Облако Sungrow пускало в чужие аккаунты без пароля: исследователь получил доступ к 470 тыс. солнечных станций в Европе

Коротко: исследователь немецкой компании по кибербезопасности Jakkaru Марлон Штарклофф нашёл в облачной платформе Sungrow iSolarCloud ошибку, которая позволяла войти в чужой аккаунт без пароля. Через неё был доступ к 470 тыс. солнечных станций и накопителей в Европе, из них 250 тыс. в Германии. Sungrow закрыла уязвимость, признаков её использования злоумышленниками не нашли.

Что нашли

В конце августа 2026 года Штарклофф изучал вход в iSolarCloud — облачный сервис, через который владельцы и монтажники следят за станциями Sungrow и управляют ими. Выяснилось, что у платформы несколько вариантов процедуры входа. Если в запросе указать тип входа номер пять, система пускала в указанный аккаунт и не проверяла пароль. Так открывались не только аккаунты владельцев, но и администраторские учётные записи с доступом к тысячам станций.

Исследователь сообщил о находке производителю и Федеральному ведомству по информационной безопасности Германии (BSI). Sungrow выпустила срочное исправление; по данным PV Tech, его развернули 25 августа на всех уровнях iSolarCloud, а в середине сентября повторная проверка подтвердила, что ошибка больше не воспроизводится. Публично историю рассказали в начале октября.

Насколько это было опасно

По оценке Штарклоффа, через облако можно было одновременно отключить около 17 ГВт солнечной мощности в Европе в солнечный летний полдень. Сам исследователь сомневается, что европейская энергосистема выдержала бы такой скачок без аварии.

Sungrow признала ошибку в модуле входа, но не согласилась с оценкой последствий: по словам компании, для критичных действий — обновления прошивки и изменения настроек — требуются дополнительный пароль и двухфакторная проверка. Компания заявила, что не нашла следов использования уязвимости кем-то, кроме исследователя, а утечек данных и вмешательства в работу станций не было. BSI тоже не обнаружило атак, но отметило, что облачные платформы, через которые управляют большими мощностями, — системный риск. При этом инверторы пока не попадают под обязательные требования по кибербезопасности в Германии и ЕС.

Показатель	Значение
Станций с доступом в Европе	470 тыс.
Из них в Германии	250 тыс.
Мощность, которую можно было отключить, по оценке исследователя	около 17 ГВт
Как найдена ошибка	тип входа № 5 игнорировал пароль
Следы атак	не найдены

Что это значит для России

Большинство гибридных инверторов, которые продаются в России, тоже подключаются к облачному мониторингу производителя через Wi-Fi-модуль или 4G. Эта история не значит, что у других платформ есть такая же ошибка, но показывает общий принцип: облако — единая точка, через которую можно добраться до тысяч станций сразу. Для владельца частного дома главный риск — не отключение энергосистемы, а чужие руки в настройках своей станции и аккумулятора.

Важно помнить, что инвертор работает и без интернета: облако нужно для графиков и удалённых настроек, а не для выработки и резерва. Если связь с сервером пропадёт, станция продолжит питать дом. Варианты мониторинга с облаком и без него мы разбирали в статье «Мониторинг станции без интернета: Wi-Fi, 4G, LAN», а на что смотреть в приложении — в материале «Мониторинг солнечной станции: что смотреть владельцу».

При выборе гибридного инвертора стоит спросить, можно ли смотреть данные локально, как часто обновляется прошивка модуля связи и есть ли в приложении двухфакторный вход.

Выводы

• Облачный мониторинг удобен, но через него можно получить доступ сразу к тысячам станций — производители ошибаются.
• Поставьте отдельный сложный пароль на аккаунт мониторинга и включите двухфакторный вход, если он есть.
• Не давайте доступ к аккаунту посторонним и отзывайте доступ монтажника, если он больше не обслуживает станцию.
• Станция и резерв работают без интернета: если удалённое управление не нужно, его можно отключить и оставить только просмотр.

Источник: PV Tech, hessenschau, ZfK, Jakkaru, Sungrow, Федеральное ведомство по информационной безопасности Германии (BSI).