O Centro Nacional de Cibersegurança dos Países Baixos (NCSC-NL) e a empresa de cibersegurança Modat confirmaram que quase 8.000 ativos de energia fotovoltaica (FV) físicos e virtuais em toda a Europa estão publicamente acessíveis através da internet, expondo uma vasta gama de entidades — desde operadores individuais a organizações de nível nacional — a riscos significativos de cibersegurança.
Soufian El Yadmani, da Modat, e Bouke van Laethem, do NCSC-NL, apresentaram estas conclusões a 6 de outubro na ONE Conference realizada no World Forum em Haia; o relatório correspondente foi agora oficialmente divulgado.
O estudo abrangeu projetos de energia fotovoltaica e eólica. A definição de "sistemas" fotovoltaicos variou desde módulos solares autónomos até sistemas de software capazes de controlar múltiplos dispositivos ou mesmo centrais elétricas fotovoltaicas inteiras; foram identificados um total de 7.942 sistemas com interfaces públicas — tornando-os vulneráveis a ciberataques.
Os autores observaram que os valores divulgados representam um "limite inferior": a contagem incluiu apenas dispositivos claramente ligados a centrais fotovoltaicas comerciais. Esforços adicionais de identificação e atribuição deverão aumentar o número de sistemas considerados em risco semelhante de exposição.
Evidências empíricas recolhidas pelos investigadores demonstraram que podiam aceder diretamente a interfaces web para recuperar informações sensíveis, tais como localizações físicas de dispositivos, dados operacionais em tempo real e ficheiros de registo do servidor web. Em alguns casos, utilizadores não autorizados podiam inclusivamente controlar dispositivos — individualmente ou em lotes — ou "até mesmo centrais elétricas fotovoltaicas inteiras."
El Yadmani, fundador e CEO da Modat, afirmou: "Fisicamente, a energia eólica e a energia solar são os componentes mais robustos do nosso sistema de abastecimento de energia. Digitalmente, no entanto, as suas arquiteturas de sistemas estão fragmentadas; um vasto número de dispositivos está diretamente exposto à internet pública e geralmente carece de monitorização contínua. O mapeamento de ativos que realizamos em poucas horas poderia ser feito com a mesma facilidade por atacantes no mesmo período de tempo. Não se podem proteger ativos que não se conseguem ver, nem qualquer entidade isolada consegue compreender toda a extensão do risco por conta própria."
O estudo concluiu que a exposição de muitos ativos conectados decorria de erros de configuração por parte dos operadores ou de uma configuração incompleta — especificamente, dispositivos que mantinham as suas definições predefinidas de fábrica. Tais vulnerabilidades de configuração expõem o software que sustenta infraestruturas críticas a ataques maliciosos — ataques que exigem conhecimentos técnicos mínimos e são facilmente executados.
Os autores do relatório assinalam a crescente prevalência de ferramentas especializadas de análise de defesa de redes alimentadas por grandes modelos de linguagem (LLMs); esta tendência significa que os ativos expostos à internet pública têm cada vez mais probabilidades de ser identificados e explorados por agentes maliciosos. Este relatório surge na sequência de um estudo especializado divulgado a 1 de outubro pelo Grupo de Peritos em Energia Inteligente da Comissão Europeia, que detalhou os riscos técnicos e geopolíticos específicos que afetam os projetos fotovoltaicos (FV).
Riscos de Segurança Significativos Decorrentes da Crescente Capacidade Fotovoltaica da Europa
De acordo com dados da associação da indústria SolarPower Europe, a rápida expansão da capacidade fotovoltaica instalada em toda a Europa colocou os riscos associados em forte evidência. A investigação indica que a energia solar representa 42% da produção total de energia renovável na UE, na Associação Europeia de Comércio Livre (EFTA) e nos países candidatos à UE; no segundo trimestre de 2026, as fontes de energia renovável constituíam 54% da produção total de eletricidade da UE.
O estudo neerlandês revela que a esmagadora maioria das centrais fotovoltaicas da Europa está concentrada em Espanha e na Grécia, com 2.766 e 1.860 ativos expuestos, respetivamente. Um total combinado de 2.972 instalações fotovoltaicasexpostas foi identificado em outros oito países: Itália, Alemanha, Hungria, Turquia, Bélgica, França, Países Baixos e Polónia.
O estudo divulgou apenas estatísticas agregadas sobre a capacidade fotovoltaica e eólica instalada por país; detalhes específicos — tais como nomes de centrais elétricas, informações de operadores, endereços IP e localizações exatas — não foram divulgados. Uma declaração conjunta do NCSC-NL e da Modat indicou que as partes afetadas estão a ser notificadas dos riscos individualmente através das respetivas Equipas de Resposta a Emergências Informáticas (CERTs) nacionais.
A equipa de investigação recomenda que os operadores fotovoltaicos implementem imediatamente várias medidas de proteção, incluindo retirar as interfaces de gestão da internet pública e adotar uma mentalidade de "assumir a invasão" — preparando-se para a resposta a incidentes sob o pressuposto de que as suas instalações já foram comprometidas. Thomas Plank, CEO da Tributech — uma empresa de cibersegurança especializada em Tecnologia Operacional (OT) — comentou sobre o estudo: "Os operadores devem remover estas interfaces da internet pública imediatamente, mas esse passo por si só não consegue resolver totalmente o problema.
As centrais de energia eólica e solar estão maioritariamente desumanizadas e dispersas geograficamente, mas têm de permanecer ligadas à rede; operadores de rede, comerciantes de energia e empreiteiros de O&M necessitam todos de acesso remoto para garantir que o equipamento funciona corretamente. Retirar estas interfaces offline pode reduzir os riscos de exposição, mas não altera o facto de milhares de ligações remotas estarem agora profundamente enraizadas na infraestrutura energética."
