Hackeři vypnuli teplo stovkám domů. Kdo může ovládat vaši elektrárnu?

Více než 600 bytových domů bez vytápění. Uprostřed zimy. Tak dopadl kybernetický útok na ukrajinské teplárenství v lednu 2024, který Dragos spojil s malwarem FrostyGoop. Obnova trvala téměř dva dny. Útočníci zasáhli technologii, na níž záviselo teplo v domácnostech. Přesně tady končí představa, že kybernetická bezpečnost znamená hlavně ochranu e-mailů. Podrobnosti incidentu popsal Dragos.

Hackeři vypnuli teplo stovkám domů. Kdo může ovládat vaši elektrárnu?

Provozní technologie, zkráceně OT, ovládají fyzické procesy. Čerpadla, turbíny, rozvodny nebo dávkování chemikálií ve vodárně. Označení xOT používá Dragos pro širší prostředí zahrnující také připojená zařízení, která provoz ovlivňují. Patří sem například chytré senzory, síťové prvky a automatizace budov. Hranice ochrany tak vede i přes zařízení mimo hlavní řídicí systém. Dragos tento přístup vysvětluje při rozšíření své platformy.

V energetice má takový pohled smysl. Fotovoltaika na střeše komunikuje s dohledovým portálem. Baterii řídí energetický management. Servisní firma má vzdálený přístup. Každé propojení přináší pohodlí, ale také otázku: kdo přes něj může poslat příkaz a co tím změní?

Z pohledu bezpečnostního experta začíná kontrola právě tady. Nestačí seznam zařízení. Potřebujete znát jejich pravomoci a závislosti. Účet, který pouze čte výrobu, představuje jiné riziko než účet schopný měnit výkon celé skupiny elektráren. Stejně vypadající přihlašovací obrazovky mohou skrývat dramaticky odlišné možnosti.

Mezinárodní energetická agentura upozorňuje, že decentralizace přesouvá část kybernetických rizik až k okraji sítě. Ochrana proto musí zahrnovat i menší zdroje a dodavatelský řetězec. Analýza IEA řeší právě tuto proměnu.

Pro majitele FVE z toho plyne jednoduchý úkol. Zjistit, zda elektrárna bezpečně funguje při výpadku internetu a kdo má stále přístup po dokončení instalace. Zapomenutý servisní účet totiž nevypadá nebezpečně. Až do chvíle, kdy ho někdo použije.

FrostyGoop a Unitronics: dvě lekce, za které už někdo zaplatil

FrostyGoop ukazuje, proč samotný antivirus nestačí. Podle technické analýzy Dragosu komunikuje malware prostřednictvím průmyslového protokolu Modbus TCP. Při ukrajinském incidentu útočníci posílali příkazy řadičům ENCO. Výsledkem byla chybná měření a poruchy systému. Vyšetřování upozornilo také na nedostatečné oddělení síťových zařízení. Technický rozbor FrostyGoop popisuje souvislost mezi síťovou komunikací a fyzickým dopadem.

Obranná lekce je nepříjemně prostá. Příkaz může mít správný formát a přesto být škodlivý. Bez znalosti provozu nepoznáte, zda změnu nastavení provedl oprávněný technik, nebo útočník. Potřebujete vědět, odkud příkaz přišel, komu patřil přístup a zda odpovídal schválené údržbě.

Druhý případ je ještě méně filmový. Skupina CyberAv3ngers napadala od listopadu 2023 zařízení Unitronics dostupná z internetu. Podle aktualizovaného upozornění CISA útočníci kompromitovali nejméně 75 zařízení, z toho alespoň 34 v americkém vodárenském sektoru. Zařízení používala výchozí hesla nebo neměla heslo vůbec. Upozornění CISA popisuje také zásahy do řídicího programu.

Žádná kouzelná zranitelnost za milion dolarů. Stačilo veřejně dostupné zařízení a zanedbané přihlášení.

Pro energetický provoz to znamená prověřit dostupnost administrace z internetu, odstranit výchozí přihlašovací údaje a omezit servisní přístup. Kontrolu musí dělat správce se souhlasem provozu. Neřízené zkoušení na živém řadiči může samo vyvolat výpadek. Bezpečnostní audit nemá být nejdražší poruchou měsíce.

Trend xOT: útočníky zajímá, jak provoz skutečně funguje

Výroční zpráva Dragosu vydaná v roce 2026 hodnotí události roku 2025. Popisuje posun od získávání přístupu k aktivnímu mapování regulačních smyček. Útočníci zkoumají vztahy mezi měřením, řízením a fyzickým procesem. Zpráva zároveň představuje tři nové sledované skupiny. Přehled zjištění Dragosu zdůrazňuje nedostatečný přehled obránců o dění uvnitř OT sítí.

Provozovatel proto potřebuje sledovat i nenápadné události. Novou komunikaci mezi segmenty. Neobvyklé čtení konfigurací. Přihlášení dodavatele mimo servisní okno. Jednotlivě mohou působit nevinně. Dohromady mohou ukazovat, že si někdo připravuje podklady pro pozdější zásah.

Ransomware přitom zůstává velmi praktickou hrozbou. Nemusí umět přeprogramovat turbínu. Výpadek podpůrných systémů může znemožnit bezpečné řízení, plánování nebo dohled. Provoz se pak zastaví z bezpečnostních důvodů, přestože samotné řadiče nejsou zašifrované.

Dragos ve zprávě vydané roku 2025 uváděl meziroční růst jím sledované ransomwarové aktivity o více než 87 %. Jde o pozorování dodavatele, nikoli o úplný soupis všech světových útoků. Původní oznámení zprávy pomáhá číslo zasadit do kontextu.

Zpravodajství o hrozbách má cenu tehdy, když mění rozhodnutí. Informace o napadaném vzdáleném přístupu má vést ke kontrole konkrétní brány. Informace o manipulaci s řídicími příkazy má vést k úpravě detekce. Samotný seznam dramatických názvů hackerských skupin výrobu neochrání.

Dragos rozšiřuje platformu. Co přinášejí novinky a partnerství

Rok 2026 přinesl Dragosu výrazné změny. Prvního června firma oznámila akvizici Phosphorus a rozšíření ochrany připojených zařízení v prostředí xOT. Dne 23. června představila EmberAI. Podle výrobce má analytikům pomáhat využívat provozní kontext a informace o protivnících, přičemž rozhodování zůstává pod lidskou kontrolou. Oznámení EmberAI popisuje zamýšlenou roli této funkce.

Další krok přišel 21. září 2026. Dragos oznámil akvizice runZero a NetRise v souvislosti s dokončením většinové investice Accenture. Rozšíření míří na odhalování aktiv, vyhodnocování jejich vystavení hrozbám a bezpečnost softwarového dodavatelského řetězce. Zářijové oznámení Dragosu tak ukazuje širší záběr než samotný dohled nad průmyslovou komunikací.

Spolupráce s Accenture zahrnuje také prostředí Microsoftu: nasazení na Azure, integraci se Sentinel a dostupnost přes Microsoft Marketplace. Pro organizace využívající tyto služby to může usnadnit zapojení průmyslové bezpečnosti do společného dohledu. Podrobnosti spolupráce zveřejnily zúčastněné firmy.

Při nákupu bych ale požadoval praktickou zkoušku. Rozpozná řešení konkrétní střídače a řadiče? Zachytí změnu programu? Dokáže vysvětlit závažnost nálezu člověku na směně? A kolik práce přidá správci?

Oznámená akvizice sama nedokazuje, že jsou všechny funkce hotové, propojené a zahrnuté v nabízené licenci. Ověřte rozsah dodávky, způsob aktualizací i náklady na provoz. Hezká prezentace ještě nikdy neopravila špatně nastavený vzdálený přístup.

Co doporučuje NÚKIB a jak to převést do vlastní FVE

NÚKIB ve své analýze čínských střídačů v malých FVE upozorňuje na rizika vzdálené správy, datových toků a závislosti na dodavatelích. Zmiňuje oddělení provozních dat od vnitřní sítě domácnosti či firmy. Připojení pomocí datové SIM hodnotí v daném kontextu jako méně rizikové než připojení k domácí Wi-Fi. Analýza NÚKIB zasazuje jednotlivé instalace do bezpečnosti celé soustavy.

SIM karta ovšem neřeší oprávnění v dodavatelském cloudu. Může omezit propojení s domácí sítí, zatímco možnost vzdáleného řízení zůstane zachována. Proto potřebujete posoudit obě cesty zvlášť.

Praktický základ tvoří samostatná síť pro energetická zařízení a pravidla povolující pouze potřebnou komunikaci. Servisní technik má mít vlastní účet, omezená oprávnění a přístup otevřený na potřebnou dobu. Kde to zařízení neumí, musí ochranu zajistit přístupová brána. Vícefaktorové ověření patří především na vzdálený vstup do provozu.

Před aktualizací firmwaru ověřte doporučení výrobce, kompatibilitu a možnost obnovy. Uložte konfiguraci a domluvte servisní okno. Automatická aktualizace bez znalosti dopadu může v energetice nadělat podobné škody jako dlouho odkládaná oprava.

U projektu IoT monitoringu SmartEnergyShare se proto vyplatí přesně určit, které přístupy slouží ke čtení a které umožňují zápis. Rozsah oprávnění musí odpovídat účelu služby.

Při předání elektrárny chtějte dokumentaci účtů, síťového zapojení a obnovy konfigurace. A také jméno člověka, který odpovídá za aktualizace po skončení montáže. Faktura tuto roli sama nepřevezme.

Úspory začínají výpočtem odstávky, ne nákupem nejdražšího systému

Bezpečnostní rozpočet potřebuje konkrétní ekonomiku. Uvažujme modelový podnik, kde hodina odstávky znamená ztrátu příspěvku na úhradu fixních nákladů a zisku ve výši 40 000 Kč. Osm hodin výpadku představuje 320 000 Kč. Připočtěme 80 000 Kč za obnovu, externí servis a přesčasy. Celkem 400 000 Kč. Jde o ilustraci, nikoli o statistiku nebo cenovou nabídku.

Pokud ověřený postup obnovy zkrátí stejný výpadek z osmi hodin na dvě, časová složka ztráty klesne o 240 000 Kč. To ještě není garantovaná roční úspora. Rozhoduje pravděpodobnost incidentu, účinnost opatření a jeho celkové náklady. Je to ale použitelnější argument než neurčité „musíme zvýšit bezpečnost“.

U menší FVE počítejte ztracenou výrobu, náhradní odběr a servis. U baterie přidejte dopady nedostupnosti na sjednaný provoz. Zájemci o obchodování flexibility by měli předem vyjasnit odpovědnost za výpadek komunikace, neoprávněný povel a návrat do bezpečného režimu.

Také energetická řešení pro firmy posuzujte společně s náklady na správu přístupů, konektivitu a údržbu. Levnější zařízení s krátkou podporou může během životnosti vyjít dráž.

Širší souvislosti podnikové energetiky rozebírá SmartEnergyShare.info. Při porovnávání projektů však používejte vlastní provozní čísla. Úspora vypočítaná pro cizí výrobní halu vám účet nezaplatí. Nejlepší první investicí často bývá odstranění konkrétního slabého místa, které už umíte pojmenovat.

Co udělat během 30 dnů, aby úspory nezmizely při prvním incidentu

První týden věnujte přehledu. Sepište řadiče, střídače, baterie, komunikační brány, cloudové služby a odpovědné osoby. U každého prvku evidujte verzi softwaru, dostupnost podpory a možnost vzdáleného zásahu. Inventuru začněte dokumentací a pasivním pozorováním komunikace. Aktivní skenování citlivého provozu nejprve odsouhlaste s technologem.

Druhý týden zkontrolujte přístupy. Odstraňte nepotřebné účty, změňte výchozí hesla a prověřte veřejnou dostupnost administrace. Nastavte postup pro schvalování servisních zásahů. Jeden společný účet pro všechny dodavatele ztěžuje dohledání odpovědnosti i odebrání přístupu konkrétnímu člověku.

Třetí týden věnujte obnově. Nestačí zálohovat kancelářské soubory. Potřebujete konfigurace řadičů, projekty automatizace, síťová nastavení a instalační podklady. Kopie musí být dostupné i při napadení běžné sítě. Obnovu bezpečně vyzkoušejte na náhradním zařízení nebo v odděleném prostředí.

Čtvrtý týden uspořádejte krátké cvičení. Dodavatelský účet je kompromitovaný a baterie přijímá podezřelé pokyny. Kdo rozhodne o omezení vzdáleného přístupu? Kdo ověří fyzický stav? Kdo uchová záznamy? A kdo smí potvrdit návrat do provozu?

Pokud využíváte služby, které nabízí platforma pro sdílení elektřiny, rozlišujte administrativní práci s daty a skutečné ovládání technologie. Každá činnost potřebuje jiná oprávnění.

Začněte dnes jediným požadavkem: ukažte mi všechny cesty, kterými lze změnit chod našeho energetického zařízení. Pokud odpověď nikdo nezná, našli jste první investici do ochrany svých úspor.

Zdroje

• NÚKIB: Čínské střídače v malých fotovoltaických elektrárnách — Český podklad pro posouzení dodavatelských závislostí a připojení střídačů. Při čtení rozlišujte hodnocení systémového rizika od důkazu o napadení konkrétní elektrárny. Analýza sama kompromitaci vaší instalace nedokládá.

• CISA: Útoky na řadiče Unitronics — Společné upozornění úřadů shrnuje pozorované postupy útočníků a obranná opatření. Hodí se pro kontrolu veřejně dostupných řadičů, přihlašovacích údajů a vzdáleného přístupu. Konkrétní technické kroky vždy vztahujte k používanému zařízení.

• Dragos: Výroční přehled kybernetické bezpečnosti OT 2026 — Zpráva hodnotí předchozí rok a poskytuje kontext průmyslových hrozeb. Její závěry vycházejí z pozorování dodavatele. Při práci s procenty sledujte metodiku, vzorek a období, ke kterému údaj patří.

• IEA: Posilování kybernetické odolnosti elektrizačních soustav — Mezinárodní analýza propojuje digitalizaci, decentralizaci a bezpečnost dodávek. Nabízí širší rámec pro rozhodování provozovatelů a veřejné správy. Slouží k posouzení souvislostí, nikoli jako instalační návod pro konkrétní ochranný systém.

• ERÚ: Sdílení elektřiny a energetická společenství — Oficiální český rozcestník pro ekonomický a organizační kontext sdílení. Pomáhá ověřit podmínky projektu, ke kterému bezpečnostní opatření navrhujete. Pro nastavení řadičů a síťových prvků potřebujete také technickou dokumentaci dodavatelů.

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: Share-Electric.cz Kybernetická bezpečnost solárních elektráren: 5 největšíc... Vice o český deepnote