مرکز امنیت سایبری دولت هلند (NCSC-NL) و Modat در یک گزارش مشترک، ۸,۵۴۷ سیستم متصل به اینترنت در پارک‌های بادی و خورشیدی در ۳۵ کشور اتحادیه اروپا و مناطق اطراف آن را شناسایی کردند که به هیچ وجه نباید از طریق شبکه عمومی وب در دسترس باشند. این سیستم‌ها طیف گسترده‌ای از صفحات ورود (Login screens) تا پنل‌های کنترل توربین را شامل می‌شوند که در برخی موارد، دکمه توقف (Stop) را برای هر کسی که مرورگری داشته باشد، فعال نگه داشته‌اند.
جزئیات فنی و نحوه شناسایی
تیم پژوهشگر برای شناسایی این تجهیزات از روش خوشه‌بندی مبتنی بر یادگیری ماشین (Machine Learning Clustering) استفاده کردند. این متد اجازه می‌دهد سیستم‌های مشابه به طور خودکار گروه‌بندی شوند و انواع جدیدی از تجهیزات، حتی بدون وجود قوانین شناسایی (Detection Rules) پیش‌فرض، کشف شوند.
در یکی از موارد بررسی شده، یک داشبورد وب داده‌های زنده مربوط به توان تولیدی، سرعت باد و داده‌های روتور را نمایش می‌داد. همچنین پنل کنترل آن دارای دکمه‌های Start، Stop و Reset بود. علاوه بر این، دسترسی به وب‌سرور یک PLC مدل Siemens ET 200SP (کنترل‌کننده صنعتی که توربین را مدیریت می‌کند) نیز از طریق منوهای این صفحه امکان‌پذیر بود. همچنین نقشه‌های موجود در این صفحات، مکان دقیق توربین‌ها و ساختمان‌های خدماتی را لو داده بودند.
توزیع جغرافیایی و ابعاد تهدید
بیشترین تعداد سیستم‌های آسیب‌پذیر در کشورهای اسپانیا، یونان، ایتالیا و آلمان مشاهده شده است. از مجموع ۷,۹۴۲ سیستم خورشیدی شناسایی شده، ۳۵ درصد (۲,۷۶۶ مورد) متعلق به اسپانیا است. در بخش انرژی بادی نیز ۶۰۵ سیستم شناسایی شد که بیشترین سهم مربوط به آلمان و ایتالیا بود.
نکته نگران‌کننده این است که برخی از این سیستم‌ها تنها یک توربین را کنترل نمی‌کنند، بلکه مدیریت چندین توربین یا کل یک پارک انرژی را بر عهده دارند، که این امر میزان اثرگذاری یک حمله احتمالی را به شدت افزایش می‌دهد. در برخی صفحات ورود، حتی نام سایت‌ها به طور صریح ذکر شده بود و در برخی نسخه‌ها، نام کاربری پیش‌فرض (Default Username) همچنان روی root تنظیم شده بود.
توصیه‌های امنیتی برای مدیران زیرساخت
کارشناسان تأکید می‌کنند که تمرکز بر منشاء سازنده تجهیزات (Vendor) کافی نیست، زیرا حتی دسترسی‌های قانونی یا حساب‌های تعمیر و نگهداری سرقتی می‌توانند منجر به تخریب شوند. در این راستا، توصیه‌های زیر برای مدیران IT و امنیت (CISO) ارائه شده است:
- حذف فوری رابط‌های مدیریتی: تمامی اینترفیس‌های Admin باید بلافاصله از دسترس اینترنت خارج شوند.
- مدیریت دسترسی‌های دورکاری: تهیه لیست کامل از تمامی اتصالات ریموت، شناسایی هویت متصل‌شوندگان، مبدا اتصال و تعیین سطح دسترسی (صرفاً خواندن داده‌ها یا امکان تغییر در عملیات).
- احراز هویت قوی: حذف حساب‌های مشترک (Shared Credentials) و پیاده‌سازی احراز هویت چندعاملی (MFA) برای هر Vendor به صورت مجزا.
- تفکیک دسترسی‌ها: جداسازی دسترسی‌های نظارتی (Monitoring) از دسترسی‌های اجرایی (Command execution).
- پایش و ثبت وقایع: ثبت دقیق تمامی دستورات و تغییرات پیکربندی در سیستم‌های داخلی، بدون اتکا به گزارش‌های سیستم‌های سازنده.
این اقدامات را می‌توان در راستای انطباق با دستورالعمل NIS2 اتحادیه اروپا دانست که مدیران نهادهای حیاتی را در قبال نظارت بر اقدامات امنیت سایبری، چه در حالت داخلی و چه برون‌سپاری شده، مسئول می‌داند.
