Onderzoekers waarschuwen exploitanten van wind- en zonneparken, startknop en stopknop zomaar op internet te vinden

Het gaat onder meer om beheerinterfaces en bedieningspanelen, systemen waarmee exploitanten hun installaties op afstand beheren en bedienen. Die horen niet zomaar via internet bereikbaar te zijn.

In 40 landen
Modat, een Haags Internet Intelligence-bedrijf dat internetinfrastructuur continu in kaart brengt, deed het onderzoek samen met het NCSC dat sectoren en overheid helpt hun digitale weerbaarheid te versterken.

De onderzoekers keken naar wind- en zonneparken en grote zonnedaken in bedrijf in 40 landen: de lidstaten van de Europese Unie (EU), de landen van de Europese Vrijhandelsassociatie (EFTA) en de kandidaat-lidstaten van de EU. In 35 van die landen vonden ze onnodig bereikbare systemen. Soufian El Yadmani van Modat en Bouke van Laethem van het NCSC hebben de bevindingen gepresenteerd op The ONE Conference in het World Forum in Den Haag.

Ondergrens, geen eindstand
Het aantal van 8.547 is een ondergrens. De onderzoekers telden een systeem pas mee als ze het betrouwbaar aan een specifiek wind- en zonne-energieproject konden koppelen, terwijl veel meer systemen dezelfde kenmerken hebben maar nog niet aan een park zijn toegeschreven.

Het onderzoek telt bovendien systemen, geen windturbines of zonnepanelen. Sommige van de gevonden systemen sturen meerdere windturbines aan, of zelfs een heel windpark. Het lage aantal windsystemen stelt daarom niet gerust: achter elk systeem kan veel vermogen zitten, want sommige van de windparken zijn groter dan 4.000 megawatt.

Spanje en Duitsland voorop
Het leeuwendeel van de online gevonden systemen zit bij zonnepaneelinstallaties: 7.942 blootgestelde systemen in 34 landen. Spanje telt er alleen al 2.766, goed voor 35 procent van de gevonden parken. Samen met Griekenland, Italië en Duitsland neemt Spanje 76 procent van de blootgestelde systemen bij zonnepaneelinstallaties voor zijn rekening. Bij windparken gaat het om 605 systemen in 23 landen. Duitsland (212) en Italië (192) zijn daar samen goed voor 67 procent. Spanje heeft daarentegen maar 11 blootgestelde systemen bij windparken.

Nederland telt 132 blootgestelde systemen bij zonnepaneelinstallaties en 9 bij windparken. In België zijn het er 195 bij zonnepaneelinstallaties en 11 bij windparken, samen 206. Daarmee staat België bij zonnepaneelinstallaties op de zevende plaats, vlak voor Frankrijk met 140 systemen.

Startknop op internet
Wat de onderzoekers aantroffen, maakt de risico’s tastbaar. Zo vonden ze de webinterface van één windturbine met live productiegegevens, knoppen voor Start, Stop en Reset en de locatie van de turbine op een kaart. Ook stuitten ze op inlogpagina’s die de naam noemen van het windpark waartoe ze toegang geven.

Op een van die pagina’s staat dat de standaardgebruikersnaam ‘root’ is, een bekende naam voor een beheerdersaccount.

Binnen enkele uren zichtbaar
Om de systemen te vinden, gebruikten de onderzoekers clustering op basis van machine learning in Modat Magnify, een techniek die vergelijkbare systemen op internet automatisch groepeert. Zo kwamen ook typen apparaten naar boven waarvoor nog geen regels waren geschreven. Aanvallers kunnen met dezelfde snelheid werken.

De bevindingen verschijnen enkele weken na een gezamenlijke verklaring van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD), de Militaire Inlichtingen- en Veiligheidsdienst (MIVD), het NCSC, de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV), CIO Rijk, het Openbaar Ministerie en de politie. Zij waarschuwden in september 2026 dat kunstmatige intelligentie de dreiging versnelt.

Oprichter en algemeen directeur Soufian El Yadmani van Modat wijst op het verschil tussen de fysieke en de digitale kant. ‘Fysiek zijn wind en zon de meest robuuste onderdelen van onze energievoorziening. Digitaal zijn ze versnipperd, vaak bereikbaar via internet en niet altijd gemonitord’, licht hij toe. ‘Wat wij binnen enkele uren in kaart brengen, kan een aanvaller ook binnen enkele uren in kaart brengen. Je kunt niet verdedigen wat je niet ziet. En niemand overziet dit hele landschap in zijn eentje.’

Eerste stappen voor exploitanten
De onderzoekers geven exploitanten van wind- en zonneparken en zonnepaneelinstallaties een reeks adviezen mee. Haal beheerinterfaces direct van internet, luidt de eerste. Verder adviseren ze het principe van assume breach te hanteren, dus te plannen en te monitoren alsof er al een aanvaller binnen is. Verbindingen moeten veilig zijn volgens de gepubliceerde principes voor operationele technologie, de systemen die windturbines en andere installaties aansturen. Exploitanten doen er ook goed aan te bepalen in welke modi hun installaties kunnen draaien, inclusief handmatige bediening van die systemen, en hun standaardwerkprocedures zo in te richten dat ze zijn aan te passen aan het dreigingsniveau of aan specifieke gebeurtenissen.

Ook moeten ze in beeld brengen welke apparatuur ze hebben, hoe het netwerk is opgebouwd en wie er toegang toe heeft, en dat overzicht actueel houden. Daarbij hoort alles wat leveranciers en dienstverleners aansluiten. Tot slot adviseren de onderzoekers om binnen de sector dreigingsinformatie, ervaringen en kennis te delen, zowel nationaal als Europees.

Information Sharing and Analysis Centre
In de Nederlandse zonne-energiesector bestaat daarvoor al een Information Sharing and Analysis Centre (ISAC), waar bedrijven vertrouwelijk informatie uitwisselen over dreigingen en incidenten.

In Nederland is bovendien per half augustus de Cyberbeveiligingswet in werking getreden. Die wet verplicht energiebedrijven om de beveiliging van hun digitale systemen te waarborgen en te zorgen voor bedrijfscontinuïteit.

Het onderzoek bevat overigens alleen samengevoegde cijfers per land. Namen van parken en exploitanten, IP-adressen (de internetadressen waarmee apparaten bereikbaar zijn) en locaties maken de onderzoekers niet openbaar. De nationale Computer Emergency Response Teams (CERT’s), de landelijke teams die bij cyberincidenten helpen, zijn bezig de betrokken partijen te informeren.