El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) y la empresa de ciberseguridad Modat han confirmado que cerca de 8.000 activos de energía fotovoltaica (FV), tanto físicos como virtuales, en toda Europa son accesibles públicamente a través de internet, lo que expone a una amplia gama de entidades —desde operadores individuales hasta organizaciones a nivel nacional— a riesgos significativos de ciberseguridad.

Soufian El Yadmani, de Modat, y Bouke van Laethem, del NCSC-NL, presentaron estos hallazgos el 6 de octubre en la ONE Conference celebrada en el World Forum de La Haya; el informe correspondiente ya ha sido publicado oficialmente.

El estudio abarcó proyectos de energía fotovoltaica y eólica. La definición de "sistemas" fotovoltaicos abarcaba desde módulos solares independientes hasta sistemas de software capaces de controlar múltiples dispositivos o incluso plantas de energía fotovoltaica enteras; se identificó un total de 7.942 sistemas con interfaces públicas, lo que los hace vulnerables a ciberataques.

Los autores señalaron que las cifras publicadas representan un "límite inferior": el recuento incluyó únicamente los dispositivos claramente vinculados a plantas fotovoltaicas comerciales. Se espera que los esfuerzos adicionales de identificación y atribución aumenten el número de sistemas que se encuentran en un riesgo similar de exposición.

La evidencia empírica recopilada por los investigadores demostró que podían acceder directamente a las interfaces web para recuperar información confidencial, como la ubicación física de los dispositivos, datos operativos en tiempo real y archivos de registro del servidor web. En algunos casos, los usuarios no autorizados podían incluso controlar los dispositivos, ya sea de forma individual o por lotes, o "incluso plantas de energía fotovoltaica enteras".

El Yadmani, fundador y director ejecutivo de Modat, declaró: "Físicamente, la energía eólica y la energía solar son los componentes más robustos de nuestro sistema de suministro energético. Digitalmente, sin embargo, sus arquitecturas de sistema están fragmentadas; un gran número de dispositivos están expuestos directamente a internet público y, por lo general, carecen de supervisión continua. El mapeo de activos que logramos en pocas horas podría ser realizado con la misma facilidad por los atacantes en ese mismo plazo. No se pueden proteger los activos que no se pueden ver, ni ninguna entidad por sí sola puede abarcar el alcance total del riesgo".

El estudio descubrió que la exposición de muchos activos conectados se debía a una mala configuración por parte del operador o a una instalación incompleta, específicamente, a dispositivos que conservaban su configuración predeterminada de fábrica. Tales vulnerabilidades de configuración exponen el software que sustenta la infraestructura crítica a ataques maliciosos, ataques que requieren una experiencia técnica mínima y se ejecutan fácilmente.

Los autores del informe señalan la creciente prevalencia de herramientas especializadas de análisis de defensa de redes impulsadas por grandes modelos de lenguaje (LLM); esta tendencia significa que los activos expuestos a internet público tienen cada vez más probabilidades de ser identificados y explotados por actores maliciosos. Este informe sigue a un estudio especializado publicado el 1 de octubre por el Grupo de Expertos en Energía Inteligente de la Comisión Europea, que detallaba los riesgos técnicos y geopolíticos específicos a los que se enfrentan los proyectos fotovoltaicos (FV).

Riesgos de seguridad significativos derivados de la creciente capacidad fotovoltaica en Europa

Según los datos de la asociación de la industria SolarPower Europe, la rápida expansión de la capacidad fotovoltaica instalada en toda Europa ha puesto de relieve los riesgos asociados. La investigación indica que la energía solar representa el 42 % de la generación total de energía renovable en la UE, la Asociación Europea de Libre Comercio (AELC) y los países candidatos a la UE; para el segundo trimestre de 2026, las fuentes de energía renovable constituían el 54 % de la generación total de electricidad de la UE.

El estudio holandés revela que la gran mayoría de las plantas de energía fotovoltaica de Europa se concentran en España y Grecia, con 2.766 y 1.860 activos expuestos, respectivamente. Se identificó un total combinado de 2.972 instalaciones fotovoltaicas expuestas en otros ocho países: Italia, Alemania, Hungría, Turquía, Bélgica, Francia, Países Bajos y Polonia.

El estudio publicó únicamente estadísticas agregadas sobre la capacidad fotovoltaica y eólica instalada por país; no se divulgaron detalles específicos, como los nombres de las plantas de energía, la información de los operadores, las direcciones IP y las ubicaciones exactas. Una declaración conjunta del NCSC-NL y Modat indicó que las partes afectadas están siendo notificadas de los riesgos individualmente a través de sus respectivos equipos de respuesta ante emergencias informáticas (CERT) nacionales.

El equipo de investigación recomienda que los operadores fotovoltaicos implementen inmediatamente varias medidas de protección, que incluyen desconectar las interfaces de gestión de internet público y adoptar una mentalidad de "asumir la brecha" (preparándose para la respuesta a incidentes bajo el supuesto de que sus instalaciones ya han sido comprometidas). Thomas Plank, director ejecutivo de Tributech —una firma de ciberseguridad especializada en tecnología operativa (OT)—, comentó sobre el estudio: "Los operadores deben retirar estas interfaces de internet público de inmediato, pero ese paso por sí solo no puede resolver completamente el problema.

Las plantas de energía eólica y solar están en gran medida desatendidas y dispersas geográficamente, pero deben permanecer conectadas a la red; los operadores de la red, los comerciantes de energía y los contratistas de O&M requieren acceso remoto para garantizar que el equipo funcione correctamente. Desconectar estas interfaces puede reducir los riesgos de exposición, pero no altera el hecho de que miles de conexiones remotas estén ahora profundamente integradas en la infraestructura energética".