Дыра в облаке iSolarCloud: исследователь получил доступ к станциям Sungrow без пароля. Что проверить владельцу домашней станции
Коротко: в облачном сервисе iSolarCloud, через который управляют инверторами и батареями Sungrow, нашли ошибку входа: при одном значении служебного параметра система не проверяла пароль. По данным исследователей, в Европе к облаку подключено около 470 тыс. станций. Sungrow закрыл уязвимость за сутки и 21 октября сообщил, что следов взлома не нашёл.
Что произошло
Ошибку нашёл Марлон Штарклофф из немецкой компании Jakkaru, которая занимается информационной безопасностью. 22 августа 2026 года он сообщил о ней производителю. У облака было несколько способов входа. Если в запросе указать пятый способ, система пускала в аккаунт по одному адресу почты, а поле пароля игнорировала. Зная чужую почту, можно было зайти в чужой кабинет.
Sungrow выпустил срочное исправление 25 августа сразу для всех региональных серверов облака. Повторная проверка в середине сентября показала, что ошибка больше не воспроизводится. Публично о находке рассказали 7 октября, а 21 октября издание PV Tech опубликовало итоги проверки самого Sungrow.
Насколько это было серьёзно
Оценки исследователей и производителя расходятся. Это нормально для таких историй, поэтому приводим обе стороны.
| Что говорят | Кто |
|---|---|
| Около 470 тыс. станций Sungrow в Европе подключены к облаку, из них около 250 тыс. в Германии общей мощностью 7,8 ГВт | Jakkaru, немецкая отраслевая пресса |
| Через облако можно было смотреть, менять настройки, запускать и останавливать инверторы и батареи, а также ставить новую прошивку | Jakkaru |
| Обновление прошивки и другие важные операции требуют отдельной проверки пароля и двухфакторного входа, поэтому массовые действия были бы невозможны | Sungrow |
| Утечек данных, перебоев и чужих вмешательств в станции не найдено | Sungrow; крупные немецкие установщики Enpal и 1Komma5Grad |
| Внезапную потерю нескольких гигаватт энергосистема покроет резервом за секунды | немецкие сетевые операторы TenneT и Amprion |
Отдельно немецкая пресса отмечает пробел в правилах: ни национальный закон об информационной безопасности, ни европейский регламент о киберустойчивости пока не считают инвертор критичным устройством из-за того, сколько станций стоит за одним облаком. Неделю назад о том же предупреждал регулятор Нидерландов, мы писали об этом в новостях. Теперь у предупреждения есть живой пример.
Что это значит в Беларуси
Почти любой современный гибридный или сетевой инвертор отдаёт данные в облако производителя: так владелец видит выработку в телефоне, а монтажник может удалённо помочь с настройкой. Это удобно, но облако — общая дверь для тысяч станций. Ошибка на стороне производителя от владельца не зависит, а вот слабый пароль и общий аккаунт «на всех» зависят.
Важно понимать и другое. Инвертор работает и без интернета: если облако недоступно или вы отключили связь, станция продолжит вырабатывать энергию, заряжать и разряжать батарею по уже заданным настройкам. Пропадёт только удалённый просмотр и управление. Для дома с гибридным инвертором и аккумуляторами это значит, что резервное питание не завязано на сервер в другой стране.
Если вы выбираете мониторинг или хотите разобраться с уже установленным, посмотрите раздел мониторинга и управления. Для станции с батареей, которая держит дом при отключениях, удобно начать со страницы о резервном питании.
Выводы
- Поставьте в приложении инвертора свой длинный пароль, который не используется больше нигде. Если есть двухфакторный вход, включите его.
- Не входите под одним аккаунтом с монтажником. Правильнее выдать ему доступ из своего кабинета и отозвать, когда работы закончены.
- Обновляйте прошивку только через официальное приложение или с помощью сервиса, а не по ссылкам из писем и мессенджеров.
- Если интернет на объекте пропал, станция не остановится: работа инвертора от облака не зависит.
- Ожидается, что в ЕС требования к защите облаков инверторов ужесточат. Производители, которые первыми закроют такие вопросы, получат преимущество и на нашем рынке.
Источник: PV Tech, Jakkaru, ZfK, CleanThinking, заявления Sungrow; обзор SmartEnergy.