Vzdálené vypnutí vede k mega-blackoutu: Hacker ovládl 2,2 milionu solárních systémů

Žádné heslo. Žádná tajná služba. Žádné vyhlášení války. Jediný výzkumník v oblasti IT bezpečnosti měl najednou kontrolu nad zhruba 473 000 solárními elektrárnami v Evropě, z toho 250 000 v Německu. Celosvětově jich bylo 2,2 milionu. Mohl je všechny najednou vypnout.

Oznámil to německý deník „Die Zeit“ a zprávu převzal deník Tagesspiegel. Dotčenou společností byla společnost Sungrow, jeden z největších světových výrobců střídačů se sídlem v Číně. Střídače jsou zařízení, která přenášejí elektřinu ze střechy do elektrické sítě domu a poté do veřejné sítě. Výpadek proudu byl od té doby vyřešen. Otázka, jak blízko byla Evropa k rozsáhlému blackoutu, zůstává nezodpovězena.

Přesně o tomto scénáři jsme informovali již v říjnu 2024: výrobci schopni ovládat stovky tisíc solárních systémů současně přes internet. Tehdy to bylo odmítnuto jako alarmující. Dnes německý Spolkový úřad pro informační bezpečnost (BSI) klasifikuje situaci jako kritickou.

Z zákaznického účtu do řídicího centra

Zranitelnost objevil Marlon Starkloff, výkonný ředitel německé firmy Jakkaru, která se zabývá IT bezpečností. Nejprve získal přístup k zákaznickým účtům na online portálu Sungrow bez hesla. Odtud postupoval krok za krokem, až nakonec získal přístup k administrativním účtům samotného výrobce, který je zodpovědný za celou Evropu.

Podle YouTube kanálu „Energie & Outdoor Chiemgau“ narazil také na přístup k významným německým dodavatelům solární energie, jako jsou Enpal a 1Komma5°. Právě tyto společnosti spravují pro své zákazníky desítky tisíc systémů.

Odtud mohl Starkloff vypnout systémy nebo nainstalovat malware. Nejen v jednom domě, ale ve všech současně. Nizozemský bezpečnostní expert Harm van den Brink nenechává nikoho na pochybách: „To by rozhodně způsobilo výpadek proudu.“

Podle Starkloffa společnost Sungrow zranitelnost odstranila během jednoho dne. Výrobce uvádí, že neexistují žádné náznaky o dalších útočnících. Společnost Sungrow neodpověděla na otázky ohledně skutečného rozsahu zranitelnosti ani na to, zda byly informovány úřady a zákazníci.

18 gigawattů na jedné obrazovce

Video ilustruje, kolik elektřiny dodával tento jediný přístupový bod. Snímek obrazovky z evropského řídicího centra z konce srpna ukazuje, že zařízení v daném okamžiku dodávala téměř 18 gigawattů elektřiny. To odpovídá výkonu přibližně dvanácti jaderných elektráren.

Evropská energetická síť zvládne náhlý výpadek přibližně 3 gigawattů, což zhruba odpovídá dvěma velkým elektrárnám. V ten den byla platforma Sungrow schopna jediným příkazem ovládat pětkrát až šestkrát toto množství.

Vteřiny do kolapsu

Energetická síť funguje pouze tehdy, je-li výroba a spotřeba neustále v rovnováze. Pokud dojde k náhlému a významnému výpadku proudu, systém se během několika sekund rozpadne. Elektrárny a celé regiony se poté automaticky vypnou, aby se ochránily. Začne dominový efekt a žádná záložní elektrárna ho nedokáže zastavit dostatečně rychle.

Evropa zažila podobnou situaci 28. dubna 2025. Ve Španělsku a Portugalsku zhasla světla během několika sekund a zůstala vypnutá celé hodiny. Příčinou nebyl útok, ale technický problém. Nicméně tento den ukázal, jak rychle se věci mohou změnit.

Celoevropský kolaps by byl mnohem obtížnější napravit. Síť by musela být znovu vybudována kus po kusu. Video popisuje, co by to mohlo znamenat: dny bez tekoucí vody, topení, telefonu nebo internetu; prázdné supermarkety; a žádné platby kartou.

Ani Peking nestačí

Případ má nepříjemný zvrat: hromadné uzavření nevyžaduje obchodní válku ani příkaz z Pekingu. Stačí špatně zabezpečená internetová platforma. A tato platforma je přístupná komukoli, kdo ji najde: zločincům, vyděračům, znuděným hackerům nebo dokonce státu. To, že zranitelnost tentokrát objevil poctivý hacker, byla čirá náhoda. Místo aby ji prodal vyděračům nebo zahraničním zpravodajským agenturám, nahlásil ji. O takový přístup by se našli kupci.

Nejedná se o ojedinělý incident. Již v březnu 2025 bezpečnostní výzkumníci odhalili desítky zranitelností u několika významných výrobců, včetně německé společnosti SMA. Problém tedy není jen čínský, ale ovlivňuje celé odvětví. V květnu 2025 tisková agentura Reuters s odvoláním na dva anonymní zdroje také informovala o skrytých rádiových součástkách v některých čínských zařízeních. Toto zjištění nebylo dodnes nezávisle potvrzeno a Čína tato obvinění popírá. Vzorec je vždy stejný: statisíce systémů jsou připojeny k několika centrálním platformám. Kdokoli ovládá platformu, ovládá i moc, bez ohledu na to, ve které zemi se server nachází.

Co se musí stát teď

Řešením není démonizovat fotovoltaiku. Problém nejsou střešní systémy. Problém je v tom, že jsou všechny připojeny k centrálnímu řídicímu bodu přes internet. Neměli bychom čekat, až politici zasáhnou. Směrnice EU, která má chránit právě tento druh kritické infrastruktury, měla být do národního práva transponována do října 2024. Rakousko a Německo tento termín promeškaly. Další zákon EU o bezpečnosti síťových zařízení vstoupí v platnost až koncem roku 2027. Do té doby bude objevena další mezera v legislativě; otázkou je pouze, kým?

Řešení by bylo jednodušší, než si mnozí myslí. Nevyžaduje nové úřady, ale spíše jasná pravidla v místě, kde elektřina skutečně proudí do sítě. Ne najednou. Ani dnes se solární elektrárny nesmí po výpadku proudu restartovat současně, ale pouze postupně. Stejné pravidlo by mělo platit pro příkazy z internetu. I kdyby hacker stiskl tlačítko, systémy by nereagovaly ve stejnou sekundu, ale během několika minut. Dostatečný čas na to, aby síť problém vyřešila. Sledování ano, přepínání ne.

Provozovatelé sítí, tedy společnosti, které provozují naše elektrické vedení, již určují, které systémy se mohou k síti připojit. Mohli by stanovit, že výrobci mohou přes internet vidět, kolik elektřiny systém generuje. Nesmí však být schopni jej dálkově vypnout. Žádná platforma by neměla být větší, než síť zvládne. Žádný jednotlivý poskytovatel by neměl být schopen na dálku ovládat více energie, než síť zvládne v nejhorším případě. Zobrazení 18 gigawattů na obrazovce by prostě nemělo být povoleno. A každý, kdo má na střeše solární systém, může okamžitě jednat: zeptat se svého instalatéra, zda systém funguje bez internetového připojení k výrobci a zda lze dálkové ovládání deaktivovat. Co není připojeno k internetu, nelze přes internet vypnout.

Dva roky pro „téměř“

Když jsme se v říjnu 2024 ptali, zda Evropě hrozí výpadek proudu kvůli dálkovému vypnutí čínské solární technologie, někteří kritici rychle nabídli odpověď: strašení. Zatím neexistoval žádný příklad z reálného světa, pouze varování od odborníků, jako je nizozemský softwarový vývojář Bert Hubert. Nyní tu máme příklad. Ne výpadek proudu, ale hypotetický, s 18 gigawatty na jediné obrazovce. Upřímně řečeno, jsme docela rádi, že důkazy pocházejí od bezpečnostního výzkumníka a ne od někoho s postranními úmysly. Zda další „téměř“ zůstane jen tím – téměř – nikdo nemůže slíbit.

Je nutná oprava našeho předchozího článku: Psali jsme, že záložní elektrárny by potřebovaly hodiny, aby zaplnily mezeru. Pravda je mnohem nepříjemnější. O takovém výpadku se rozhoduje během několika sekund. A agresorem nemusí být stát. Otázka roku 2024 je proto naléhavější než kdy jindy: Kdo smí dálkově ovládat velkou část našich dodávek elektřiny? Neměli bychom se spoléhat na odpověď z Bruselu. Řešení již existuje. Jen je třeba ho implementovat.

Článek od Lothara Renze

Zdroje:

• Die Zeit / Der Tagesspiegel (7. října 2026)
• YouTube kanál „ Energie a outdoor Chiemgau “
• The Hacker News (březen 2025)
• Časopis PV / Reuters (květen 2025)