Des cyberattaques pourraient-elles faire tomber le réseau électrique via le solaire ?
Un groupe d’experts mandaté par la Commission européenne désigne l’onduleur connecté comme maillon faible du solaire et réclame des contrôles indépendants.
Par
Oriane Pelletier
En bref
- Le parc solaire européen est passé de 86 GW en 2015 à 406 GW en 2025.
- Trois menaces sont jugées critiques : clouds des fabricants, portes dérobées, grandes centrales.
- Le rapport demande chiffrement, contrôles indépendants et exclusion des fournisseurs à haut risque.
Oui, selon un groupe d’experts, les installations photovoltaïques européennes offrent une prise aux cyberattaques, et un piratage à grande échelle pourrait, dans le pire des cas, provoquer des pannes de courant généralisées. Aucun incident réel n’est rapporté : le rapport décrit des scénarios et des risques, relayés par Presse-citron.
Un parc en pleine explosion, un rapport pour devancer l’incident
Sur dix ans, la capacité installée a presque été multipliée par cinq. Cet essor crée toutefois une exposition inédite : le Smart Energy Expert Group (SEEG), un collectif d’experts indépendants constitué à l’initiative de la Commission européenne, a rendu public un rapport consacré aux risques de cyberattaques contre le photovoltaïque.
Ce document propose un état des lieux dont l’objectif est de combler les lacunes juridiques de l’Union européenne, avant qu’un incident de grande ampleur ne se produise.
L’onduleur, maillon faible relié à Internet
Pour les experts, le maillon faible est l’onduleur. Cet appareil convertit l’électricité en courant continu issue des panneaux en courant alternatif, que l’on peut consommer chez soi ou envoyer vers le réseau. Il est désormais relié à Internet, et donc exposé à des attaques lancées à distance.
Trois menaces jugées critiques
| Menace | Mécanisme décrit |
|---|---|
| Intrusion dans les plateformes cloud des constructeurs | Chez les particuliers comme chez les professionnels, la majorité des onduleurs communiquent avec des serveurs centraux ; si une vulnérabilité y était exploitée, un très grand nombre d’appareils pourraient être pilotés en même temps par un attaquant. |
| Portes dérobées introduites par des États tiers | Dans un climat de tensions géopolitiques et de dépendance à l’égard de matériel venu de l’étranger, les rapporteurs redoutent que des constructeurs soient contraints d’insérer des accès dérobés dans le code ou dans les composants. |
| Cibles : les grandes installations | Sur les parcs dépassant 1 mégawatt, les assaillants visent en priorité les réseaux locaux ainsi que les pare-feu servant à la maintenance à distance. |
Pour les portes dérobées, il s’agit d’une crainte exprimée par les auteurs, non d’une pratique démontrée.
Jusqu’où les dégâts pourraient aller
Si un pirate parvenait à manipuler une capacité supérieure à ces réserves, le réseau pourrait connaître des déséquilibres entre offre et demande, des congestions ou des perturbations de tension. Dans le pire des cas, cela pourrait conduire à des pannes de courant généralisées.
Les remèdes proposés
Le rapport mêle mesures techniques et évolutions réglementaires :
- imposer aux fabricants des processus stricts de gestion des vulnérabilités ;
- systématiser le chiffrement des communications ;
- bloquer les connexions entrantes non autorisées ;
- sur les sites industriels et les très grandes centrales, abandonner les mises à jour automatiques au profit d’opérations manuelles, supervisées par des spécialistes compétents ;
- classer les onduleurs parmi les produits « importants », soumis à des contrôles indépendants ;
- écarter des commandes publiques et des appels d’offres les fournisseurs présentant un risque élevé.
Le rapport relève par ailleurs que le Cyber Resilience Act comme la directive NIS2 comportent toujours de sérieuses failles, alors que le contexte géopolitique est jugé par ses auteurs comme explosif.
Photo : Gustavo Fring / Pexels
