Un simple navigateur pour couper une éolienne : la faille folle de 8 500 parcs

Les installations énergétiques comptent parmi les infrastructures les plus critiques d’un pays. Pourtant, leur niveau de sécurité ne semble pas toujours à la hauteur de leur importance. Des milliers de systèmes liés à des parcs solaires et éoliens européens sont ainsi accessibles depuis Internet, alors qu’ils ne devraient pas l’être.

L’entreprise néerlandaise Modat, spécialisée dans le renseignement sur Internet, et le Centre national de cybersécurité des Pays-Bas (NCSC-NL) ont présenté cette étude le mardi 6 octobre à La Haye, lors de la ONE Conference, un événement annuel consacré à la cybersécurité. Les chercheurs y ont alerté sur les risques de cyberattaque liés à cette exposition.

Des interfaces parfois directement liées aux commandes des installations

L’étude exclut les installations solaires en toiture, et recense 8 547 systèmes accessibles en ligne dans 35 des 40 pays européens passés au crible (Union européenne, AELE et pays candidats), dont 7 942 sont associés à des installations solaires et 605 à des parcs éoliens. Les chercheurs ont découvert des interfaces d’administration, des pages affichant des informations sur les installations, des panneaux de contrôle et des serveurs web associés à des automates industriels utilisés pour piloter et surveiller les opérations. Ils ont également repéré des pages de connexion permettant d’identifier certaines installations.

Tous les systèmes exposés ne présentent pas le même niveau de risque. Alors que certains permettent uniquement de consulter des informations, d’autres donnent directement accès à des fonctions opérationnelles. Les chercheurs ont par exemple mis la main sur l’interface web d’une éolienne qui affichait des boutons de démarrage, d’arrêt et de réinitialisation, en plus des données de production en temps réel. Ils ont également identifié une page cartographique indiquant son emplacement et le serveur web de l’automate industriel Siemens qui pilote l’éolienne.

Les chercheurs n’ont pas divulgué les noms des projets concernés, mais ils ont précisé le nombre de systèmes exposés dans chaque pays. L’Espagne se situe en tête pour le solaire avec 2 766 systèmes exposés. Viennent ensuite la Grèce (1 860), l’Italie (753), l’Allemagne (672) et la Hongrie (514). Dans le secteur éolien, l’Allemagne occupe la première place avec 212 systèmes recensés, suivie de l’Italie, qui en compte 192. L’Espagne, en tête pour le solaire, n’en compte que 11.

Ces chiffres sont un minimum : les chercheurs n’ont compté un système qu’à partir du moment où ils pouvaient le relier avec certitude à un parc précis. Ils comptent aussi des systèmes, pas des panneaux ou des éoliennes, et certains de ces systèmes pilotent plusieurs turbines, voire un parc entier. Le problème ne date pas d’hier : en 2025, la société de cybersécurité Forescout avait déjà recensé environ 35 000 équipements solaires dont l’interface de gestion était exposée sur Internet, dont 76 % en Europe.

Une cartographie accessible aussi aux acteurs malveillants

Pour parvenir à ces résultats, les chercheurs ont recensé les équipements accessibles depuis Internet, identifié ceux qui étaient associés à des installations énergétiques, puis rapproché les interfaces découvertes des sites concernés. Des acteurs malveillants peuvent tout aussi bien reproduire cette démarche pour repérer des cibles. « Ce que nous pouvons cartographier en quelques heures, un attaquant peut aussi le faire », ont averti les chercheurs, selon Reuters.

Lorsqu’une interface n’est pas exploitable telle quelle, l’attaquant doit encore trouver une faille de sécurité, et l’IA peut l’y aider : des outils d’IA ont déjà servi à dénicher des failles permettant d’éteindre à distance des micro-onduleurs. Soufian El Yadmani, fondateur et CEO de Modat, estime par ailleurs qu’un contrôle total aurait théoriquement été possible sur environ 181 des sites concernés.

Les exploitants concernés sont prévenus par l’intermédiaire des équipes nationales de réponse aux incidents informatiques (CERT). Le rapport leur demande de retirer immédiatement leurs interfaces d’administration d’Internet, de partir du principe qu’un attaquant est déjà dans leur réseau et de surveiller les équipements que leurs fournisseurs et prestataires connectent à distance.

Une intrusion isolée ne provoquerait pas nécessairement de perturbation majeure du réseau électrique. En revanche, une attaque coordonnée visant plusieurs installations pourrait avoir des conséquences bien plus importantes. Si des attaquants parvenaient à accéder aux commandes opérationnelles, ils pourraient modifier des paramètres ou provoquer l’arrêt des équipements. La déconnexion instantanée de plusieurs unités de production perturberait directement l’équilibre du réseau électrique. Dans le pire des cas, une telle perturbation pourrait aller jusqu’à une panne d’électricité générale.

Il y a un précédent. En décembre 2025, au moins 30 parcs éoliens et solaires polonais ont été visés par une cyberattaque. D’après le CERT Polska, l’équipe nationale de réponse aux incidents, les attaquants sont entrés par des pare-feu exposés sur Internet, souvent sans double authentification, puis ont utilisé des identifiants par défaut pour neutraliser des équipements dans les postes de raccordement au réseau. La production a continué, mais les sites ont perdu le contact avec les gestionnaires du réseau de distribution. Le CERT Polska a attribué l’attaque à un groupe lié au FSB, le service de sécurité russe.