Solar และ EV Charging ถูกแฮกจริงมาแล้วกี่ครั้ง — ไล่ดูเหตุการณ์จริงที่เกิดขึ้น
เหตุการณ์แฮก Solar และ EV Charging ที่เกิดขึ้นจริง รวมกรณีที่ยืนยันแล้วพร้อมแหล่งอ้างอิง ตั้งแต่ขโมยเงินผ่านอุปกรณ์ monitor ถึง wiper malware ที่ substation
Solar และ EV Charging ถูกแฮกจริงมาแล้วกี่ครั้ง — ไล่ดูเหตุการณ์จริงที่เกิดขึ้น
"OT security สำหรับ solar กับ EV charging" ฟังดูเหมือนความเสี่ยงในทฤษฎีที่ยังไม่เกิดขึ้นจริง จนกว่าจะไล่ดูรายชื่อเหตุการณ์ที่เกิดขึ้นแล้วจริงๆ ในช่วง 2-3 ปีที่ผ่านมา — ทั้งขโมยเงิน ปิดการเข้าถึงสถานีชาร์จ และทำลายอุปกรณ์ที่ substation จริง
บทความนี้รวบรวมเหตุการณ์จริงที่มีการยืนยันแล้ว พร้อมแหล่งที่มา เพื่อให้เห็นภาพว่าความเสี่ยงที่พูดถึงในบทความหลักเรื่อง OT Security สำหรับ Solar และ EV Charging ไม่ใช่การคาดการณ์ลอยๆ
SolarView Compact — อุปกรณ์ monitor solar 800 เครื่องถูกยึดเพื่อขโมยเงิน (2023-2024)
ผู้โจมตีเจาะช่องโหว่ CVE-2022-29303 (เปิดเผยต่อสาธารณะตั้งแต่พฤษภาคม 2022) ในอุปกรณ์ SolarView Compact ของ Contec (ผู้ผลิตอุปกรณ์ควบคุมอุตสาหกรรมจากญี่ปุ่น) ยึดอุปกรณ์ monitor ของโรงไฟฟ้าโซลาร์ไปได้ประมาณ 800 เครื่อง — ตัวเลขนี้มาจากรายงานสื่อญี่ปุ่น ไม่ใช่ตัวเลขที่ยืนยันอย่างเป็นทางการ — แล้วใช้เป็นฐานในการขโมยเงินจากบัญชีธนาคาร Unit 42 ของ Palo Alto Networks รายงานว่าพบการโจมตีที่ยังดำเนินอยู่และการเชื่อมโยงกับ Mirai botnet ตั้งแต่มิถุนายน 2023 — แต่ช่องโหว่นี้เปิดเผยต่อสาธารณะมาก่อนหน้านั้นแล้ว 1 ปี ดังนั้น Unit 42 จึงเป็นผู้รายงานการโจมตีที่เกิดขึ้นต่อเนื่อง ไม่ใช่ผู้ค้นพบช่องโหว่ บริษัท Contec ออกประกาศยืนยัน firmware ที่แก้ไขแล้ววันที่ 18 กรกฎาคม 2023 จากนั้นออกคำเตือนซ้ำถึง operator วันที่ 7 พฤษภาคม 2024 หลังมีรายงานการโจมตีเพิ่มเติม — ช่องว่างที่ยาวนานระหว่างที่ patch มีให้ใช้กับที่ operator นำไปติดตั้งจริง คือสิ่งที่ทำให้การโจมตียังเกิดขึ้นต่อเนื่อง
บริษัทวิเคราะห์ความมั่นคงปลอดภัยไซเบอร์ S2W ของเกาหลีใต้ประเมินว่ากลุ่มที่อยู่เบื้องหลังคือกลุ่มที่พวกเขาเรียกว่า "Hacker CN" (ซึ่งพวกเขาระบุว่าน่าจะเป็นกลุ่ม "Arsenal Depository") ซึ่งเป็นกลุ่ม hacktivist ที่เคลื่อนไหวโจมตีโครงสร้างพื้นฐานของญี่ปุ่น — เป็นการประเมินของนักวิเคราะห์ ไม่ใช่การยืนยันตัวตนที่แน่ชัด
Ignitis ON — สถานีชาร์จ EV ในยุโรปถูกปิดการเข้าถึงพร้อมข้อมูลรั่ว 20,000 ราย (กุมภาพันธ์ 2024)
กลุ่มที่เรียกตัวเองว่า "Just Evil" อ้างว่าเจาะเข้าระบบควบคุมของแอป Ignitis ON ซึ่งเป็นบริการช่วยเจ้าของรถ EV ชาร์จรถ — ปิดการเข้าถึงสถานีชาร์จของผู้ใช้จริง พร้อมเผยแพร่วิดีโอเป็นหลักฐาน รายงานของ Ignitis เองยืนยันว่ามีการรั่วไหลกระทบลูกค้ากว่า 20,000 รายและพนักงานบางส่วน — ชื่อ, อีเมล/ที่อยู่, เลขทะเบียนรถ และรหัส RFID token หลุดออกไป แต่ Ignitis ระบุว่าข้อมูลการชำระเงินและรหัสส่วนตัวยังปลอดภัย ส่วนข้อกล่าวอ้างเพิ่มเติมของผู้โจมตี — ข้อมูลพนักงาน, access key, firmware ของสถานีชาร์จ และการเรียกค่าไถ่ — เป็นสิ่งที่นักวิจัยด้านความปลอดภัยรายงานไว้ แต่ Ignitis เองยังไม่ได้ยืนยันอย่างเป็นอิสระ (รายละเอียดเชิงเทคนิคของช่องโหว่ OCPP ที่เกี่ยวข้องอ่านเพิ่มได้ที่ EV Charging Security: ช่องโหว่ใน OCPP)
โรงไฟฟ้าลม-โซลาร์ในโปแลนด์ — Wiper Malware โจมตี substation จุดเชื่อมต่อกริดที่ 30+ แห่ง (ธันวาคม 2025)
ต่างจากเหตุการณ์อื่นที่เล็งเป้าไปที่ inverter โดยตรง ครั้งนี้ผู้โจมตีปล่อย wiper malware (มัลแวร์ที่ออกแบบมาเพื่อทำลายข้อมูล ไม่ใช่ขโมย) เข้าโจมตีอุปกรณ์ substation ที่เป็นจุดเชื่อมต่อระหว่างโรงไฟฟ้ากับสายส่งไฟฟ้าหลัก ครอบคลุมโรงไฟฟ้าลมและโซลาร์กว่า 30 แห่ง ตามรายงานเหตุการณ์ของ CERT Polska เอง Jay Johnson, CTO ของ DERSec ระบุว่า "inverter ไม่ถูกแตะต้องเลย ผู้โจมตีเล็งเป้าไปที่ substation โดยตรง" การผลิตไฟฟ้ายังดำเนินต่อไปได้และไม่มีไฟดับเป็นวงกว้าง แต่ CERT Polska ยังระบุด้วยว่าโครงสร้างพื้นฐานที่ใช้ในการโจมตีทับซ้อนกับกลุ่มที่เชื่อมโยงกับปฏิบัติการของรัฐรัสเซีย — สัญญาณว่าเป้าหมายไม่ได้จำกัดแค่ inverter และการโจมตีลักษณะนี้ก็ไม่ได้เป็นแค่ hacktivism แบบฉวยโอกาสเสมอไป
จุดร่วมของเหตุการณ์เหล่านี้
- ช่องโหว่ที่รู้จักอยู่แล้วและไม่ได้ patch คือสาเหตุหลักของความเสียหาย — ช่องโหว่ของ SolarView เปิดเผยต่อสาธารณะมา 1 ปีเต็มก่อนที่ operator จะติดตั้ง patch จริง
- ช่องว่างระหว่างเปิดเผยช่องโหว่กับที่ operator แก้ไขจริงยาวนานมาก — กรณี SolarView Compact ห่างกันเกือบ 1 ปี
- ระดับความซับซ้อนแตกต่างกันไป — SolarView ดูเหมือนเป็น hacktivism แบบฉวยโอกาส ขณะที่การโจมตี substation ในโปแลนด์ใช้โครงสร้างพื้นฐานร่วมกับกลุ่มที่ CERT Polska เชื่อมโยงกับปฏิบัติการของรัฐรัสเซีย
- Wiper malware ที่โปแลนด์เป็นสัญญาณเตือนอีกรูปแบบหนึ่ง — เป้าหมายไม่ได้จำกัดแค่ inverter หรือระบบการเงิน และครั้งนี้เป้าหมายคือการทำลาย ไม่ใช่การขโมย
สิ่งที่ทำได้จริงตอนนี้
แพทเทิร์นที่เห็นในเหตุการณ์ส่วนใหญ่ข้างต้นคือ ช่องโหว่ที่ถูกใช้โจมตีเป็นสิ่งที่รู้จักกันอยู่แล้วก่อนเกิดเหตุ — นั่นแปลว่าการมองเห็น (visibility) ว่าอุปกรณ์ไหนสื่อสารผิดปกติจากพฤติกรรมปกติ คือชั้นป้องกันที่จับสัญญาณพวกนี้ได้ตั้งแต่เนิ่นๆ zcrOT มอนิเตอร์ traffic ของ Modbus (solar/battery) และสัญญาณ telemetry แบบ passive ไม่ block เพื่อไม่ให้กระทบการทำงานจริง อ่านหลักการทำงานเต็มๆ ได้ที่ OT Security สำหรับ Solar และ EV Charging
องค์กรที่ดูแลโครงสร้างพื้นฐาน solar หรือ EV charging และอยากรู้ว่าเครือข่ายตัวเองมีสัญญาณผิดปกติแบบในเคสข้างบนหรือไม่ ลองดูแพ็กเกจ zcrOT ได้เลย
ติดต่อทีมงาน
อยากรู้ว่าโครงสร้างพื้นฐาน solar หรือ EV charging ที่ดูแลอยู่มีความเสี่ยงแบบในเคสข้างบนหรือไม่ ทีมงานยินดีให้คำปรึกษาฟรี
ที่มา: CSO Online — Hijack of monitoring devices highlights cyber threat to solar power infrastructure, Unit 42 — IoT Under Siege (รวม CVE-2022-29303 / SolarView Compact), pv magazine — Solar cyber threats expand, but inverters still stay in the crosshairs, CERT Polska — Incident report: energy sector 2025, CERT Polska — Follow-up report, August 2026
แหล่งอ้างอิง