Europese wind- en zonneparken

In het kort. Onderzoekers van het bedrijf Modat en het Nederlandse cybercentrum NCSC vonden 8.547 systemen van Europese wind- en zonneparken die vanaf internet te bereiken zijn, waarvan 605 bij windparken.¹² Er is geen aanval gemeld, maar de pagina's zijn voor iedereen te vinden, dus ook voor aanvallers. Bij één windturbine stonden zelfs de knoppen Start, Stop en Reset in beeld.¹ Het gevolg is dus een risico en nog geen schade, en een aanval op minstens dertig parken in Polen eind 2025 laat zien dat zulke aanvallen echt voorkomen.³

Aanvalspad onbekend: ✅ 1 bevestigd · 🔎 1 gemeld · 🧠 3 afgeleid · ❓ 1 onbekend

1. In één oogopslag

2. Wat er gebeurde

Het onderzoek. Modat is een bedrijf in Den Haag dat internet doorzoekt op apparaten die online staan.¹ Samen met een medewerker van het NCSC, de Nederlandse dienst voor cyberveiligheid, maakte Modat een overzicht van alle werkende wind- en zonneparken in 40 Europese landen.¹² Daarna zochten ze de systemen die bij die parken horen en die iedereen vanaf internet kan bereiken.⁷ Daarvoor gebruikten ze een zoekprogramma van Modat met machine learning, waarbij een computer zelf patronen leert vinden. Dat programma zet vergelijkbare systemen automatisch bij elkaar. Zo vonden ze ook soorten apparaten waar nog niemand zoekregels voor had geschreven.¹ Modat schrijft dat AI het in kaart brengen van alle plekken waar een aanvaller binnen kan komen, nu in uren mogelijk maakt.⁷

6 oktober 2026. De onderzoekers presenteren hun resultaten op de ONE Conference in Den Haag.¹ Ze vonden 8.547 systemen die niet bereikbaar hadden mogen zijn, in 35 van de 40 onderzochte landen.¹ Daarvan hoorden 7.942 bij zonneparken en 605 bij windparken.¹ Bij wind staan Duitsland (212) en Italië (192) bovenaan, samen goed voor 67 procent.¹ In Nederland gaat het om 9 systemen bij windparken en 132 bij zonneparken.¹

Het gaat om systemen en niet om windturbines of zonnepanelen. Soms bedient één systeem meerdere turbines of een heel park.¹ Het aantal is bovendien een ondergrens. Alleen systemen die de onderzoekers met zekerheid aan een park konden koppelen, tellen mee.¹

Wat er te zien was. De meeste gevonden systemen zijn beheerpagina's met een inlogscherm.² Sommige inlogpagina's noemen de naam van het windpark dat ze beschermen. Op één pagina stond dat de standaardnaam van de gebruiker "root" is.¹ Bij één windturbine liet de webpagina live gegevens zien, de plek van de turbine op een kaart en de knoppen Start, Stop en Reset.¹ Volgens de onderzoekers was volledige besturing mogelijk bij ongeveer 181 locaties. Dat is een schatting. Wat "volledige besturing" precies is, staat niet in de openbare tekst.²⁶⁷

Wat de onderzoekers adviseren. Haal beheerpagina's meteen van internet. Ga ervan uit dat een aanvaller al binnen kan zijn. Zorg voor veilige verbindingen. Bedenk hoe je een park ook met de hand kunt bedienen. Houd overzicht van alle systemen en van alle toegang, ook die van leveranciers en onderhoudsbedrijven. En deel informatie met anderen in de sector.¹ De oprichter van Modat zegt: "What we can map in hours, an attacker can map in hours too."¹

Hoe de gegevens zijn gedeeld. Alleen totalen per land zijn openbaar. Namen van parken en eigenaren, IP-adressen en plaatsen blijven geheim. Getroffen partijen krijgen bericht via hun nationale CERT, het meldpunt voor digitale incidenten van dat land.¹ Op 7 oktober meldde Modat dat veel beheerders vroegen of hun systemen bij de bevindingen horen. Elke beheerder die dat vraagt, krijgt antwoord.⁸ Het Europese cyberagentschap ENISA had volgens Reuters geen directe reactie. Autoriteiten in Duitsland, Italië en Spanje reageerden niet direct.²

Waarom Polen erbij hoort. Reuters meldt dat het onderzoek de aanval in Polen van december 2025 noemt als voorbeeld van het gevaar.² Dat was een andere gebeurtenis, op andere installaties. Op 29 december 2025 werden minstens dertig wind- en zonneparken in Polen getroffen. De aanval was alleen bedoeld om dingen kapot te maken.⁹³ De parken raakten de verbinding met hun netbeheerder kwijt en konden niet meer op afstand worden bediend. De stroomproductie liep gewoon door.³¹⁰ De aanvallers kwamen binnen via een VPN-apparaat, de beveiligde toegangspoort van het park. Dat apparaat was vanaf internet bereikbaar en liet inloggen toe zonder tweede inlogstap.¹⁰ Daarna maakten ze besturingsapparatuur onbruikbaar, onder meer met standaardwachtwoorden die niemand had veranderd.¹¹¹²¹³ CERT Polska ziet overlap tussen de gebruikte infrastructuur en die van een groep die al lang interesse heeft in de energiesector. Voor een andere groep, Sandworm, zijn de overeenkomsten volgens CERT Polska te algemeen om iets vast te stellen.¹⁴ In de gelezen bronnen is niets te vinden dat de Poolse aanvallers een van de nu gevonden systemen gebruikten.¹⁵

Eerdere aanvallen op windenergie. In 2022 verloren ongeveer 5.800 turbines van Enercon, een fabrikant van windturbines, de verbinding voor bewaking en bediening op afstand. Samen waren ze goed voor 11 gigawatt. Dat gebeurde na een aanval op het satellietnetwerk KA-SAT.¹⁶¹⁷ De Europese Unie schreef die aanval toe aan Rusland.¹⁸ In datzelfde jaar werd ook Deutsche Windtechnik, een bedrijf dat turbines onderhoudt, getroffen door een aanval op de eigen computersystemen. Het bedrijf schakelde de verbindingen met de turbines een tot twee dagen uit voor de veiligheid. Het zag geen schade aan de turbines.¹⁷

3. Het aanvalspad

Er is geen aanval gemeld op de gevonden systemen. Dit hoofdstuk beschrijft daarom geen aanval die is gebeurd, maar wat een aanvaller kan doen met zo'n open systeem. De blootstelling zelf is bevestigd (✅). De volgende stappen zijn afgeleid (🧠) of een schatting van de onderzoekers (🔎). Of het al is gebeurd, is onbekend (❓).

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

Ter vergelijking: de aanval op Poolse wind- en zonneparken (29 december 2025). CERT Polska beschrijft dit pad in zijn rapport. Het is een andere gebeurtenis, maar het laat zien hoe aanvallers bij zulke parken te werk gaan. Alle stappen komen uit dat rapport (✅), tenzij anders vermeld. Deze tabel telt niet mee in de telling bovenaan.

4. Waarom het lukte

Er is niets "gelukt" in de zin van een aanval. Dit zijn de omstandigheden die zo'n aanval mogelijk maken. Waarom elk systeem open stond, is niet gemeld.

1. De pagina's staan rechtstreeks op internet. De onderzoekers noemen dit systemen die niet bereikbaar hadden mogen zijn.¹ Wie ze vindt, hoeft niet eerst het netwerk van het park binnen te dringen. De deur staat al op een kier.
2. Parken worden op afstand beheerd. Een windpark of zonnepark heeft meestal geen mensen ter plaatse. In Polen waren de onderstations van de parken onbemand, met toegang op afstand voor beheer en onderhoud.³⁶ Zo'n toegang is dus nodig. Waarom de nu gevonden systemen open stonden, is niet gemeld.
3. Niemand houdt er goed zicht op. Volgens Modat zijn wind en zon digitaal versnipperd, vaak bereikbaar vanaf internet en niet altijd bewaakt.¹³⁷ Voor sommige soorten apparaten bestonden nog geen zoekregels.¹ Wat je niet ziet, kun je niet beschermen.
4. Standaardinstellingen en één slot. In Polen gebruikten de aanvallers standaardwachtwoorden en een toegangspoort zonder tweede inlogstap.¹⁰¹¹¹³ CERT Polska schrijft dat het in de sector gebruikelijk is om dezelfde wachtwoorden bij meerdere parken te gebruiken.¹⁰ Bij de nu gevonden systemen noemt het onderzoek één inlogpagina die de standaardnaam van de gebruiker toont.¹ Of dit breder speelt, is niet gemeld.
5. Veel partijen hebben toegang. Dit punt is afgeleid. De onderzoekers en een securitybedrijf adviseren om alle toegang in kaart te brengen, ook die van leveranciers, installateurs en onderhoudsbedrijven.¹³⁸ Dat past bij een situatie waarin meerdere partijen verbindingen hebben die de eigenaar niet altijd overziet. De bronnen zeggen niet dat dit hier de oorzaak is.³⁹

5. Wat het had kunnen stoppen

Dit zijn voorstellen op basis van de bronnen. Ze zijn niet getest bij de betrokken parken. De staptallen verwijzen naar de tabel in hoofdstuk 3.

6. Lessen

Voor bestuur en management - ☐ Weten wij welke systemen van onze parken vanaf internet te openen zijn, en wie ze beheert?¹ - ☐ Is er één verantwoordelijke voor alle toegang van buiten, ook die van leveranciers en installateurs?³⁸ - ☐ Kunnen we een park handmatig of lokaal laten draaien als de afstandsbediening wegvalt? Is dat geoefend?¹ - ☐ Hebben we gevraagd of onze systemen bij de bevindingen horen? Modat zegt dat elke beheerder die dat vraagt, antwoord krijgt.⁸ - ☐ Keurt het bestuur de maatregelen goed en houdt het er toezicht op? Help Net Security wijst erop dat de Europese regel NIS2 dat van besturen van belangrijke organisaties vraagt.⁴⁰

Voor IT en security - ☐ Zoek zelf met een zoekmachine voor apparaten naar uw eigen adressen en beheerpagina's, zoals de onderzoekers deden.¹ - ☐ Haal beheerpagina's van internet, of zet ze achter een bewaakte verbinding met een tweede inlogstap.¹³⁸ - ☐ Vervang alle standaardwachtwoorden en gebruik per park eigen accounts.³⁸¹⁰ - ☐ Controleer of firmware-updates een digitale handtekening eisen en of die functie aanstaat.²⁶ - ☐ Bewaar logs buiten het apparaat zelf.¹⁰ - ☐ Ga uit van een inbraak: bewaak en plan alsof een aanvaller al binnen is.¹ - ☐ Vraag Modat of uw systemen in de bevindingen staan (research@modat.io) en praat met uw nationale CERT.⁸¹

Voor iedere medewerker - ☐ Sluit nooit zelf een apparaat of modem aan op internet zonder dat IT of OT het weet. - ☐ Verander het standaardwachtwoord als u apparatuur installeert of vervangt.¹¹³⁸ - ☐ Deel geen wachtwoorden en gebruik niet hetzelfde wachtwoord voor meerdere parken.¹⁰ - ☐ Meld vreemd gedrag van een installatie of een onverwachte inlogmelding meteen.

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Gebruikte versie: ATT&CK Enterprise v19, data v19.2.⁴¹ In v19 is Defense Evasion opgesplitst in Stealth (TA0005) en Defense Impairment (TA0112). T1562 (Impair Defenses) is vervangen door T1685 Disable or Modify Tools.⁴² In de gelezen bronnen over de gevonden systemen staat geen aanwijzing voor Defense Impairment, dus ook niet voor T1685. Sommige sub-technieken van T1562 zijn naar een andere plek verhuisd. CERT Polska noemt in zijn rapport over de Poolse aanvallen nog T1562.013 (de firewall van een netwerkapparaat aanpassen). Die staat in v19 onder T1686.002 Disable or Modify System Firewall: Network Device Firewall, een onderdeel van T1686.⁴³⁴⁴⁴⁵

Er is geen aanval gemeld op de gevonden systemen. Onderstaande tabel scheidt wat in het onderzoek is gemeld, wat is afgeleid en wat in Polen is gezien.

ATT&CK for ICS. CERT Polska mapt de Poolse aanval ook op ATT&CK for ICS.⁴⁵ Voor de acties die op de gevonden pagina's zichtbaar zijn, passen daar onder meer T0816 Device Restart/Shutdown⁵¹ en T0831 Manipulation of Control⁵² bij (🧠). Sinds v19 zijn sommige ICS-ID's veranderd: T0857 (System Firmware) is nu T1693.001⁵³ en T0812 (Default Credentials) is nu T1694.001.⁵⁴ De ICS-mapping is voor dit incident niet verder uitgewerkt, omdat deze case ATT&CK Enterprise volgt.

Software en malware. Voor de gevonden systemen is geen software of malware gemeld. In Polen gebruikten de aanvallers op een HMI-computer onder meer Impacket, een verzameling scripts voor netwerkcommando's.¹³⁵⁵ Als wiper gebruikten ze DynoWiper. CERT Polska kan die niet aan een bekende malwarefamilie koppelen en ziet slechts algemene overeenkomsten met wipers die aan de groep Sandworm worden gekoppeld. Er is dus geen ATT&CK-pagina voor.⁵⁶¹⁴ Een andere wiper (LazyWiper, een PowerShell-script dat waarschijnlijk met een taalmodel is gemaakt) werd bij een industrieel bedrijf gebruikt en niet bij de parken.⁵⁷

Kwetsbaarheden

In de gelezen bronnen over het onderzoek staat geen CVE. Het gaat om systemen die niet bereikbaar hadden mogen zijn, niet om een gemelde softwarefout.¹⁷

Ter vergelijking noemt CERT Polska bij de Poolse aanval CVE-2024-2617. Dat lek maakt het mogelijk om de controle op digitale handtekeningen bij firmware-updates van de Hitachi-RTU's te omzeilen. Het is verholpen in versie 13.7.7. Het lek was voor deze aanval niet nodig, omdat de handtekeningcontrole op de apparaten niet aanstond.²⁶

Sporen van de aanvallers

Er is geen aanval gemeld en het onderzoek publiceert bewust geen IP-adressen, parknamen of locaties.¹ Voor de Poolse aanval publiceerde CERT Polska IP-adressen, bestandshashes en een YARA-regel in zijn rapport. Die staan hier niet herhaald: het zijn gekaapte servers van derden, en zulke adressen zijn snel verouderd. Zie het rapport zelf.⁵⁸

Detectie en respons

Detectie. - Zoek naar de eigen systemen met een scan-database. Dat is wat de onderzoekers deden (🧠, voorstel).¹²⁰ - Let op netwerkscans en inlogpogingen op besturingsapparatuur. In Polen waren die vier dagen vóór de aanval te zien in de logs van één leverancier.¹² - Alarm op inlogs met standaardaccounts en op het uploaden van firmware. Bij de Hitachi-RTU's stond de firmware-actie in het eventlog.¹¹ - Bewaar logs van VPN-apparaten buiten het apparaat zelf. In Polen waren alle onderzochte VPN-apparaten op de dag van de aanval teruggezet naar fabrieksinstellingen en waren geen volledige logs terug te vinden.¹⁰ - Voor DynoWiper publiceerde CERT Polska een YARA-regel.⁵⁸

Respons. - Volg het advies van de onderzoekers: beheerpagina's van internet, uitgaan van inbraak, veilige verbindingen, handmatige bediening als terugval, procedures per dreigingsniveau, overzicht van toegang inclusief leveranciers, en informatie delen.¹ - Neem contact op met uw nationale CERT en vraag bij Modat of uw systemen in de bevindingen staan.¹⁸ - Zorg dat het park ook zonder afstandsbediening veilig blijft draaien. In Polen ging de productie door, maar de koppeling met de netbeheerder en de afstandsbediening vielen weg.³

8. Wat we niet weten

• Is een van de open systemen al misbruikt? In de gelezen bronnen is dat niet gemeld. Alleen de beheerders, de CERT's of Modat kunnen dat weten.³⁰⁸
• Wat is "volledige besturing" bij 181 locaties? Het cijfer staat bij Reuters en in een vakblad. Modat definieert het in de openbare tekst niet.²⁶⁷ Het volledige rapport staat achter een aanmeldformulier. Dat formulier is niet ingevuld, dus de methode en de details zijn hier niet gecontroleerd.
• Hoeveel pagina's vragen een wachtwoord? Reuters meldt dat de meeste een inlogscherm hebben.² Een securitybedrijf schrijft dat de meeste "login pages" zijn en dus nog geen open bedieningspanelen.³⁸ Een telling per soort is niet openbaar. Het antwoord kan in het volledige rapport staan.
• Werkten de knoppen Start, Stop en Reset zonder inloggen? Dat is niet gemeld.¹
• Welke fabrikanten en apparaten zijn het? Dat is niet openbaar. Help Net Security noemt voor één turbine een Siemens ET 200SP-besturing (een PLC) als voorbeeld. Dat staat in één bron en is hier niet bevestigd.⁴⁰
• Welke parken en beheerders zijn het, en zijn de gaten dicht? Namen zijn niet openbaar. Over verbeteringen na de melding is niets gepubliceerd.¹⁸
• Hoeveel systemen zijn er nog meer? Het cijfer is een ondergrens. Veel systemen met dezelfde kenmerken zijn nog niet toegewezen aan een park.¹
• Wat is de rol van het NCSC precies? Reuters noemt een NCSC-medewerker als presentator en andere vakmedia spreken van een gezamenlijk onderzoek.²⁵⁹ Er is geen eigen publicatie van het NCSC gevonden. De openbare Modat-tekst noemt de tweede auteur zonder werkgever.¹
• Hoe reageren toezichthouders en landen? ENISA gaf volgens Reuters geen directe reactie en Duitsland, Italië en Spanje reageerden niet direct.² Bij het opstellen van deze case zijn daarna geen reacties van WindEurope, het Duitse BSI of ENISA gevonden.
• Wat staat in het artikel van Wind Power Monthly? Dat artikel, waarmee HackAtlas het incident vond, kon niet worden geopend (toegang geweigerd). De feiten in deze case komen uit de bronnen in de bijlage.
• Is er een verband met de Poolse aanval? CERT Polska koppelt zijn aanval niet aan de systemen uit dit onderzoek. Of de Poolse aanvallers zulke open systemen gebruikten, is niet bekend.¹⁰¹⁵

9. Begrippen

Aanvaller: iemand die bewust probeert een systeem binnen te komen, te misbruiken of kapot te maken.

Assume breach: uitgaan van het slechtste. Je werkt en bewaakt alsof een aanvaller al binnen is.

Beheerpagina: een webpagina waarmee je een apparaat instelt of bedient, bijvoorbeeld een turbine.

CERT: een Computer Emergency Response Team. Dat is het meldpunt voor digitale incidenten van een land.

Firmware: de basissoftware in een apparaat. Is die beschadigd, dan start het apparaat vaak niet meer.

HMI: een computer met een scherm waarmee mensen een installatie volgen en bedienen.

IP-adres: het adres van een apparaat op internet. Met dat adres kun je het apparaat vinden.

Logs: een logboek waarin een systeem bijhoudt wat er gebeurt, zoals wie wanneer inlogt.

MFA: een tweede inlogstap, zoals een code op je telefoon. Een wachtwoord alleen is dan niet genoeg.

MITRE ATT&CK: een overzicht van technieken die aanvallers gebruiken. Het helpt om aanvallen op dezelfde manier te beschrijven.

Netbeheerder (DSO): het bedrijf dat het stroomnet beheert en de stroom van parken ontvangt. DSO staat voor distribution system operator.

NIS2: een Europese regel voor de digitale veiligheid van "essentiële" en "belangrijke" organisaties.⁴⁰

Ondergrens: het minimum. Het echte aantal is minstens zo hoog, maar waarschijnlijk hoger.

OT: operationele technologie. Dat zijn de computers en apparaten die machines en installaties bedienen, zoals turbines.

PLC: een industriële computer die een machine of installatie aanstuurt.

RTU: een apparaat dat een installatie op afstand bewaakt en bedient. Het praat met de netbeheerder.

Sabotage: bewust iets kapotmaken of stilzetten.

Scan-database: een zoekmachine voor apparaten die op internet staan. Je ziet er welke apparaten online zijn en wat ze tonen.

Standaardaccount of standaardwachtwoord: een naam of wachtwoord die de fabrikant meegeeft en die iedereen kent. Verandert niemand dat, dan kan iedereen inloggen.

VPN: een beveiligde verbinding over internet naar een privénetwerk, zoals dat van een windpark.

Wiper: schadelijke software die gegevens of apparaten onherstelbaar kapotmaakt. Er is geen losgeld bij.

Versies

• v1 (2026-10-10): eerste versie.

Bijlage: bronnen en noten