iSolarCloud: Sungrow corrige fallo crítico de autenticación

Sungrow cierra un fallo en iSolarCloud que abría cuentas sin contraseña

Sungrow ha corregido una vulnerabilidad crítica en su plataforma iSolarCloud que permitía acceder a cuentas saltándose por completo el proceso de autenticación. El fallo afectaba a todos los inversores conectados a la nube del fabricante, uno de los mayores productores de inversores del mundo.

La brecha fue descubierta por un investigador independiente que colabora con la firma alemana de ciberseguridad Jakkaru. El aviso llegó a Sungrow el 22 de agosto y el parche de emergencia ya estaba desplegado en todos los niveles de iSolarCloud el 25 de agosto, solo tres días después.

El fallo estaba en la nube, no en un modelo de inversor concreto

Marlon Starkloff, CEO de Jakkaru, aclaró que la vulnerabilidad residía en la infraestructura cloud de la compañía. No se trataba de un problema de un modelo o serie de producto específica, por lo que todos los inversores conectados a iSolarCloud quedaban potencialmente expuestos.

Sungrow asegura que el análisis de los registros de la plataforma no muestra evidencia de que nadie más que el investigador que reportó el fallo lo hubiera explotado. La compañía confirma que no hubo filtraciones de datos de clientes, interrupciones de servicio ni manipulaciones no autorizadas de sistemas.

Una prueba de verificación realizada por Jakkaru a mediados de septiembre confirmó que la vulnerabilidad ya no era reproducible.

El riesgo real: apagar plantas fotovoltaicas de forma coordinada

Starkloff advierte que los bypasses de autenticación y las escaladas de privilegios de administrador podrían ser un problema sistémico entre los fabricantes de inversores. Aunque este fallo concreto ya está parcheado, el acceso a interfaces cloud podría usarse en teoría para coordinar la desconexión de numerosas plantas fotovoltaicas.

El escenario más plausible, según el CEO de Jakkaru, sería una actualización de firmware maliciosa diseñada para apagar inversores a una hora predeterminada. El proyecto de investigación SolarFlareSec ya demostró esa posibilidad en 2024.

Sungrow subraya que las funciones críticas, como el control de dispositivos y las actualizaciones de firmware, están protegidas por capas adicionales de autenticación. Contraseñas y doble factor (2FA) impidieron que la vulnerabilidad pudiera usarse para operaciones masivas no autorizadas.

Impacto para instaladores y operadores con inversores Sungrow en cartera

Para instaladores y empresas de O&M con equipos Sungrow monitorizados vía iSolarCloud, la noticia tiene dos lecturas. La tranquilizadora: el parche se aplicó en la nube, sin necesidad de visitas a campo ni actualizaciones manuales. La de vigilancia: la superficie de ataque está en la plataforma de gestión, no en el hardware.

Si operas plantas con inversores de la marca en España o Latinoamérica, conviene confirmar que las cuentas de iSolarCloud tienen el doble factor activado. Es la capa que, según el propio fabricante, frenó el escalado del fallo.

Auditoría externa con NCC Group y presión por requisitos obligatorios

Sungrow ha encargado una evaluación de seguridad independiente a NCC Group y se compromete a implementar las mejoras que surjan de sus hallazgos. Además, la compañía ha expresado su apoyo a requisitos de seguridad obligatorios y verificables para plataformas que gestionan sistemas de energía distribuida a gran escala.

Jakkaru, por su parte, audita regularmente a grandes proveedores de inversores como Huawei y SMA, y ha investigado antes a APsystems y trabajado con Fox ESS. La investigación sobre Sungrow se realizó como proyecto independiente, precisamente por el peso del fabricante en el mercado mundial.

Claves para el sector: ciberseguridad en la gestión cloud de plantas

• Verificación de 2FA: revisa que todas las cuentas de iSolarCloud de tus plantas tengan doble factor activo.
• Resultados de NCC Group: pendiente el informe de la auditoría independiente encargada por Sungrow.
• Regulación: el apoyo del fabricante a requisitos obligatorios anticipa un debate regulatorio sobre seguridad en plataformas de energía distribuida.
• Riesgo sistémico: el aviso de Jakkaru apunta a otros fabricantes; la revisión de accesos cloud no debería limitarse a una sola marca.

Información publicada originalmente por pv magazine España.