10年間放置 脆弱な太陽光発電機器がインターネットにさらされている：Cybersecurity Dive

Forescoutの報告によると、多数の太陽光発電機器が脆弱性がある無防備な状態でインターネットに存在していることが分かった。これらは10年間にわたって放置されていたという。

[Eric Geller，Cybersecurity Dive]

　産業向けサイバーセキュリティ企業であるForescoutの新たな報告により（注1）、約3万5000台の太陽光発電機器がリモートで操作可能であり、世界中から誰でも自由にアクセスできる状態にあることが明らかになった。

脆弱性が放置された太陽光発電機器がアジアと欧州を中心に見つかる

　2025年6月3日（現地時間、以下同）に発表された報告書によると、インターネットからアクセス可能な管理インタフェースを持つこれらの露出した機器には、太陽光エネルギーインフラの運用に不可欠な装置が含まれており、42社の企業によって製造されているという。

　一部の管理インタフェースにはパスワードによる保護が施されているが、Forescoutによれば、それらの大半は本来インターネット上に公開されている必要がなく、例外がある場合でもVPNの背後に配置されるべきもののようだ。

　最も多くの機器の露出に関わっている上位10社のベンダーは、いずれも過去10年間に脆弱（ぜいじゃく）性を公表している。そのため、これらの機器がインターネットにさらされるリスクがさらに高まっている。

　再生可能エネルギーへの移行と電力網のデジタル化の進展が相まって、深刻なサイバーセキュリティリスクが発生している。Forescoutの最新の調査結果は、重要インフラ機器における安全な設計慣行の欠如が、人命を危険にさらすだけでなく、地域全体を不安定にする可能性すらあることを示した。

　Forescoutの報告書は、検索エンジン「Shodan」によってパブリックIPアドレスをスキャンした結果に基づいており、インターネットからアクセス可能な管理インタフェースを備えた太陽光発電機器の分布に関する詳細が含まれている。

　例えば、これらの機器は欧州とアジアに多く存在しており、全体の4分の3が欧州に、17％がアジアに分布している。ドイツとギリシャには、それぞれ全体の5分の1を占める機器が存在している。さらに、最も多くの機器が露出していた上位10社のベンダーは、市場シェアが最も大きい上位10社とは一致していなかった。世界的な大手企業であるHuaweiは、Forescoutのリストには含まれていない。

　SMAの太陽光発電機器「Sunny WebBox」は、太陽光インバーターの性能に関する情報を収集および報告する装置であり、リモートでアクセス可能な状態にあった機器の中で最も多く観測された。その次に多かったのは、Fronius Internationalのインバーターである。Sunny WebBoxは2015年に製造中止となっているが、Forescoutによると「最も頻繁に露出している太陽光発電機器の一つ」であり、実際、2015年9月にこの製品にハードコードされた脆弱性が研究者によって公表されたにもかかわらず、依然として使用され続けている。Forescoutによると、露出していた機器の数は2014年12月に8万台に達したが、脆弱性が公表された時点では9500台にまで減少していた。それにもかかわらず、2025年5月には1万3000台に再び増加していたという。

　サイバーセキュリティの専門家によると、既知の脆弱性を抱えたままインターネットにさらされ、製造中止となっているインフラ機器は「災害の元凶」であるという。

　産業向けサイバーセキュリティ企業であるDragosのロブ・リー氏（CEO）は次のように述べている。

　「私たちは、脅威グループがインターネットに接続されたインフラに対して、機会を積極的に利用してアクセスする様子を観察している。太陽光発電所やその他の分散型エネルギー資源はインターネットに接続される必要がある。しかし、その接続は適切に保護されるべきであり、これらのシステムが敵対者にとってどれほど魅力的であるかを考慮して、侵害される前提で対策を講じなければならない」

　一部の機器がリモートでアクセス可能な状態になっているのは、運用者がそれらの機器の存在すら把握していないためかもしれない。管理が困難な膨大なインフラの中に、それらの機器の存在が埋もれてしまっているのだ。

　産業向けサイバーセキュリティ企業であるClarotyのゲイリー・ニーランド氏（シニアプロダクトマネジャー）は、「Cybersecurity Dive」に対する電子メールで次のように述べている。

　「これらの露出した資産が、さまざまな環境でどのように通信しているのかを完全に可視化できなければ、運用者はそれらを適切に制御できない。このような経路が攻撃手段としてますます一般的になる中で、資産の可視化や通信経路のマッピングといった取り組みが、重要インフラを守るための重要な要件となるだろう」

　ニーランド氏は、誤ってオンラインにさらされた機器に存在する脆弱性について「デジタル化を急ぐ産業、特にエネルギー分野にとって、依然として慢性的な悩みの種である」と述べた。

　「攻撃者に高度なツールは必要ない。必要なのはアクセスできる環境だけだ」（ニーランド氏）

（注1）The Security Risks of Internet-Exposed Solar Power Systems（FORESCOUT）

原文へのリンク