8 547 systèmes de parcs éoliens et solaires européens exposés sur internet : la clause cyber-guerre compte l'impact par État, l'exposition se compte par site

Des milliers d'interfaces d'administration de parcs éoliens et solaires européens sont accessibles depuis internet, rapporte Insurance Journal le 6 octobre 2026, d'après une dépêche de Reuters. Soufian El Yadmani, de la société de balayage d'internet Modat, et Bouke van Laethem, du centre national de cybersécurité néerlandais (NCSC), ont présenté leurs résultats le même jour à la ONE Conference de La Haye. À l'aide d'apprentissage automatique, ils ont relié 8 547 systèmes exposés à des sites précis, 7 942 parcs solaires et 605 parcs éoliens, dans 35 pays. La plupart sont des pages de connexion ; mais sur environ 181 sites, les chercheurs estiment qu'une prise de contrôle complète aurait été possible. La page web d'une éolienne affichait ses données en direct, sa localisation et des boutons « Start, Stop and Reset ».

La répartition est inégale. L'Espagne compte le plus de systèmes solaires exposés, 2 766, devant la Grèce, 1 860 ; l'Allemagne, première capacité solaire installée d'Europe, en compte 672, et le plus de systèmes éoliens exposés, 212, devant l'Italie, 192. Les chercheurs préviennent que ce classement reflète en partie les sites qu'ils ont réussi à identifier. Le rapport cite l'analyse par CERT Polska d'une attaque de décembre 2025 contre 30 sites éoliens et solaires en Pologne, et l'article rappelle que les sabotages et cyberattaques visant les infrastructures européennes depuis 2022 sont fréquemment attribués par les gouvernements occidentaux à la Russie, qui dément. L'agence européenne ENISA n'a pas commenté.

La dépêche ne dit pas un mot d'assurance. Elle décrit pourtant un geste que les assureurs cyber pratiquent eux-mêmes : le balayage externe, qui observe depuis internet ce qu'une organisation expose. Mais le souscripteur balaie par assuré, à partir des domaines et des adresses que le candidat déclare ; les chercheurs ont balayé par site, et ils disent eux-mêmes que le rattachement à un lieu est la partie difficile. Un parc détenu par une société de projet, exploité par un prestataire et piloté par l'interface d'un fabricant n'apparaît pas nécessairement dans le périmètre que l'exploitant déclare à son assureur.

C'est sur le terrain politique que l'angle se resserre. La clause LMA 5565A du 18 janvier 2023, l'une des rédactions de place pour l'exclusion de guerre en cyber, exclut l'opération cyber étatique qui fait d'un État un « État impacté » : celui où l'opération a eu un effet préjudiciable majeur sur son fonctionnement, par l'atteinte à un service essentiel, et la clause nomme les services d'utilité publique parmi ceux-ci. Les autres opérations étatiques restent couvertes, dans deux limites fixées au contrat, l'une par opération, l'autre pour la période. Le seuil se mesure donc État par État.

Or l'exposition décrite ici est dispersée sur 35 pays. Un acteur qui arrêterait les 181 sites pilotables à la fois produirait une perte transfrontière dont aucune part nationale n'atteindrait peut-être le seuil : l'opération, même attribuée à un État, tomberait alors dans la limite par opération et non dans l'exclusion. À l'inverse, une campagne concentrée sur un seul pays se rapproche du seuil. Avant même la question de l'attribution, la géographie de l'attaque décide de la partie de la clause qui joue. Et un bouton « Stop » produit une perte de production sans dommage matériel, que la police dommages d'un parc, bâtie sur le dommage, ne capte pas.

La conséquence se lit à deux endroits. Pour le souscripteur cyber d'un exploitant d'énergie, le questionnaire décrit l'entreprise, rarement la liste de ses sites et de leurs interfaces exposées : c'est pourtant là que la dépêche situe le risque. Pour l'analyste des accumulations, le scénario qui pèse sur la limite par opération n'est pas le grand événement national, que la clause exclut, mais l'événement dispersé sous le seuil. En février 2022, l'attaque du réseau satellitaire KA-SAT avait privé environ 5 800 éoliennes allemandes de leur télésurveillance par une infrastructure que les exploitants ne contrôlaient pas. Ce qui a changé, c'est que l'exposition est désormais dans les parcs eux-mêmes.

L'article ne dit pas si l'un des 181 sites a été effectivement exploité, à qui ils appartiennent, ni comment ils se répartissent entre pays. Il ne dit rien de l'attribution de l'attaque polonaise de décembre 2025 ni des pertes qu'elle a causées, assurées ou non. On ignore combien d'exploitants retireront leurs interfaces d'internet, comme les chercheurs le demandent, et ce que répondront ENISA et les autorités allemande, italienne et espagnole. Il faudra regarder si un gouvernement européen formule une attribution officielle, que la clause retient parmi les éléments de preuve.