- En la mañana del 15 de noviembre de 2024 comenzaron a aparecer reportes en el DIY Solar Power Forum sobre inversores de la marca Deye inutilizados, y en algunas pantallas se mostraba un aviso indicando que no podían usarse en ciertos países junto con la solicitud de un código de 5 dígitos
- Deye es el fabricante por contrato de los inversores híbridos de Sol-Ark, y Sol-Ark mantiene desde 2018 los derechos exclusivos de venta en Estados Unidos, algo que ha hecho valer mediante varias demandas
- También hubo casos en Puerto Rico, Arizona, así como en Panamá y Canadá, por lo que sigue abierta la posibilidad de que el problema no se haya limitado solo al territorio estadounidense
- Sol-Ark tomó distancia diciendo que no controla las medidas de Deye, pero aun así ofreció a los consumidores residenciales afectados un programa de compra con descuento de inversores Sol-Ark equivalentes entre el 15 de noviembre y el 31 de diciembre de 2024
- Al quedar expuesto que los inversores solares conectados a internet pueden ser configurados y controlados de forma remota, instaladores y usuarios también deberían revisar el soporte oficial disponible y una arquitectura de red más segura
Reportes de inversores Deye inutilizados
- La mañana del viernes 15 de noviembre de 2024 surgieron reportes de que inversores de la marca Deye en todo Estados Unidos habían sido inutilizados intencionalmente
- En algunas pantallas de los inversores aparecía lo siguiente
- Ese inversor no puede usarse en Pakistan/USA/UK
- Instrucciones para contactar a Inverex en Pakistan, Sol-Ark en USA y Sunsynk en UK
- Un mensaje indicando que debía devolverse al proveedor
- Un aviso de que se necesita un código de 5 dígitos para comenzar en la siguiente pantalla y que ese código se genera automáticamente en el extranjero
- James Showalter, fundador/propietario de EG4 Electronics y Signature Solar, criticó en el DIY Solar Power Forum que apagar equipos que los propietarios de viviendas compraron y de los que dependen por una estrategia comercial es éticamente cuestionable
Casos reportados en varias regiones
- En el hilo del DIY Solar Power Forum se acumularon reportes de afectados de varios usuarios
- Captura de una publicación en un grupo de Facebook de un instalador en Puerto Rico
- webbbn, de Arizona, reportó que su inversor había quedado inutilizado
- PanGirl, de Panamá, reportó que de sus 2 inversores Deye solo 1, el que tenía dongle, quedó inutilizado
- van-traveler86, de Puerto Rico, reportó tener 2 clientes con el mismo problema
- newageddrywall, de Canadá, también reportó que su inversor quedó inutilizado
- Un usuario del foro que llamó a Sol-Ark dijo que el técnico que lo atendió parecía no conocer el problema, aunque mencionó que también habían recibido llamadas por lo mismo desde Canadá
- Debido a los casos de Panamá y Canadá, este problema podría no estar limitado solo a inversores dentro del territorio estadounidense
La relación de exclusividad de venta entre Sol-Ark y Deye
- Deye es el fabricante por contrato de los inversores híbridos de Sol-Ark
- Sol-Ark mantiene desde 2018 la exclusividad para vender esos inversores en Estados Unidos, y eso ha sido confirmado en litigios durante varios años
- Algunas empresas han vendido inversores de la marca Deye para instalaciones, lo que aparentemente viola el contrato de exclusividad entre Sol-Ark y Deye
- Sol-Ark ha hecho valer esa exclusividad mediante procesos judiciales
- No está claro cuál fue el detonante directo de este apagado, por qué ocurrió ahora ni por qué no ocurrió antes
Programa de apoyo limitado de Sol-Ark
- Tras los reportes iniciales, Deye publicó una postura separada sobre este asunto el 30 de noviembre de 2024
- Sol-Ark dijo estar al tanto de la situación causada por inversores de la marca Deye vendidos sin autorización en Puerto Rico y Estados Unidos
- Sol-Ark afirmó que no controla las medidas de Deye y que, aunque el mensaje en pantalla de los inversores Deye puede dar la impresión de que Sol-Ark puede ofrecer garantía o servicio, en realidad no puede hacerlo
- Aun así, como las medidas de Deye pueden afectar directamente a hogares individuales, propuso una solución limitada
- Periodo: del 15 de noviembre de 2024 al 31 de diciembre de 2024
- Elegibilidad: consumidores residenciales que hayan instalado un inversor de la marca Deye y cuya funcionalidad haya sido desactivada por Deye
- Beneficio: posibilidad de comprar un inversor Sol-Ark nuevo de rendimiento equivalente con un descuento importante
- Sol-Ark cubrirá el costo de envío del equipo Sol-Ark a direcciones en Puerto Rico
- No estará disponible después del 31 de diciembre de 2024
- No aplica para instalaciones comerciales ni entidades comerciales
- Sol-Ark no cubrirá costos de instalación, retiro del inversor Deye ni daños ocasionados por el inversor Deye o por las medidas de Deye
- Los solicitantes deben tomar fotos del número de serie y del número de modelo del inversor Deye y luego contactar a Adriana Navarro de Sol-Ark
- Sol-Ark se reserva la decisión final y la discreción sobre la disponibilidad y las condiciones operativas del programa
MySolArk y la estructura de gestión remota
- Simon McLean, vicepresidente de marketing de Sol-Ark, dijo que los inversores Sol-Ark se gestionan, actualizan y reciben servicio a través de su plataforma propia, MySolArk
- MySolArk fue diseñada e implementada para la seguridad y la privacidad de los clientes de Sol-Ark
- Los datos obtenidos a través de la plataforma son procesados y mantenidos por Sol-Ark dentro de Estados Unidos y se usan conforme a la política de privacidad de Sol-Ark
- Sol-Ark dijo que desarrollará y desplegará MySolArk con la seguridad energética, la resiliencia y la privacidad del cliente como principios centrales
Lo que queda pendiente para instaladores y usuarios
- Algunos usuarios podrían no poder usar actualmente su generación solar ni su energía de respaldo
- También ha crecido la preocupación por la impresión de que una empresa china pudo bajar remotamente el interruptor del inversor y detener la producción eléctrica
- Muchas instalaciones solares en Estados Unidos generan electricidad con inversores fabricados en China, y en un contexto de crecientes tensiones y conflictos comerciales con China, podría existir un nivel de influencia incómodo
- Incluso dejando de lado los problemas políticos entre países, la conectividad a internet de las instalaciones solares montadas en los últimos 5 a 10 años se ha revelado como un gran problema potencial
- La mayoría de los fabricantes de inversores tienen por defecto algún método para configurar los inversores de forma remota, y esos sistemas internos pueden convertirse en un gran objetivo para atacantes cibernéticos
- Los instaladores deberían elegir con cuidado inversores que cuenten con soporte oficial y directo dentro de Estados Unidos
- Los sistemas usados como respaldo durante apagones o como inversores completamente off-grid necesitan una arquitectura de red más segura
- Aún no se conoce la solución final para los clientes afectados, y como Deye no realizó verificaciones geográficas al momento de la instalación inicial, es muy probable que personas equivocadas terminen perjudicadas
1 comentarios
Opiniones de Hacker News
El problema de fondo, como siempre, es que se haya normalizado la situación en la que un dispositivo dentro de la casa, aunque se acceda a él desde dentro de la casa, necesita acceso a la nube para hacer estas cosas o incluso para funcionar
Antes, las mediciones del inversor se habrían ofrecido mediante un servidor web local dentro del dispositivo. Incluso podrían haber pegado un código QR en el equipo para que también pudiera acceder un usuario común de smartphone. Las actualizaciones de firmware deberían ser una aplicación opcional física, como insertar una memoria USB o una tarjeta MicroSD y presionar un botón
No debería ser una nube sospechosa que, por problemas legales, mala fe o pura incompetencia, pueda modificar o eliminar funciones sin aviso. Mi lavavajillas todavía tiene una lucecita que me avisa que no lo he conectado al Wi-Fi, y jamás lo voy a conectar. Sigue lavando los platos perfectamente
Se puede conectar eso a una PC con un adaptador USB-serial de 5 dólares, directamente a una Raspberry Pi, o a uno de esos dongles de nube de 20 dólares. Si solo se obliga a incluir una interfaz serial, el inversor en sí no necesita ninguna interfaz web
[0]: https://en.wikipedia.org/wiki/IEC_62056
[1]: https://jensd.be/1183/linux/read-data-from-the-belgian-digit...
Está bien dejar como opcionales los cambios importantes de funcionalidad
Este tipo de cosas solo se va a detener cuando empiece a tratarse como un ataque malicioso. Como con el ransomware, habría que buscar a los responsables y, si los atrapan, imponerles penas de prisión considerables
Lo mismo vale para la destrucción maliciosa de dispositivos de consumo común, y también para ataques a infraestructura crítica como este. Claro que, en este último caso, el castigo debería ser proporcionalmente más severo
https://pemc.coop/bill-protecting-critical-infrastructure-si...
Según el artículo, parece que el título está mal. Quien hizo esto no parece haber sido el distribuidor estadounidense Sol-Ark, sino el fabricante Deye
Porque es difícil responsabilizar a Deye o a empresas chinas. Más aún, debería verse como una señal de advertencia de que seguir rotando proveedores internacionales para infraestructura crítica puede convertirse en un problema de seguridad nacional. No es aceptable que todos ellos tengan la capacidad de apagar la electricidad de Estados Unidos
No hay razón para tener que importar estas cosas
Deye probablemente habrá dicho algo como “tenemos una obligación contractual”. En mi opinión, ambos tienen culpa
Siento que estas cosas no deberían estar ni cerca de Internet. No solo porque el fabricante pueda desactivarlas de repente, sino también porque el software normalmente está lleno de agujeros
La conexión a Internet debería limitarse a que el dispositivo se conecte de vez en cuando a un servidor para pedir actualizaciones, y no debería ser accesible directamente desde afuera. Mientras no comprometan también el servidor de actualizaciones, no veo bien qué podría pasar realmente
Uso un inversor SolarEdge y, por miedo a que algo así fuera posible, no lo conecté a Internet. Aunque sea de otra compañía, siento que esa preocupación resultó estar justificada
No entiendo bien por qué se culpa a Sol-Ark
La gente compró inversores chinos para el mercado chino en mercados grises como AliExpress y los llevó a otros países, y Deye decidió tomar medidas contra eso. Por ahora, no hay pruebas de que Sol-Ark esté involucrada en este asunto más allá de ser el distribuidor autorizado en Estados Unidos de inversores Deye remarcados
Así que la gente, de manera natural, terminó yéndose a inversores Deye no listados por culpa de las maniobras de Sol-Ark. Ahora esas personas están sin electricidad y, para recuperarla, probablemente tengan que ir con Sol-Ark y pagar mucho dinero
Si Deye destruyó productos comprados legalmente dentro de Estados Unidos, creo que violó la ley estadounidense. Ojalá los dueños de los inversores presenten una demanda colectiva contra Deye en Estados Unidos. Un tribunal incluso podría bloquear la venta de productos de la compañía en Estados Unidos hasta que restauren los inversores y paguen compensaciones
¿Alguien que tenga un inversor solar puede explicar por qué estos dispositivos se conectan a internet?
Pero en la práctica casi siempre significa conexión a internet. Porque la interfaz más simple es Wi-Fi, y la recopilación y visualización de datos se hacen en los servidores del fabricante. Así que cualquier función adicional termina siendo conexión a internet.
Parece que había una disputa de dinero entre ellos, porque el subcontratista me pidió que les pagara la factura directamente a ellos. Si no, amenazaron con apagar la instalación solar recién instalada. Mientras hablaba por teléfono preguntando “¿eso es posible?”, por supuesto cambié la contraseña del Wi-Fi.
Esa app también permite control remoto y monitoreo del inversor mediante servidores en la nube desconocidos. Yo opero todo solo de forma local, así que eso jamás va a pasar.
Este fabricante, para reducir costos, puso ambos en la misma “caja”, y como resultado un estado de error del controlador pudo haber llevado a que la parte del inversor dejara de funcionar. Algunos sistemas, como el mío de Enphase, están bien diseñados para que el inversor funcione de manera independiente del software de monitoreo/control. Aunque para eso habría que agregar almacenamiento de datos al propio inversor, de modo que pueda registrar datos incluso durante una “caída” del controlador.
Todas las interfaces web donde ves el uso también recopilan información útil para modelos predictivos. Uno de los investigadores con los que trabajé escribió un paper sobre el uso de mediciones distribuidas de producción solar residencial para ayudar a generar pronósticos de irradiancia de mayor resolución y estimaciones de valores reales/observados. Para que eso sea confiable hay que limpiar muchos datos. Por lo que recuerdo, esos datos se compraban y vendían para varios modelos meteorológicos de investigación y comerciales.
Esta doctrina legal ya existía hace 10 años.
https://www.finnegan.com/en/insights/articles/u-s-supreme-co...
“La Corte Suprema de EE. UU. sostuvo que los libros impresos y vendidos en el extranjero pueden revenderse libremente en Estados Unidos porque los derechos de autor se agotan bajo la doctrina de la primera venta… La decisión Kirtsaeng es importante para los titulares de derechos de autor, y puede tener implicancias importantes para los titulares de patentes que fabrican y venden en el extranjero productos que implementan patentes estadounidenses.”
https://www.iveticlaw.com/owning-vs-controlling-understandin...
La doctrina de la primera venta es un principio legal que limita el control del titular de derechos de autor sobre una copia específica de una obra una vez que esa obra fue vendida legalmente. En términos más prácticos: después de comprar un libro, CD, DVD, obra de arte u otra copia autorizada de una obra, por lo general no necesitas permiso del titular de derechos para revender, prestar, regalar o incluso destruir ese objeto específico.
Para convertir algo en ladrillo de forma remota se necesita software, y el software se vende bajo la ley de derechos de autor.
Y eso no tiene relación con contratos de exclusividad entre empresas, que es lo que parece ser este caso.
Uso Deye desde 2019. Estaba usando un inversor azul conectado a la red con limitador para operar sin exportación, y tenía una etiqueta del fabricante Deye. Así que lo busqué, lo encontré en Alibaba y compré algunos directamente. Solo después me enteré de que tenía relación con Sol-Ark. Por suerte no confié en su solución de dongle/nube, así que solo lo conectaba cuando pedía una actualización de firmware.
En algún momento supe que el producto había sido diseñado junto con Sol-Ark, que Sol-Ark había presionado a Deye para que dejara de vender en el mercado estadounidense, y que Deye efectivamente detuvo las ventas directas en EE. UU. Entiendo la postura de Sol-Ark, pero mucha gente lo compró sin saber nada de esa relación, o ni siquiera imaginó que comprar productos directamente desde China —algo tan común— pudiera considerarse mercado gris. Además, como casi todos los que trastean con esto, Sol-Ark nos parecía demasiado caro como para siquiera considerar comprarlo, y tampoco lo conocíamos bien.
Aunque esta decisión haya venido puramente de Deye, es una consecuencia directa de la presión de Sol-Ark para impedir que los inversores se vendieran en el mercado estadounidense. Cuando los intermediarios lograron esquivarlo lo suficiente, sintieron que tenían que hacer esto.
De nuevo, entiendo la postura de Sol-Ark, pero se ve muy mal. Lo veo parecido a cierto tipo de piratería de medios. Esa gente de todos modos no te habría pagado en la forma en que lo ofreces, y lo único que estás logrando ahora es que potenciales clientes futuros te odien. Seguramente sería más rentable enfocar esos recursos en otra parte.
Sol-Ark sin duda parece estar demostrando eso de “nunca desperdicies una crisis”.
Puede que Sol-Ark no haya apretado directamente el gatillo para convertir los inversores en ladrillos, pero suena a que sus acciones legales presionaron a Deye. Y más todavía cuando ahora agitan ante las personas cuyos inversores quedaron inutilizados una oferta por tiempo limitado para comprarles a ellos un producto nuevo.
Sol-Ark no obligó a Deye a hacer esto; de hecho, parecen sorprendidos, así que decir eso me parece bastante deshonesto.