnim trafostanicama prijavili su se fabričkim nalozima i u njih učitali oštećen firmware. Elektranama se nakon toga više nije moglo daljinski upravljati, ali proizvodnja struje nije stala.

Šta to znači za vlasnike elektrana u BiH

Istraživači nisu objavili podatak za BiH.

I elektrane u BiH imaju RTU uređaje poput onih koje su napadači onesposobili u Poljskoj. Preko RTU-a se privatna elektrana priključuje na dispečerski sistem operatora mreže. Tu integraciju uradili smo na pet i više pogona.

Tri provjere koje preporučuju istraživači

1. Sklonite administratorske stranice s interneta.

Provjerite da li se stranice invertera, data loggera, SCADA sistema i rutera otvaraju s adrese izvan mreže elektrane. Udaljeni pristup ostavite samo preko VPN-a uz MFA.

2. Pođite od toga da je napadač već u vašoj mreži.

Promijenite fabričke lozinke na svim uređajima, pa i na RTU-u, i ne koristite istu lozinku na više elektrana. Unaprijed isplanirajte ručni rad elektrane za slučaj da daljinsko upravljanje otkaže.

3. Provjerite šta su dobavljači priključili na mrežu vaše elektrane.

Zapišite ko sve ima pristup elektrani, preko kojeg uređaja i s kojim nalogom. Holandska inspekcija za digitalnu infrastrukturu (RDI) najveći rizik vidi u cloud platformama proizvođača i agregatora.

Kada počinju važiti pravila EU

EU propis Cyber Resilience Act (CRA) primjenjuje se samo na proizvode koji se na tržište EU stave 11. decembra 2027. ili kasnije, a ekspertna grupa Evropske komisije preporučila je da se solarni inverteri svrstaju u klasu za koju je prije prodaje potrebna nezavisna ocjena usklađenosti. Za opremu koja već radi u vašoj elektrani ti rokovi ništa ne mijenjaju.

Kako to radimo u COMEX-u

Na ovo gledamo i kao operater, jer vodimo vlastitu elektranu na Raduši. Elektranama koje održavamo može se upravljati samo kroz našu šifrovanu VPN mrežu. Upravljački portal koriste samo naši ljudi, sa sigurnih računara i iz sigurnih mreža. Naš web portal traži prijavu i služi samo za pregled podataka. VPN veze stalno pratimo, a upozorenje dobijamo ako se neka prekine na duže od nekoliko minuta. Na mrežnoj opremi koju postavljamo nema prijave lozinkom, nego samo kriptografskim ključem. Kad elektranu više ne održavamo, ukidamo joj pristup našem sistemu i poništavamo njene certifikate.

Da li vas brine sigurnost vaše elektrane? Javite nam se na contact@comex.ba .

Izvori

• pv magazine, 7. 10. 2026: Thousands of European solar park systems exposed online, say researchers
• Modat, 6. 10. 2026: Modat Research Shows More Than 8,500 Exposed Systems in Europe’s Wind and Solar Parks
• CERT Polska, 30. 1. 2026: Energy Sector Incident Report – 29 December 2025 i izvještaj (PDF)
• pv magazine, 17. 10. 2026: Dutch regulator flags EU cyber gap for cloud-controlled home batteries
• Rijksinspectie Digitale Infrastructuur (RDI), 7. 10. 2026: Position paper „Verbonden apparaten zetten het elektriciteitsnet onder druk“