8 500 éoliennes et panneaux solaires en accès libre : la boulette européenne

Une étude néerlandaise menée par l’entreprise Modat et le Centre national de cybersécurité des Pays-Bas (NCSC-NL), présentée le 6 octobre, a identifié plus de 8 500 systèmes informatiques de parcs solaires et éoliens accessibles depuis Internet, alors qu’ils ne devraient pas l’être. Une exposition qui pourrait faciliter les cyberattaques en permettant de mieux repérer les équipements et rechercher les vulnérabilités exploitables.

Ces systèmes sont répartis dans 35 pays européens. L’Allemagne en compte 884 (solaire et éolien), dont 212 dans l’éolien, le chiffre le plus élevé d’Europe pour cette filière ; côté solaire, l’Espagne arrive loin devant avec 2 766 systèmes exposés.

Le 13 octobre, une semaine après la présentation de cette étude, l’Office fédéral allemand de la sécurité informatique (BSI) a alerté sur les risques de cyberattaques visant différents types d’installations, dont les unités de production d’énergie (centrales hydroélectriques, parcs éoliens, installations d’incinération de déchets, installations solaires de toute taille, unités de cogénération et installations de biogaz).

L’organisme a publié une série de recommandations destinées en priorité aux exploitants de petites et très petites installations pour les aider à repérer les failles de sécurité et à prévenir les intrusions susceptibles de perturber le fonctionnement de leurs équipements.

Cette alerte suit de près une attaque qui a touché la France. Dans la nuit du 11 au 12 octobre, des pirates ont pris la main à distance sur les systèmes de réfrigération de centaines de supermarchés, dont des Intermarché, des Super U et des E.Leclerc, en les basculant en mode dégivrage. Le ministre de l’Économie, Roland Lescure, parle d’environ 700 magasins touchés, et une partie des denrées a dû être jetée. Claudia Plattner, présidente du BSI, estime qu’une telle attaque aurait pu viser n’importe quel pays et redoute des imitateurs.

Des failles informatiques qui exposent les centrales aux cyberattaques

Mal protégées, les centrales peuvent devenir des cibles de cyberattaques dans le cadre d’une guerre hybride. Or, selon le BSI, des failles de sécurité élémentaires continuent d’exposer de nombreuses installations à ce type de menace.

Le BSI vise d’abord les petites installations. En Allemagne, les centrales de moins de 100 MW ne relèvent pas des règles imposées aux infrastructures critiques, et ne sont donc soumises en principe à aucune obligation de cybersécurité particulière. L’office précise que ses consignes valent quelle que soit la taille de l’installation ou le statut de son exploitant, solaire domestique compris : un particulier dont l’onduleur est accessible depuis Internet est concerné au même titre qu’un exploitant de parc éolien.

Les vulnérabilités les plus courantes sont les mots de passe par défaut qui n’ont jamais été modifiés, ou qui sont réutilisés sur plusieurs équipements. Exposer directement les systèmes de commande à Internet est aussi très risqué. Pour surveiller leurs installations à distance, certains opérateurs rendent en effet accessibles des interfaces de supervision ou des automates industriels depuis le réseau public. Certains opérateurs font aussi trop confiance aux réseaux privés. Un réseau mobile privé ne garantit pas à lui seul que les appareils qui y sont connectés soient suffisamment protégés les uns des autres.

L’IA peut aussi faciliter le travail des attaquants. Elle permet, entre autres, de rédiger des scripts, d’analyser des informations techniques ou d’adapter des outils existants pour repérer des systèmes vulnérables. Associée à des mécanismes d’automatisation, elle peut aussi accélérer les recherches et multiplier les tentatives d’intrusion.

Dans son document, le BSI cite notamment l’attaque survenue en Pologne le 29 décembre 2025 contre plus d’une trentaine de parcs éoliens et solaires, ainsi qu’une centrale de cogénération qui chauffe près d’un demi-million de clients. Sur les parcs éoliens, les attaquants ont coupé les communications avec les gestionnaires de réseau et bloqué les équipements de commande et de protection, sans toutefois perturber la production ni la distribution d’électricité.

Autre précédent cité par le BSI, aux États-Unis cette fois. En août 2026, des attaquants ont accédé à des automates et à des systèmes de supervision laissés ouverts sur Internet chez plus de 30 gestionnaires d’eau municipaux. Ils ont pu modifier des valeurs de fonctionnement et bloquer l’accès aux équipements pour compliquer le retour à la normale.

Les recommandations du BSI pour mieux protéger les installations

Pour limiter les risques, le BSI recommande en priorité de supprimer tout accès direct à Internet aux systèmes de commande industriels. Les automates programmables, les interfaces de supervision et les interfaces homme-machine ne doivent pas être directement accessibles depuis le réseau public.

Lorsque l’accès à distance est indispensable, les connexions doivent être sécurisées au moyen d’un VPN. Les exploitants doivent également remplacer les identifiants par défaut, choisir des mots de passe robustes et activer l’authentification multifacteur. Le BSI conseille par ailleurs de vérifier si la connexion au cloud du fabricant est vraiment indispensable, l’idéal étant de faire fonctionner l’installation uniquement en local. Il insiste enfin sur la mise à jour des logiciels et des micrologiciels, en particulier ceux des routeurs et des dispositifs d’accès à distance.

Le BSI prévient toutefois qu’un mot de passe ne suffit pas toujours, car certaines failles peuvent être exploitées sans aucune authentification. Il demande donc d’activer aussi les protections déjà présentes dans les équipements, comme les listes de blocage et le filtrage des protocoles. Il conseille enfin de vérifier régulièrement, idéalement de façon automatique, si de nouvelles mises à jour sont disponibles.