Un solo vecino con un dron puede dejar sin luz a decenas de hogares: vulnerabilidad en inversores Hoymiles

Un panel solar en el balcón parece un objeto doméstico sencillo, pero en algunos casos no solo el propietario puede controlarlo. Chaos Computer Club advirtió sobre vulnerabilidades peligrosas en inversores Hoymiles, que se utilizan en instalaciones solares de balcón y en azoteas.

El problema lo descubrió un especialista en seguridad con la participación de Chaos Computer Club. Según la organización, un atacante con un módulo de radio económico puede localizar instalaciones vulnerables cercanas, acceder a los datos y controlar los inversores de forma remota. En el peor de los casos, esos dispositivos se pueden apagar, cambiar sus ajustes, borrar el firmware o cargar código malicioso.

Hoymiles fabrica inversores para paneles solares y, según sus propios datos, ocupa alrededor del 20% del mercado europeo. En CCC consideran que la empresa trata la seguridad de los dispositivos conectados a la red eléctrica con demasiada laxitud. El fabricante ofrece gestionar los dispositivos a través de la nube, pero parte de los datos entre el inversor y el controlador se transmite mediante protocolos de radio propietarios en las bandas de 868 MHz y 2,4 GHz.

Esos protocolos permiten leer la estadística de funcionamiento de la instalación, suministrar y cortar la energía, cambiar parámetros de la red y actualizar el firmware. Las órdenes requieren una clave, pero la clave de fábrica resultó ser, de hecho, el número de serie del dispositivo. El problema se agravó cuando en el firmware se descubrió una función no documentada que encuentra todos los inversores Hoymiles cercanos. En respuesta a tal consulta, el inversor transmite el número de serie en texto claro.

En CCC afirman que, al revisar barrios residenciales, consiguieron encontrar decenas de instalaciones solares vulnerables. El equipo atacante se puede montar incluso en un dron si el módulo de radio adecuado no viene integrado desde el principio.

Según CCC, Hoymiles no reaccionó cuando se le notificaron las vulnerabilidades y no publicó una actualización. La organización aconseja a los propietarios de instalaciones Hoymiles partir de la premisa de que, por ahora, los dispositivos se pueden controlar de forma remota desde la zona de radio. CCC recomienda como mínimo establecer una contraseña en el sistema original Hoymiles DTU, aunque dicha protección, según la información disponible, no cubre todas las variantes de ataque.

Chaos Computer Club instó a los desarrolladores de OpenDTU y a otros especialistas a buscar juntos una solución sostenible. Según la organización, una de las opciones es actualizar abiertamente el firmware de los módulos de radio o usar un firmware alternativo en el que, en lugar de números de serie visibles, los datos se protejan criptográficamente, por ejemplo mediante AES.

CCC también exige a los reguladores endurecer las normas para los dispositivos que inyectan energía en la red. La organización considera que el equipo que recibe actualizaciones por radio, pero que no puede confirmar de manera fiable la autenticidad del remitente, no debería poder comercializarse en la Unión Europea. Además, CCC insiste en que el control de las instalaciones energéticas debe realizarse localmente y de forma segura, sin dependencia permanente de servidores en la nube extranjeros.