Una nueva clase de ataques basados en internet está convirtiendo la infraestructura de energía solar en un objetivo de alto riesgo, permitiendo a los hackers interrumpir la producción de energía en minutos utilizando solo puertos abiertos y herramientas gratuitas. Las granjas solares modernas dependen de tecnología operativa en red, incluyendo controladores SCADA y cajas de monitorización de cadenas, muchas de las cuales todavía utilizan Modbus, un protocolo heredado

Una nueva clase de ataques basados en internet está convirtiendo la infraestructura de energía solar en un objetivo de alto riesgo, permitiendo a los hackers interrumpir la producción de energía en minutos utilizando simplemente puertos abiertos y herramientas gratuitas.

Las granjas solares modernas dependen de tecnología operativa en red, incluyendo controladores SCADA y cajas de monitoreo de cadenas, muchas de las cuales todavía utilizan Modbus, un protocolo heredado sin seguridad incorporada.

Cuando estos dispositivos están expuestos en línea, los atacantes pueden enviar comandos de control de forma remota que cortan la energía en días claros y soleados con un solo paquete.

Esto muestra cómo los actores de amenazas están lógicamente integrados con los módulos fotovoltaicos, las cajas de monitoreo de cadenas y los sistemas SCADA.

Los analistas de Cato Networks notaron intentos de reconocimiento y explotación a gran escala dirigidos a las cajas de monitoreo de cadenas habilitadas para Modbus que gobiernan directamente la producción de paneles solares.

Al abusar de Modbus sobre TCP, típicamente expuesto en el puerto 502, los adversarios pueden leer el estado del dispositivo y luego activar bits de control que encienden o apagan las cadenas.

No hay necesidad de exploits de día cero o cargas útiles complejas; el riesgo proviene de los servicios predeterminadamente abiertos y los protocolos inseguros por diseño. Una vez que un atacante identifica un dispositivo accesible, el tiempo desde la primera sonda hasta una interrupción de energía impactante puede reducirse de días a minutos.

Los investigadores de Cato Networks encontraron que estos ataques se amplían aún más cuando se combinan con marcos de IA basados en agentes que automatizan el escaneo, la huella digital y la inyección de comandos contra los activos OT.

Las herramientas impulsadas por IA pueden rastrear grandes rangos de IP, descubrir servicios Modbus expuestos y probar registros de escritura a la velocidad de la máquina. Esto cambia el modelo de amenaza para los operadores solares, ya que los defensores humanos luchan por seguir el ritmo de ese ritmo en la monitorización y la respuesta.

El análisis de la fuente destaca el punto débil: la caja de monitoreo de cadenas, que habla Modbus y conecta las cadenas fotovoltaicas al “cerebro” SCADA. Una vez que esta caja se ve comprometida, el atacante se convierte efectivamente en un operador SCADA fraudulento.

Pueden usar códigos de función Modbus simples para leer los registros de retención de voltaje y corriente, y luego escribir valores de bobina o registro que cambian el estado del sistema. En muchas implementaciones, estas cajas se sientan en redes planas, sin segmentación entre IT y OT, lo que facilita aún más el movimiento lateral.

Manipulación a Nivel de Comando sobre Modbus

En el corazón de esta amenaza está la manipulación directa de registros sobre Modbus/TCP. Los atacantes comienzan con un descubrimiento básico utilizando los scripts Modbus NSE de Nmap para confirmar que un host está ejecutando Modbus en el puerto 502 y para enumerar los ID de los dispositivos.

Un comando Nmap típico para el reconocimiento OT se ve así:-

bashnmap -sV -p 502 --script modbus-discover <target-ip>

Este paso revela qué ID de unidad responden y qué códigos de función son compatibles. A partir de ahí, los adversarios se trasladan a herramientas como mbpoll o modbus-cli para leer y escribir registros.

Por ejemplo, un operador malicioso podría intentar apagar una cadena fotovoltaica escribiendo un valor específico en un registro de control:-

bashmbpoll -m tcp -t 0 -r 0xAC00 -0 1 <target-ip>
# 0xAC00 mapeado como APAGAR

En casos documentados, los registros como 0xAC00 y 0xAC01 se mapean a “APAGAR” y “ENCENDER”, respectivamente.

Al buclear estos comandos, un atacante podría alternar rápidamente las cadenas, estresar los inversores o reducir silenciosamente la producción mientras deja la planta en línea.

Cuando se envuelven en lógica impulsada por IA, los scripts pueden sondear continuamente para obtener aceptación, volver a intentar escrituras fallidas y adaptarse a las defensas parciales, convirtiendo simples ajustes de registros en exploits fiables y repetibles.

El informe de Cato Networks subraya el problema con una alerta real en el puerto Modbus 502 expuesto, calificado como de alto riesgo y vinculado a reglas de firewall demasiado permisivas.

En conjunto, estos hallazgos proporcionan un desglose técnico completo de cómo se pueden explotar los servicios Modbus expuestos a internet en los activos solares para causar una interrupción de la red rápida y de alto impacto.