Cibersicurezza degli impianti fotovoltaici
Impianti fotovoltaici di importanza sistemica: analisi approfondita della cibersicurezza con raccomandazioni concrete
Un’analisi approfondita dell’Istituto nazionale di test per la cibersicurezza NTC mostra che il crescente parco di impianti fotovoltaici in Svizzera rappresenta una superficie di attacco sottovalutata per la rete elettrica. Sono stati verificati sette inverter e quattro sistemi di gestione dell’energia di otto produttori, dispositivi come quelli installati in migliaia di abitazioni svizzere. Sono stati così identificati oltre 50 rilievi, tra cui sette critici e sei elevati. I rilievi sono stati segnalati ai produttori in via confidenziale. La maggior parte ha reagito rapidamente, mentre per alcuni prodotti l’eliminazione delle vulnerabilità è ancora in corso.
Quanto sia concreto questo rischio emerge da uno schema reale riscontrato durante l’indagine: in quasi tutti gli inverter verificati è possibile modificare, attraverso l’interfaccia di comando locale e senza alcuna autenticazione, quanta potenza l’impianto immette in rete, fino a zero. Considerato singolarmente, ciò riguarda soltanto un impianto. Se però un aggressore assume il controllo del cloud di un produttore, può provocare la stessa manipolazione contemporaneamente su migliaia di impianti collegati. Il singolo impianto solare sul tetto di un’abitazione è irrilevante per la rete elettrica, ma il parco nel suo insieme costituisce un’infrastruttura critica.
Si verifica così un cambiamento pericoloso: ciò che in passato richiedeva un accesso fisico a una centrale elettrica è oggi possibile attraverso un accesso remoto centralizzato. Il rischio maggiore non può essere eliminato soltanto migliorando la sicurezza dei prodotti: nasce dal collegamento di migliaia di impianti ai cloud di pochi produttori.
Risultati dell’analisi di sicurezza e schemi di rischio principali
Per valutare il livello di sicurezza della tecnica fotovoltaica diffusa in Svizzera, nell’arco di circa un anno l’NTC ha sottoposto undici prodotti digitali di otto produttori a un’analisi tecnica di sicurezza approfondita: sette inverter e quattro sistemi di gestione dell’energia.
Complessivamente le verifiche hanno portato alla luce oltre 50 rilievi, sette dei quali critici e sei elevati. Cinque degli undici prodotti presentavano almeno un rilievo elevato o critico e in quattro prodotti l’NTC ha ottenuto il controllo completo del dispositivo. Il rapporto pubblico omette deliberatamente i nomi dei prodotti e i dettagli tecnici. Descrive invece schemi di rischio tipici:
- carenze nell’autenticazione e nel controllo degli accessi, ad esempio password predefinite
- accessi di manutenzione non sicuri, ad esempio con credenziali identiche per l’intero parco di dispositivi
- cifratura assente o debole della comunicazione tramite interfacce locali
- interfacce non disattivabili
Il livello di sicurezza dei singoli prodotti non differisce in modo sostanziale da quello di altri dispositivi connessi molto diffusi. Il rischio effettivo per la rete elettrica svizzera non risiede nel singolo dispositivo, bensì nella dipendenza da pochi produttori: attraverso la loro infrastruttura cloud gli impianti vengono controllati e riforniti di firmware, e la maggior parte dei produttori mantiene un accesso di manutenzione privilegiato all’intero parco di dispositivi.
Raccomandazioni per la riduzione dei rischi
Sulla base di questi risultati, il rapporto formula raccomandazioni per cinque gruppi di destinatari:
Una soluzione semplice e completa non esiste; tutti gli approcci presentano vantaggi e svantaggi e permangono rischi residui. Il rapporto non intende essere un argomento contro il fotovoltaico, bensì una base per il suo sviluppo in condizioni di sicurezza.
L’indagine è avvenuta su iniziativa dell’Istituto nazionale di test per la cibersicurezza NTC, che ha fornito il team di test e una parte sostanziale dei mezzi finanziari. È stata sostenuta da diverse organizzazioni, in prevalenza del settore energetico, nonché da SvizzeraEnergia. L’NTC le ringrazia per il loro contributo. Per garantire l’indipendenza dei risultati, i produttori dei prodotti verificati non sono stati coinvolti né nella selezione né nello svolgimento delle verifiche e sono stati contattati soltanto nell’ambito della segnalazione confidenziale delle vulnerabilità.
Il rapporto di sintesi è disponibile in tedesco, inglese, francese e italiano.
Monitoraggio dei media
Il rapporto di sintesi sulla cibersicurezza degli impianti fotovoltaici ha suscitato l’interesse della stampa. Di seguito riportiamo un elenco non esaustivo di alcuni articoli:
- SRF, 16 settembre 2026: Sicherheitsexperten: Blackout-Risiko wegen Solaranlagen
Vai all'articolo di SRF
