В умовах російських атак на енергетичну систему та тривалих відключень електроенергії, українські домогосподарства, підприємства та державні установи масово встановлюють інвертори, накопичувачі енергії та сонячні станції. Значна частина цього обладнання походить з Китаю і за замовчуванням має постійний зв’язок із серверами виробника. Це викликає три важливих питання: чи становить постійний зв’язок з китайськими хмарними сервісами загрозу для звичайних користувачів, чи можливо відключити інвертор від зовнішніх серверів, зберігаючи при цьому віддалене керування, і чи потребує бізнес окремого підходу до кібербезпеки інверторів? Відповіді на ці питання потребують детального аналізу вже наявної інформації та дій регуляторів, адже саме регуляторна рамка визначає обов’язки бізнесу. Надмірний алармізм або, навпаки, применшення загрози можуть бути однаково шкідливими, тому аналізувати ситуацію слід з холодною головою, навіть коли геополітичні тенденції та особисті переконання спонукають до негайного звинувачення.
Зв’язок інвертора та виробника
Деталізація компонентів
Термін “інвертор” у побуті часто позначає сукупність пристроїв, а не один компонент. Він включає силовий пристрій, що перетворює постійний струм на змінний і керує процесами зарядки батареї, живлення будинку та віддачі енергії в мережу. Окремо існує модуль зв’язку, який може бути реалізований як Wi-Fi або Ethernet донгл. У випадках з Deye та багатьма іншими виробниками, цей модуль функціонує як логер на платформі Solarman, а Deye також має власний додаток Deye Cloud. Інтернет-з’єднання забезпечується саме логером, який підтримує постійний зв’язок з хмарним сервісом виробника. Для платформи Solarman це домени access1.solarmanpv.com та access2.solarmanpv.com.
Телеметрія та потенційні ризики
Через це з’єднання назовні передається телеметрія, яка включає миттєву потужність, стан заряду, напругу, частоту, добову та сумарну генерацію, а також коди помилок. Згідно зі звітом Bitdefender від 7 серпня 2024 року, API Solarman за певних умов міг надавати більше даних, включаючи GPS-координати установок, електронні адреси, номери телефонів та ідентифікатори користувачів. Це означає, що хмарний сервіс може містити детальну інформацію про потужність конкретної сонячної установки, її місцезнаходження та власника.
Двосторонній зв’язок та обмеження контролю
З’єднання між інвертором та хмарою є двостороннім за задумом, але важливо розуміти, що передача телеметрії назовні не означає автоматичної можливості віддалено змінювати будь-які параметри чи вимикати пристрій. Набір доступних віддалених операцій залежить від моделі інвертора, версії його прошивки, ролі користувача, регіону експлуатації та конфігурації установки, а також відрізняється між різними платформами. Тому загальне твердження про можливість довільного віддаленого вимкнення будь-якого підключеного інвертора виробником є надто широким і не відповідає реальності для більшості пристроїв. Задокументовані випадки такого контролю є більш конкретними і вузькими, і саме з них варто починати аналіз.
Прецедент блокування Deye
Інцидент 15 листопада 2024 року
15 листопада 2024 року власники сонячних систем у США, Пуерто-Рико, Канаді, Великій Британії та Пакистані одночасно зіткнулися з проблемою відсутності живлення від своїх установок. На екранах інверторів Deye з’явилося повідомлення про заборону використання пристрою в даному регіоні. Це задокументований факт, який був зафіксований власниками та профільними виданнями.
Версії та пояснення
Існує декілька версій щодо причин цього інциденту. Відключення збіглося в часі з комерційним конфліктом між Deye та її американським партнером Sol-Ark щодо дистриб’юторських прав, що змусило частину спільноти пов’язати ці події. Сама компанія Deye у коментарі для heise online заперечила факт віддаленого керування пристроями, пояснивши блокування спрацюванням вбудованої перевірки авторизації, а не командою з хмари. Технічно, ці сценарії відрізняються: пряма дистанційна команда, локально закладена прив’язка до регіону та періодична перевірка дозволеного регіону через сервер можуть призвести до однакового повідомлення на екрані, але свідчать про різний ступінь зовнішнього контролю. Публічних даних, які б дозволили однозначно розрізнити ці механізми в листопадовому випадку, наразі немає.
Наслідки та висновки
Незалежно від пояснення, залишається фактом, що працездатність приватної установки залежала від чинника поза межами будинку, а саме – від рішення виробника та справності зв’язку з його інфраструктурою. Наявність хмарної залежності та можливість виробника застосовувати політику авторизації може зробити пристрій непридатним до роботи, особливо для обладнання, купленого поза офіційними каналами. Цей випадок підтверджує залежність пристроїв від зовнішніх факторів та застосування політик контролю, але не свідчить про можливість довільної дистанційної диверсії проти будь-якого пристрою.
Вразливості хмарних платформ
Звіт Bitdefender “60 Hurts per Second”
Найпереконливіші докази стосуються якості програмного забезпечення хмарних платформ. У звіті “60 Hurts per Second”, опублікованому 7 серпня 2024 року, компанія Bitdefender описала, як через вразливості в платформах Solarman та Deye Cloud було отримано доступ до систем, що керують приблизно 195 гігаватами потужності, що становить близько 20% світової сонячної генерації. Це охоплює понад два мільйони станцій та понад десять мільйонів пристроїв у більш ніж 190 країнах. Серед виявлених проблем були повне захоплення чужого облікового запису через маніпуляції з авторизацією та жорстко зашитий службовий обліковий запис з логіном [email protected] та паролем 123456. Bitdefender повідомив виробників про ці вразливості у травні 2024 року, і до липня вони були виправлені.
Дослідження SUN:DOWN від Forescout
Ширшу картину надав аналіз компанії Forescout, опублікований 27 березня 2025 року в рамках дослідження SUN:DOWN. Підрозділ компанії дослідив шістьох із десяти найбільших виробників сонячних інверторів (Huawei, Sungrow, Ginlong Solis, Growatt, GoodWe та SMA) і виявив 46 нових вразливостей у продуктах трьох із них: Sungrow, Growatt та німецької SMA. Крім того, дослідники каталогізували ще 93 раніше відомі вразливості, близько 80% з яких мали високий або критичний рівень небезпеки. Серед нових знахідок: можливість виконання коду на стороні сервера через хмарний портал SMA, перебір та викрадення облікових записів Growatt з подальшим скиданням пароля на стандартний, а також жорстко зашиті облікові дані та переповнення буфера у Wi-Fi-донглі Sungrow, що свідчить про вразливість на рівні самого апаратного забезпечення зв’язку. Той факт, що серед уражених виробників опинилася німецька SMA, нагадує, що вразливі хмарні платформи є загальною проблемою управління розробкою в галузі, а не виключно проблемою “китайської хмари”.
Обмеження висновків
Важливо чітко окреслити межі цих доказів. Вони підтверджують наявність серйозних, експлуатованих вразливостей у названих платформах, переважно пов’язаних з доступом до облікових записів та даних, а в випадку SMA – також з можливістю виконання коду. Однак, ці дослідження не підтверджують наявність навмисних “закладок” або те, що виявлені вразливості залишаються відкритими. Усі згадані виробники виправили їх після відповідального розкриття інформації, а SMA повідомила про усунення своєї вразливості ще 19 грудня 2024 року. Таким чином, основною загрозою є звичайна програмна вразливість, масштабована через велику кількість користувачів, а не вбудована диверсія. Втім, це не завжди так.
Шпигунський трилер про недокументовані радіомодулі
Знахідки Reuters
14 травня 2025 року агентство Reuters, посилаючись на двох обізнаних джерел, повідомило, що американські фахівці, які проводили перевірки безпеки обладнання, підключеного до мереж, виявили у частині китайських сонячних інверторів пристрої зв’язку, не зазначені в документації до продукту, зокрема стільникові радіомодулі. За даними цієї публікації, за попередні дев’ять місяців недокументовані модулі зв’язку, включно зі стільниковими, були знайдені в акумуляторах кількох китайських постачальників. Співрозмовники агентства охарактеризували ці компоненти як додаткові канали, що дозволяють віддалено обійти мережеві екрани, а серед причин занепокоєння урядовців згадувалося й описане вище блокування Deye.
Наслідки наявності незадекларованих модулів
Вага цієї знахідки не залежить від намірів виробника. Вбудований стільниковий модуль, про який власник не знає, є каналом зв’язку поза його контролем вже за фактом свого існування. Він не проходить через локальну мережу об’єкта, тому мережевий екран і сегментація на нього не діють. В енергетичному обладнанні незадекларований компонент зв’язку сам по собі є дефектом безпеки, і саме в цьому контексті була перша офіційна реакція.
Реакція американських посадовців та сертифікаційних органів
Міністерство енергетики США не заперечило наявність таких знахідок, наголосивши на прогалинах у розкритті інформації виробниками та наголосивши, що покупці повинні повністю розуміти можливості обладнання, яке вони отримують. Сертифікаційна компанія Intertek розглядає такі випадки як порушення прозорості ланцюга постачання, запобігти чому мала б специфікація складу обладнання (SBOM). Австралійський інститут стратегічної політики поширив висновок з програмного забезпечення на фізичний склад критичної техніки. Колишній директор Агентства національної безпеки США Майк Роджерс зазначив, що Китай бачить цінність у можливості тримати під загрозою руйнування чи збою принаймні частину базової американської інфраструктури.
Подальший розвиток подій у 2026 році
На початку 2026 року Міністерство енергетики США за результатами перевірки близько тридцяти інверторів повідомило, що не знайшло ознак зловмисних чи навмисних відхилень у їхньому зв’язку, проте застерегло, що загрози в ланцюзі постачання зберігаються, а його складність залишає простір для атак. Це не зупинило регуляторний рух: наприкінці червня 2026 року Reuters повідомило про підготовку у США заборони на імпорт нових іноземних інверторів, посилаючись на торішні знахідки як на одну з передумов цього кроку.
Обмеження інформації та реакція Китаю
Важливо зазначити, що виробники, моделі та кількість перевірених пристроїв з першого повідомлення досі не розкриті, публічного незалежного розбору з назвами моделей немає, а вибірка з трьох десятків інверторів у перевірці міністерства не закриває питання для решти ринку. Речник уряду КНР відкинув звинувачення, назвавши їх розмиванням поняття національної безпеки та очорненням китайських інфраструктурних досягнень, чого, втім, і варто було очікувати.
Висновок щодо українського ринку
Схоже, що жодна з виявлених вразливостей не прив’язана до моделей, які продаються в Україні. Це вказує на клас ризику, який слід враховувати під час аудиту обладнання. Однак, підтвердженої властивості “звітувати Сі Цзиньпіню” для конкретних пристроїв на українському ринку наразі немає.
Атака на польську енергетику
Інцидент 29 грудня 2025 року
Наприкінці 2025 року стало очевидно, що загроза керованої дистанційно генерації не є гіпотетичною. 29 грудня 2025 року, як згодом реконструювала польська команда реагування CERT Polska, скоординована атака вразила понад 30 вітрових і сонячних станцій, велику теплоелектроцентраль та приватну компанію в Польщі. Нападники проникли через вразливі VPN-шлюзи FortiGate і завантажували на контролери підстанцій зіпсовану прошивку, спричиняючи цикли перезавантаження та відрізаючи оператора від керування. Прем’єр-міністр Польщі Дональд Туск заявив, що атаку було відбито, і генерація електроенергії не постраждала.
Відповідальність та зв’язок з кіберзлочинцями
CERT Polska пов’язала інфраструктуру атаки з російським кластером Static Tundra (також відомим як Berserk Bear, Dragonfly), тоді як ESET і Dragos з помірною впевненістю вказали на групу Sandworm. Вхідною точкою були VPN-шлюзи, а ціллю – контролери підстанцій. Цей епізод демонструє, що розподілена генерація під дистанційним керуванням є активною мішенню, що має особливу вагу для України. Історія не вказує на те, що слабким місцем були саме закордонні хмари інверторів, доступ виробника чи китайське походження обладнання. Цей інцидент стосується загальнішої проблеми безпеки віддаленого доступу в розподіленій енергетиці, яка, втім, дотична до питання виробничих хмар.
Що реально загрожує окремому домогосподарству
Масова неадресна компрометація
Масова неадресна компрометація відбувається тоді, коли в хмарній платформі або механізмі авторизації існує незакрита вразливість, яку можна експлуатувати масово. У такому разі під удар потрапляє не спеціально обрана жертва, а всі користувачі даної платформи. Історично такі вразливості усувалися доволі швидко після їх виявлення, але вікно між появою та виправленням є реальним ризиком.
Збої політики виробника та витоки даних
Збій політики виробника, включаючи регіональне блокування, є актуальним для пристроїв, прив’язаних до хмари, придбаних через неофіційні канали, або коли виробник змінює правила. Випадок з Deye є саме таким сценарієм. Витік приватних даних можливий, коли платформа розкриває координати, контактні дані та інформацію про споживання, як це показав Bitdefender. Наслідком цього може стати збір матеріалу для цільового шахрайства, фішингу або розвідки перед крадіжкою.
Цілеспрямоване втручання та військові умови
Цілеспрямоване втручання в конкретний об’єкт стає актуальним, коли об’єкт має цінність для нападника, і логіка “одна вразливість не варта одного будинку” перестає працювати. Потужність установки сама по собі не визначає наслідків. Система потужністю 5 кВт у приватному будинку та така ж система, що живить лікарняний холодильник, вузол зв’язку або оборонний об’єкт, мають різні профілі ризику. У воєнних умовах відпадає припущення, на якому ґрунтується легковажне відкидання адресних атак: під час блекауту електромережа не є доступним резервом, тому втрата керування резервним живленням має інші наслідки, ніж у мирний час. Військові, посадовці, медичні та комунікаційні об’єкти є правдоподібними цілями.
Сукупний ризик та системна загроза
Окремі низькоцінні пристрої стають значущими в сукупності. Коли тисячі однакових інверторів підключені до однієї закордонної хмари або доступні через спільний канал керування, окремий пристрій перестає бути індивідуальним і стає одним із багатьох керованих вузлів. Саме в цій точці ризик побутового масштабу перетворюється на системний, що пояснює, чому кібербезпека інверторів для бізнесу та критичної інфраструктури є окремою темою для обговорення.
Чому для бізнесу й критичних обʼєктів це інша категорія ризику
Арифметична перевага у масштабі
Якщо для домогосподарства висновок радше заспокійливий, то для бізнесу він протилежний, і причина здебільшого арифметична. Один інвертор потужністю 5 кВт навряд чи когось зацікавить. Однак, коли мережа супермаркетів, логістичний хаб чи промисловий майданчик встановлює сотні кіловат або мегавати, а тисячі таких об’єктів по всій країні підключені до однієї хмари одного виробника, сумарна керована потужність стає величиною, значущою для мережі.
Моделі аналізу та оцінки ризиків
Наскільки значущою може бути ця потужність, демонструє модель Forescout, хоча це модель, що базується на припущеннях. За оцінкою керівника досліджень компанії Даніеля дос Сантоса, для зниження частоти до 49 герц і змушення системи скидати навантаження потрібен контроль приблизно над 4,5 гігавата. Враховуючи, що встановлена сонячна потужність у Європі становить близько 270 гігават, це означає контроль над менш ніж 2% інверторів. Сам відсоток не робить сценарій автоматично здійсненним. Він передбачає, що ця потужність генерує саме в цей момент, розташована в одній синхронній зоні, досяжна через спільний канал керування, здатна виконати задану команду і піддається одночасному керуванню за припущених умов мережі. Без цих умов відсоток залишається лише орієнтиром. Раніше, у звіті від 29 квітня 2025 року, SolarPower Europe спільно з DNV оцінили, що цілеспрямована компрометація вже 3 гігават генерації може мати значні наслідки для європейської мережі, класифікувавши три з чотирнадцяти оцінених ризиків як критичні, а шість – як високі, визнавши сукупний рівень таким, що перевищує прийнятний.
Корпоративна мережа та концентрація контролю
Друга причина стосується корпоративної мережі. Інвертор комерційного класу часто підключений до тієї ж інфраструктури, що й інші системи підприємства. Тому вразливість, подібна до описаних Forescout (захоплення облікового запису, виконання коду на пристрої), перетворює його на точку входу в мережу компанії. З цієї причини інвертор повинен бути включений до реєстру активів, сегментований і перебувати під наглядом, як і будь-який інший промисловий контролер.
Третя причина – концентрація контролю. Велика кількість об’єктів під одним хмарним обліковим записом або однією платформою означає єдину точку компрометації. Масштаб потужності є не єдиним виміром. Ширший зріз цієї залежності на рівні власників енергокомпаній описує брифінг Інституту досліджень безпеки Європейського Союзу (EUISS) “The Dragon in the Grid”, опублікований у січні 2026 року. Згідно з ним, китайські державні енергокомпанії володіють частками в операторах магістральних мереж кількох країн ЄС. State Grid Corporation of China володіє 25% португальської REN, 35% італійського холдингу CDP Reti (який, у свою чергу, володіє майже 30% оператора Terna) та 24% грецької ADMIE. Крім того, 24,92% люксембурзької Encevo, материнської компанії оператора Creos, у 2018 році викупила інша державна компанія КНР, China Southern Power Grid. У переліку EUISS також фігурує мальтійська Enemalta. Середовище, в якому це відбувається, брифінг описує через поняття “weaponised dependencies” – перетворення технологічних залежностей на важіль впливу. Це окреме питання власності над операторами, а не безпеки окремого пристрою, але воно пояснює, чому в ЄС цю тему розглядають як стратегічну.
Визначення порогу ризику для організацій
Поріг, за яким кібербезпека інвертора для організації перестає бути опцією, не варто зводити до розпливчастого “коли потужність стає значущою”. Практичніше визначити його через кілька вимірюваних умов:
- коли сумарна керована потужність під одним постачальником або обліковим записом стає суттєвою для локальної мережі або для власної безперервності об’єкта;
- коли інвертор ділить мережу з критичними системами;
- коли він живить критичне навантаження (медичне, зв’язку, оборонне, фінансове), тому втрата керування має непропорційні наслідки;
- або коли об’єкт підпадає під регуляторну класифікацію.
Ще надійніше передати це рішення формальній оцінці ризику, яка зважує критичність навантаження та концентрацію контролю, а не лише сумарну потужність.
Регулятори в ЄС, Литві та США
Литва: законодавче регулювання
Литва діяла законодавчо. 17 листопада 2024 року сейм ухвалив статтю щодо вимог безпеки до систем керування електричними пристроями, яка забороняє виробникам з держав, віднесених до загроз національній безпеці (Китай згадано прямо), віддалено керувати сонячними, вітровими та накопичувальними установками потужністю понад 100 кіловат, зокрема змінювати параметри чи вмикати й вимикати пристрої. Адресатами є оператори таких установок, поріг – 100 кіловат, а наслідком – право оператора мережі відключати об’єкти, що не пройшли аудит відповідності. Закон набув чинності для нових об’єктів 1 травня 2025 року, для наявних – влітку 2026 року. Литовська компанія Inion Software, яка готувала об’єкти до нових правил, оцінює, що переважна більшість станцій у країні використовує китайські інвертори з можливістю дистанційного керування.
Європейський Союз: фінансові обмеження
Європейський Союз діє через фінансування. З 1 травня 2026 року обмежено фінансування (зокрема від Європейського інвестиційного банку) енергетичних проєктів, які використовують інвертори з країн високого ризику: Китаю, Росії, Ірану та Північної Кореї. Це інструмент умовності фінансування, а не заборона використання. Адресатом є проєкти, що претендують на таке фінансування, а наслідком – втрата права на нього. За оцінкою посадовця Єврокомісії, наведеною Euronews у травні 2026 року, інвертори становлять близько 5% вартості великої станції, а перехід на постачальників не з групи ризику здорожчує проєкт менш ніж на 2%, тоді як китайські виробники контролюють близько 80% світового ринку. Раніше, у травні 2025 року, група депутатів Європарламенту закликала Комісію обмежити постачальників високого ризику.
США: обмеження закупівель та імпорту
США рухаються шляхом обмежень закупівель та імпорту. З 2019 року діють обмеження на обладнання Huawei. За оборонним бюджетом на 2026 рік Пентагону заборонено купувати сонячні елементи, модулі та інвертори від “іноземних суб’єктів занепокоєння”, що робить адресатом оборонні закупівлі. 30 червня 2026 року Reuters повідомило, що адміністрація готує через Федеральну комісію зв’язку заборону на імпорт нових моделей іноземних інверторів. Наступного дня це повідомлення з посиланням на Reuters переказало й галузеве видання PV Magazine. Джерела наголошують, що проєкт може бути змінено чи згорнуто, тож станом на липень 2026 року це ще намір, а не чинна норма.
Українська ситуація
Відсутність офіційних регуляцій
Станом на липень 2026 року жоден український державний орган (ні НКРЕКП, ні Держенергонагляд, ні Міненерго, ні Держспецзв’язку з CERT-UA, ні ДСНС) не оприлюднив офіційної настанови чи регуляції саме щодо кібербезпеки сонячних інверторів, систем безперебійного живлення чи накопичувачів, підключених до закордонних хмар. Загальне законодавство про захист критичної інформаційної інфраструктури існує, але воно не стосується інверторів окремо.
Застереження радника Президента
Єдине помітне публічне застереження пролунало не від регулятора, а від радника Президента Сергія Бескрестнова (позивний “Флеш”). У дописі, який 9 червня 2026 року розтиражували ЗМІ, він заявив, що майже всі системи безперебійного живлення для будинків, офісів і бізнесу в Україні виготовлені в КНР, що китайські виробники мають віддалений доступ до підключених до інтернету пристроїв і можуть їх дистанційно вимкнути чи вивести з ладу. Він також зазначив, що в армії відповідні обмеження запровадили давно за його ініціативою, і рекомендував державним структурам відключити резервне живлення від постійного зв’язку з інтернетом. На жаль, поки це лише один допис одного експерта, розмножений багатьма виданнями, а не позиція держави чи нормативний акт, навіть на шляху до розгляду.
Вплив європейських вимог на український бізнес
Для українського бізнесу, орієнтованого на ЄС, різні механізми варто розрізняти, бо вони пов’язують по-різному. Пряме юридичне застосування європейських вимог, як-от директива про кібербезпеку NIS2, поширюється на суб’єктів у сфері її дії за національною імплементацією в державах-членах. Це означає, що українська компанія, як правило, не підпадає під неї безпосередньо, якщо не діє в юрисдикції члена ЄС, а точну сферу та застосовність до українських операторів слід звіряти з національною імплементацією. Договірні та фінансові вимоги діють інакше: європейський партнер, кредитор або фінансування, пов’язане з ЄІБ, можуть контрактом вимагати певного походження обладнання чи рівня кіберзахисту. У такому разі вимога пов’язує через договір, а не через закон. Добровільне вирівнювання під європейську практику є третім, окремим випадком, доречним напередодні інтеграції з європейською мережею.
Концентрація ринку та частки брендів
Щодо самого українського ринку, відкритих кількісних даних про частки брендів інверторів немає. Галузеві оцінки роздрібних продавців (це консенсус ринку, а не незалежне дослідження) відводять помітну роль Deye у сегменті гібридних рішень для домогосподарств (компанія офіційно вийшла на ринок на початку 2023 року), Huawei – у преміальному мережевому сегменті, та нідерландській Victron – у ніші високонадійних систем. Для контексту масштабу концентрації: за даними компанії Charge2go, що посилається на International Energy Agency, Європейську комісію, SolarPower Europe та Wood Mackenzie, Китай контролює близько 98% світового виробництва кремнієвих пластин, 85–90% панелей, понад 90% компонентів акумуляторів і понад 55% ринку інверторів. Окремо Wood Mackenzie відводить Huawei та Sungrow разом близько 55% світових поставок інверторів за 2024 рік, при цьому дев’ять китайських компаній входять до першої десятки. Що можна стверджувати впевнено щодо України: значна частка обладнання, яке масово продається для дому та малого бізнесу, виготовлена в Китаї і за замовчуванням тягнеться до хмари виробника.
Пропорційна відповідь на китайську загрозу
Об’єктивний погляд на ситуацію
Задля об’єктивності, протягом усього тексту вище автору доводилося застосовувати скепсис більше, ніж цього б хотілося. Клікбейт приносить перегляди, але шкодить психічному здоров’ю читачів, які й так перебувають у ситуації, коли енергонезалежність є нагальною потребою під час війни з Росією, а не розвагою з підготовки до теоретичного виживання в зомбі-апокаліпсисі. Тому на ситуацію слід дивитися тверезо: більшість українців ку
