Una investigación europea ha detectado 2.766 sistemas solares expuestos sin autenticación desde internet en España, un agujero de ciberseguridad que deja el control de la red renovable en manos no autorizadas.
El trabajo lo firman la empresa europea de inteligencia de internet Modat y el Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL), que han cartografiado las interfaces web empleadas para supervisar y controlar instalaciones de energía renovable. El resultado: 7.942 sistemas solares y 605 eólicos conectados a la internet pública en 35 países europeos, cuando no deberían ser accesibles desde la red. Ninguno debería estar ahí.
España concentra uno de cada tres sistemas solares expuestos en Europa
Los 2.766 sistemas solares españoles equivalen al 35% de los casos detectados en el continente. España, Grecia, Italia y Alemania reúnen el 76% de las instalaciones solares localizadas. En eólica, los investigadores identificaron 605 sistemas repartidos por 23 países, con Alemania e Italia sumando el 67% del total. En total son 8.547 casos, y solo los que han podido atribuir con suficiente seguridad a una instalación concreta: hay otros que no han podido vincular por falta de información.
Conviene precisar qué significa estar expuesto. No implica que alguien haya entrado ni que la planta haya sufrido un ataque: significa que una parte de la tecnología que gestiona la instalación es accesible desde la internet pública cuando debería estar protegida. En algunos casos aparece una página de inicio de sesión que pide usuario y contraseña; en otros, el hallazgo es bastante peor. Algunos ni pedían contraseña.
Detener una turbina eólica, reiniciarla o volver a ponerla en marcha desde un ordenador conectado a internet es lo que describen los autores del estudio. Una de las interfaces mostraba en tiempo real cuánta electricidad producía el aerogenerador, su ubicación y los botones para arrancarlo o pararlo. Otra revelaba el nombre del parque al que pertenecía e, incluso, que el usuario predeterminado del sistema era ‘root’, una cuenta con permisos amplios de administración.
Un panel de control abierto a internet no es una metáfora del riesgo: es la puerta física de la instalación, servida sin cerradura.
Por qué una planta acaba sin contraseña
Soufian El Yadmani, fundador de Modat, apunta al tamaño del parque renovable español y al volumen de instalaciones solares como primer factor explicativo. Pesan también la dispersión de proveedores, la rotación de las plantillas técnicas y el crecimiento acelerado de la potencia instalada, que dejan a los operadores sin un inventario fiable de los dispositivos conectados a su red. Él lo resume así: quien no sabe qué sistemas tiene, tampoco puede protegerlos. Nadie sabe cuántos son.
Lo que unos investigadores cartografían en horas, un atacante también lo cartografía en horas: la ventana de exposición no se mide en meses.
El salto de gravedad aparece cuando el acceso llega a los controladores industriales, los equipos que transmiten instrucciones a la maquinaria y gobiernan procesos físicos. En esos casos, según El Yadmani, ni siquiera hace falta explotar una vulnerabilidad: basta con estar expuesto, leer lo que la interfaz publica y entrar sin autenticación. No hace falta forzar nada.
Dejar fuera de servicio instalaciones que suministran al sistema general afectaría al acceso a la electricidad de la población y a infraestructuras críticas, aeropuertos o transporte incluidos. En un escenario severo, el impacto se mide en una ciudad o en un país entero. Para reducirlo, los autores del estudio recomiendan tres medidas de aplicación inmediata:
- Retirar de la internet pública las interfaces de administración y control de las instalaciones.
- Auditar y limitar los accesos de proveedores y empresas externas que operan sobre los equipos.
- Prever la operación manual de los sistemas industriales ante un incidente.
El talón de Aquiles de una red que ya es la principal fuente eléctrica europea
El contexto agrava el diagnóstico. Las renovables generaron el 54% de la electricidad de la Unión Europea en el segundo trimestre de 2026, con la solar en el 42% y la eólica en el 28%, según los datos de Eurostat. A más peso en el mix, más crítica es cada interfaz mal cerrada: no hablamos de activos secundarios, sino de generación de base en las horas centrales del día.
La Unión Europea ya tiene el marco para atajar el problema. La directiva NIS2 incluye el sector energético entre las infraestructuras críticas y obliga a los operadores a gestionar el riesgo de su cadena de suministro y a notificar incidentes; ENISA ejerce como agencia europea de ciberseguridad. La norma no basta. El fallo no está en el texto legal, sino en su aplicación: un panel de administración sin autenticación es la prueba de que la obligación escrita no siempre llega al armario de control de la planta.
Los investigadores están trasladando los datos a los países afectados, aunque reconocen que contactar con autoridades y organizaciones no siempre es sencillo y reclaman acceso a los operadores para completar la atribución de los sistemas detectados. La transición energética también se juega en la capa digital, y España multiplica cada año los puntos de control que necesitan contraseña, inventario, y vigilancia. La buena noticia es que este fallo se corrige con horas de trabajo técnico; el daño de una instalación fuera de servicio, en cambio, se mide en factura y en suministro.
🌍 El Impacto Real para el Futuro
- Beneficio medible: Cerrar los 2.766 sistemas solares expuestos en España elimina una superficie de ataque identificada y cuantificada sobre la generación renovable del país.
- Modelo que cambia: La gestión de plantas deja de ser un asunto solo eléctrico y pasa a incluir inventario de dispositivos, contraseñas fuertes y control de accesos de terceros.
- Para las próximas generaciones: Una red renovable que genera más de la mitad de la electricidad europea solo es sostenible si su control está protegido; la ciberseguridad ya es mantenimiento.
