Bảo mật tài khoản giám sát biến tần trên đám mây: chủ hệ điện mặt trời nên làm gì?

Hầu hết biến tần hòa lưới và hybrid hiện nay đều kèm bộ thu phát Wi-Fi/4G gửi dữ liệu lên nền tảng đám mây của hãng, để chủ nhà xem sản lượng trên điện thoại và thợ lắp đặt hỗ trợ từ xa. Tiện lợi này đi kèm một thực tế: tài khoản giám sát không chỉ để "xem số", mà ở nhiều nền tảng còn cho phép đổi cài đặt, giới hạn công suất phát, thậm chí cập nhật firmware từ xa. Vì vậy, nó cần được giữ gìn như tài khoản ngân hàng.

Vì sao chủ đề này đáng quan tâm lúc này

Các nền tảng giám sát của những hãng lớn đã nhiều lần phải vá lỗi bảo mật:

• Tháng 3/2025, nhóm nghiên cứu Forescout Vedere Labs công bố 46 lỗ hổng (gọi chung là SUN:DOWN) liên quan đến thiết bị và nền tảng đám mây của Sungrow, Growatt và SMA; các hãng đều đã khắc phục sau khi được thông báo.
• Hãng Sungrow tự công bố các bản tin bảo mật cho iSolarCloud, ví dụ CVE-2025-29756 (mức cao, đã sửa ngày 07/6/2025) và SGSA-202512-122202 (mức trung bình, đã sửa ngày 18/12/2025). Cả hai đều được hãng vá phía máy chủ, khách hàng không phải thao tác.
• Theo PV Tech, gần đây một lỗi xác thực trên iSolarCloud được báo cho hãng ngày 22/8/2026 và được vá khẩn cấp ngày 25/8/2026; Sungrow cho biết rà soát nhật ký không thấy dấu hiệu dữ liệu khách bị lộ, và các chức năng quan trọng như cập nhật firmware vẫn đòi xác thực bổ sung.

Điểm chung: lỗi nằm ở phía nền tảng và được hãng sửa, nhưng mức độ thiệt hại khi có sự cố phụ thuộc nhiều vào thói quen của chính người dùng — mật khẩu yếu, tài khoản dùng chung, mạng nhà không được bảo vệ. Đây là phần bạn kiểm soát được, với bất kỳ thương hiệu nào.

4 việc nên làm ngay

1. Mật khẩu riêng và xác thực hai lớp (2FA)

• Đặt mật khẩu dài (từ 12 ký tự), không dùng lại mật khẩu email, mạng xã hội hay mật khẩu mặc định do thợ đặt khi bàn giao.
• Nếu ứng dụng có 2FA, hãy bật. Khi bàn giao hệ thống, yêu cầu đơn vị lắp đặt chuyển tài khoản chủ hệ sang email/số điện thoại của bạn.

2. Rà soát ai đang có quyền truy cập

• Trong ứng dụng, xem mục chia sẻ/ủy quyền nhà máy (plant). Gỡ tài khoản của thợ, đại lý hay người nhà không còn cần.
• Doanh nghiệp nên tách tài khoản "chỉ xem" cho nhân viên và giữ quyền quản trị cho một đầu mối.

3. Cập nhật ứng dụng và firmware qua kênh chính thức

• Chỉ tải ứng dụng từ App Store/Google Play hoặc trang của hãng, không cài tệp APK do người lạ gửi.
• Firmware biến tần và bộ thu phát nên được cập nhật theo hướng dẫn của hãng hoặc kỹ thuật viên của đơn vị lắp đặt, không tự nạp tệp trôi nổi.

4. Bảo vệ mạng Wi-Fi mà bộ thu phát kết nối

• Đổi mật khẩu quản trị mặc định của modem/router; nếu modem hỗ trợ, cho bộ thu phát dùng mạng khách (guest) tách riêng với máy tính, camera.
• Không mở cổng (port) trên modem để truy cập biến tần từ xa nếu không thật sự hiểu cấu hình.

Khi nào nên báo đơn vị lắp đặt

Hãy liên hệ ngay nếu thấy: nhận email đổi mật khẩu mà bạn không yêu cầu; cài đặt biến tần (giới hạn phát lên lưới, chế độ sạc/xả pin) tự thay đổi; hệ thống phát thấp bất thường dù trời nắng; hoặc tài khoản lạ xuất hiện trong danh sách chia sẻ. Kỹ thuật viên có thể kiểm tra nhật ký, khôi phục cài đặt và đổi khóa truy cập.

Có nên tắt hẳn kết nối đám mây?

Không cần thiết với đa số hộ gia đình. Giám sát từ xa giúp phát hiện sớm lỗi biến tần, pin hay tấm pin bẩn, và là căn cứ khi yêu cầu bảo hành. Cách hợp lý là giữ kết nối nhưng siết quyền truy cập. Với hệ thống doanh nghiệp công suất lớn, nên trao đổi với đơn vị thi công về phương án mạng tách biệt và quy trình cập nhật firmware có kiểm soát.

INSOLAR tư vấn: bảo mật không thay thế được bảo trì, nhưng một tài khoản được giữ cẩn thận giúp bạn yên tâm rằng hệ điện mặt trời chỉ làm theo cài đặt của chính bạn.