España: 2.766 sistemas solares expuestos en internet

2.766 paneles de control de instalaciones solares españolas son accesibles desde internet, y en algunos casos sin contraseña. Son el 35% de los 7.942 sistemas fotovoltaicos que la plataforma Modat Magnify localizó repartidos por Europa, según el informe To See the Wind and the Sun, elaborado junto a Bouke van Laethem, investigador del centro nacional de ciberseguridad de Países Bajos (NCSC-NL). Para un founder que vende software o hardware conectado a la industria, la cifra no es un problema exclusivamente español: es el mapa de un patrón de diseño que se repite en cualquier vertical que conecta equipos a la red y luego olvida quién los ve desde fuera.

¿Qué encontró exactamente el informe de Modat?

El estudio escaneó instalaciones de 40 países —Unión Europea, Asociación Europea de Libre Comercio y candidatos al bloque— y detectó sistemas expuestos en 35. Excluyó deliberadamente las instalaciones residenciales sobre cubierta. Del total de 8.547 interfaces, 7.942 corresponden a parques solares y 605 a parques eólicos.

No todos los hallazgos tienen la misma gravedad. Muchos son simplemente una pantalla que pide usuario y contraseña. Pero Soufian El Yadmani, fundador de Modat y coautor del informe, explicó a EFE que encontraron paneles «sin ningún tipo de autenticación o protección», desde los que se podía detener, poner en marcha o reiniciar un sistema. Y añadió el detalle que más incomoda: en esos casos «ni siquiera es necesario explotar una vulnerabilidad».

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El nivel de acceso también varía. Algunos sistemas gestionan una sola turbina; otros están un nivel por encima y controlan varias, o un parque completo, desde una única pantalla. Help Net Security describe uno de los casos con más detalle: el dashboard web de un aerogenerador mostraba potencia, velocidad del viento y datos del rotor en tiempo real, con botones de arranque, parada y reinicio. Un menú de esa misma página llevaba al servidor web del PLC Siemens ET 200SP, el controlador industrial que gobierna la máquina. Una página de mapa revelaba la ubicación de la turbina, con imágenes aéreas del sitio, los edificios de servicio y la carretera de acceso. Dos páginas de login de parques eólicos nombraban su emplazamiento de forma explícita y una de ellas indicaba que el usuario por defecto es «root» en las versiones más recientes.

¿Por qué España encabeza la lista europea?

El ranking solar lo componen cuatro países: España con 2.766 sistemas, Grecia con 1.860, Italia con 753 y Alemania con 672. Juntos concentran el 76% del total solar. Más atrás aparecen Hungría, con 514, y Turquía, con 454. En eólica el liderazgo cambia: Alemania suma 212 sistemas e Italia 192, que juntos representan el 67%, mientras España registra apenas 11.

El Yadmani atribuye la concentración española al tamaño del parque renovable del país y a su volumen de instalaciones solares. La web Moncloa.com añade, según recoge Xataka, otros factores menos técnicos y más organizativos: la dispersión de proveedores, la rotación de las plantillas técnicas y el crecimiento acelerado de la potencia instalada.

Hay un dato que pone la cifra en contexto: las renovables generaron el 54% de la electricidad de la Unión Europea en el segundo trimestre de 2026, según Eurostat. Más instalaciones significa, casi por definición, más superficie que vigilar. Y también más proveedores distintos tocando los mismos equipos.

Expuesto no es atacado: ¿qué tan grande es el riesgo real?

El propio informe insiste en la distinción: los 2.766 sistemas españoles expuestos no equivalen a 2.766 ciberataques. El recuento corresponde a interfaces y sistemas digitales visibles desde la red pública, no a instalaciones independientes ni a intrusiones confirmadas. Los investigadores no publicaron datos de proyectos, operadores ni direcciones IP concretas, y las organizaciones afectadas están siendo notificadas a través de los equipos nacionales de respuesta a incidentes.

Aun así, la advertencia de El Yadmani es explícita: en un escenario grave, si un atacante accediera a los sistemas necesarios y los dejara fuera de servicio, el impacto podría llegar a afectar a una ciudad o a un país entero. La asimetría es el problema. Un sistema que controla varias turbinas o un parque completo desde una sola pantalla concentra mucha capacidad de generación detrás de una única credencial.

La cifra además subestima el fenómeno. Los 8.547 sistemas son solo los que Modat pudo atribuir con seguridad a una instalación concreta; el informe reconoce que habrá muchos más que no se pudieron vincular por falta de información suficiente. Y el documento es del 6 de octubre: las cifras por país solo están en la versión completa, que se descarga tras rellenar un formulario.

¿Qué falla en la cadena de proveedores?

El punto ciego no suele ser el operador, sino la red de terceros que toca la planta. Thomas Plank, CEO de la austríaca Tributech, señala a Help Net Security que los parques solares y eólicos dependen hoy de decenas de conexiones remotas con operadores de red, comercializadores y empresas de mantenimiento, y que algunas de esas conexiones acabarán comprometidas. Su frase resume el problema: «una vez que un atacante está dentro, la red no puede distinguir una orden de parada legítima de una maliciosa».

Plank también matiza una solución que suena obvia. Lituania prohíbe que entidades de países que considera amenaza para la seguridad nacional, incluida China, controlen remotamente parques solares, eólicos y almacenamiento por encima de 100 kW. Preguntado si otros países deberían copiar la norma, responde que restringir el control remoto de proveedores de alto riesgo es un paso razonable de seguridad nacional, pero que atiende a quién se conecta, no a qué pasa después. La mayoría de los sistemas del informe están expuestos con independencia de dónde tenga sede el proveedor.

El marco regulatorio ya aprieta. NIS2, la directiva europea de ciberseguridad, hace responsables a los órganos de dirección de las entidades esenciales e importantes, tanto si los sistemas se operan internamente como si están externalizados. También fija una ventana de 24 horas para la alerta temprana de incidentes.

¿Qué significa esto para tu startup?

Si vendes software, hardware o servicios gestionados a clientes industriales —energía, agua, manufactura, logística— este informe es un aviso con nombre y apellidos. El fallo no está en la tecnología punta: está en una interfaz de administración que alguien dejó publicada en internet porque era la forma más rápida de dar soporte.

Tres acciones concretas que puedes ejecutar esta semana:

Inventaria cada conexión remota que toca tus equipos o los de tus clientes. Quién se conecta, desde dónde, a qué activo y si solo lee datos o también puede cambiar el estado del equipo. Plank advierte que muchos operadores no pueden producir esa lista hoy. Si tú puedes, ya tienes una ventaja comercial.
Saca las interfaces de administración de la internet pública y separa permisos. Cuentas individuales por proveedor con autenticación fuerte, sin credenciales compartidas, y el derecho a enviar comandos separado del derecho a monitorizar. Un técnico que solo necesita ver la producción no debería poder pulsar Stop.
Lleva tu propio registro de comandos y cambios de configuración. No dependas de los sistemas del proveedor para saber qué se ordenó y cuándo. Es la única forma de demostrar que cada cambio fue autorizado, y con NIS2 esa prueba tiene consecuencias legales para la dirección del cliente.

Y una recomendación de producto: si tu SaaS se conecta a infraestructura crítica, convierte la seguridad en argumento de venta. Un cuestionario de seguridad respondido con evidencia —inventario de accesos, autenticación por cuenta, registro independiente de comandos— acelera la compra en comités que ya están mirando la responsabilidad de sus directivos.

Conclusión

El titular de «España lidera» es cierto pero despista, porque premia al país que más instalaciones tiene y por tanto más superficie expone. Lo relevante no es el ranking: es que haya paneles de parques solares abiertos en internet sin contraseña, con botones de arranque y parada accesibles desde un navegador cualquiera. Eso no es un problema de España, sino de un sector que creció muy rápido, con muchos proveedores distintos, y que conectó equipos a la red sin preguntarse quién los ve desde fuera.

La buena noticia es que la solución, en la mayoría de los casos, no es sofisticada: retirar esas interfaces de la internet pública y asumir que un atacante ya podría estar dentro. La mala es la que conoce cualquiera que haya mantenido sistemas heredados: nadie arregla lo que no sabe que tiene conectado.