Aucune preuve concluante de dispositifs cachés dans des onduleurs solaires chinois

De nouveaux documents révèlent que le gouvernement américain n’a identifié que deux cas de communications dans des onduleurs chinois ne correspondant pas à la documentation officielle. Ces écarts ont été jugés “non malveillants” et “non intentionnels” par les enquêteurs.

janvier 28, 2026 Matthew Lynas

Le département américain de l’Énergie (U.S. Department of Energy, DOE) a partagé une analyse des risques liés à la chaîne d’approvisionnement associés aux technologies sans fil intégrées aux onduleurs, à la suite d’informations relayées par les médias faisant état de la présence de dispositifs potentiellement malveillants.

Image : Pixabay

D’après pv magazine International

Selon un rapport consulté par pv magazine, l’analyse menée par le gouvernement américain sur des onduleurs fabriqués en Chine n’a mis en évidence “aucune preuve définitive” de fonctions sans fil malveillantes. Le document examine l’étendue des communications sans fil dans les onduleurs et les risques qu’elles peuvent poser.

Le département américain de l’Énergie (DOE) a diffusé cette analyse auprès des acteurs du secteur de l’énergie après la publication, en mai 2025, d’un article de Reuters évoquant la présence de communications sans fil non documentées dans des onduleurs chinois.

Les laboratoires nationaux du DOE ont inspecté “environ 30 onduleurs” et identifié deux cas dans lesquels les communications observées différaient de la documentation officielle. Ces différences ont toutefois été qualifiées de “non malveillantes” et “non intentionnelles”.

Dans son analyse, le DOE précise que la documentation dite “as built” ne reflète souvent que les fonctions de communication activées. Il recommande donc aux propriétaires et exploitants d’onduleurs de vérifier les protocoles de communication présents sur leurs équipements et de désactiver ceux qui ne sont pas nécessaires. L’analyse indique également que les fabricants peuvent conserver un accès à distance à des fins de garantie ou de sécurité, généralement prévu contractuellement “lorsque requis”.

Le DOE souligne néanmoins que les menaces liées à la chaîne d’approvisionnement demeurent, et que la “complexité des chaînes d’approvisionnement des onduleurs” peut créer des opportunités de failles de cybersécurité ou d’introduction de composants malveillants. Le département estime qu’une communication non documentée ou implantée dans un seul onduleur aurait peu de chances d’avoir un impact à l’échelle du réseau électrique, mais qu’une manipulation coordonnée sur plusieurs sites pourrait avoir des effets plus importants, bien qu’un tel scénario soit plus difficile à mettre en œuvre.

La gestion des risques liés à la chaîne d’approvisionnement est décrite par le DOE comme une responsabilité partagée entre ingénieurs, fabricants, intégrateurs, prestataires de services et exploitants de systèmes. Le département met en avant ses Supply Chain Cybersecurity Principles à destination des fournisseurs et recommande aux exploitants de les adopter afin de renforcer la sécurité et la résilience de leurs installations.

Parmi les recommandations du DOE pour gérer les communications sans fil non documentées dans les onduleurs figure l’adoption d’une approche graduée pour les composants fabriqués dans des pays considérés comme des “foreign entities of concern”. Cette hiérarchisation repose notamment sur l’existence de préoccupations liées à la propriété étrangère, au contrôle ou à l’influence exercée sur les fabricants et intégrateurs impliqués dans la production et l’installation des onduleurs. Les stratégies d’atténuation proposées pour l’industrie américaine incluent des analyses détaillées des firmwares et le recours à des entreprises basées aux États-Unis pour les opérations d’exploitation et de maintenance.

Dans son article publié en mai, Reuters indiquait que les responsables américains de l’énergie réévaluaient les risques posés par des équipements fabriqués en Chine, en s’appuyant sur deux sources anonymes. Le nombre d’appareils examinés n’avait alors pas été précisé. Reuters affirmait également qu’une source avait révélé la découverte de dispositifs de communication non documentés dans certaines batteries provenant de plusieurs fournisseurs chinois.

Quelques jours plus tard, l’association professionnelle européenne SolarPower Europe a appelé l’Union européenne à mettre en place des réglementations strictes en matière de cybersécurité pour les infrastructures solaires, à la suite de la découverte de composants non documentés dans des équipements énergétiques importés au Danemark.

Début juin, l’organisation danoise Green Power Denmark a exclu tout lien entre les composants suspects identifiés dans des équipements énergétiques locaux et les informations faisant état d’onduleurs solaires compromis aux États-Unis. L’organisation a précisé que l’enquête de cybersécurité en cours concerne des technologies plus larges de l’approvisionnement énergétique et non spécifiquement le secteur solaire.

Ce contenu est protégé par un copyright et vous ne pouvez pas le réutiliser sans permission. Si vous souhaitez collaborer avec nous et réutiliser notre contenu, merci de contacter notre équipe éditoriale à l’adresse suivante: editors@pv-magazine.com.