Alle quattro del mattino del 2 novembre, mentre a Catania e Palermo i banchi surgelati di alcuni Coop del gruppo Radenza salivano di temperatura e il personale cominciava a mandare al macero prodotti a chili, da qualche parte qualcuno aveva appena fatto la cosa più banale del mondo: collegarsi a una console di refrigerazione affacciata su internet e cambiare un parametro.
Non un’arma cyber di precisione. Un setpoint.
Nelle ore successive la stessa scena si è ripetuta identica in mezza Europa (una quarantina di punti vendita Delhaize tra Belgio e Lussemburgo, quindici Carrefour, qualche Spar, un IKEA a Mons, sette Coop svedesi, tredici SuperValu irlandesi poi ripristinati, un Selver in Estonia) con segnalazioni ancora da consolidare in altri paesi.
In Italia, oltre alla Sicilia, l’Agenzia per la cybersicurezza nazionale ha incassato la notifica NIS di un’azienda toscana di ristorazione collettiva e ha rilevato un attacco, non ancora notificato, ai danni di un produttore di surgelati emiliano. Il conteggio esatto dei negozi e dei paesi balla da una testata all’altra. La dinamica no: è sempre la stessa.
Indice degli argomenti
Attacchi ai supermercati: la storia comoda
Entro mezzogiorno la cornice era già confezionata e pronta per il telegiornale: Stato nemico, guerra ibrida, vertice d’urgenza a Palazzo Chigi con intelligence e ACN. È una narrazione rassicurante, e si capisce perché piaccia tanto: sposta la responsabilità il più lontano possibile da chi quella responsabilità ce l’aveva davvero.
Se dietro c’è Mosca, il controller lasciato aperto su internet è una vittima della geopolitica. Se dietro non c’è nessuno di così sofisticato, è un problema di manutenzione e la manutenzione ha un nome, un contratto e una fattura.
Nessuno ha rivendicato, ed è vero che l’assenza di rivendicazione tiene aperta l’ipotesi dell’attore statuale interessato solo a seminare sfiducia. Ma tenere aperta un’ipotesi non è dimostrarla, e soprattutto non è necessaria per spiegare quello che è successo.
Per fare quello che è stato fatto non serviva un APT con un budget da ministero. Serviva un’interfaccia di amministrazione raggiungibile da un IP pubblico e una credenziale debole. Ce ne sono a migliaia già pronte, elencate, indicizzate. Quando il rasoio di Occam e la geopolitica arrivano a conclusioni diverse, in sicurezza conviene quasi sempre dare retta al rasoio.
Tre mesi di preavviso
Perché la parte che fa davvero rabbia non è l’attacco. È il calendario.
Il 9 agosto Claroty Team82 pubblica l’analisi del Danfoss AK-SM 800A, il supervisore che coordina la refrigerazione di supermercati e magazzini: un meccanismo di autenticazione aggirabile e due falle ulteriori, catalogate come CVE-2025-41450 (bypass dell’autenticazione), CVE-2025-41451 (esecuzione di codice post-autenticazione) e CVE-2025-41452 (manomissione della configurazione e blocco del servizio).
Le correzioni esistono da allora: la 4.2 chiude il bypass, la 4.3.1 anche le altre due, e da ottobre è disponibile la 5.3.x. Il 12 ottobre il CERT-FR francese alza il bollettino CERTFR-2026-ALE-012 su compromissioni già in corso di Danfoss AK-SM/AK-SC e dei sistemi XWEB di Copeland e Dixell, con una richiesta esplicita: togliere questi apparati dagli indirizzi pubblici, riaprirli solo dietro VPN, attivare la modalità «Strict».
Il giorno dopo, il 13 ottobre, l’ACN pubblica il proprio avviso per la filiera del freddo. Nel frattempo, Reuters conta tramite Shodan almeno 4.500 interfacce Danfoss visibili su internet, e la Francia – colpita a metà ottobre – parla di circa 700 supermercati su 10.000.
Poi arriva il 2 novembre e ci facciamo trovare con gli stessi apparati, sullo stesso Shodan, con le stesse porte aperte. Non è dimostrato che siano proprio quelle CVE il vettore degli attacchi di novembre; i dettagli tecnici degli accessi non sono pubblici.
Ma, onestamente, cambia poco: che la porta sia stata forzata con un exploit da manuale o semplicemente spinta perché era accostata, resta il fatto che era segnalata come aperta da tre mesi, da tre fonti diverse, su tre tavoli diversi.
Cosa si rompe, in due righe
Il meccanismo è meno fantascientifico di come lo raccontano. Un supervisore centralizzato pilota compressori, allarmi e cicli di sbrinamento di decine di banchi e celle. Lo sbrinamento è un’operazione legittima e quotidiana: per sciogliere la brina il freddo viene sospeso e, in certi impianti, si attivano perfino delle resistenze.
Chi arriva alla console non deve inventarsi nulla di esotico: prolunga lo sbrinamento o sposta il setpoint, e il freddo se ne va da solo, senza che nessuno entri nel negozio. L’interfaccia di gestione raggiungibile da un IP pubblico più una credenziale di default è, letteralmente, tutto il red team necessario.
Il buco che nessuno vuole nominare
E qui sta il punto che il vertice istituzionale tende a saltare. Quel controller, molto spesso, non è nell’inventario dell’IT del retailer. È la linea di teleassistenza del frigorista, installata per cambiare un parametro da remoto senza spedire un tecnico a duecento chilometri. Vive in una zona grigia: non lo vede la sicurezza aziendale, non lo presidia il fornitore oltre il minimo contrattuale, non lo censisce nessuno finché un banco non va a 50 gradi.
È esattamente lo scenario che la NIS2, all’articolo 24, chiama rischio di supply chain: non la tracciabilità dei beni, ma l’obbligo di proteggere i tuoi sistemi dai vettori che ti arrivano dal fornitore e l’accesso VPN del manutentore è il vettore da manuale.
L’articolo 23 aggiunge che la responsabilità, quando le cose vanno male, è personale e sale fino al consiglio di amministrazione.
Con un dettaglio che rende la faccenda ancora più impietosa: molti supermercati al dettaglio potrebbero non rientrare nemmeno nel perimetro NIS2, perché contano l’attività effettiva e le soglie dimensionali. Il che smonta alla radice l’idea consolatoria che basti «essere a norma» per essere al sicuro.
Il bollettino ACN c’era dal 13 ottobre; è stato ripescato e rimesso in cima il 3 novembre, a danni già fatti. Un documento ineccepibile, arrivato puntualmente in ritardo sulla realtà. Averlo ricevuto non è averlo applicato: la compliance produce carta, non temperatura.
La lezione estone che l’allarmismo ha buttato via
C’è poi un dettaglio tecnico che nel clamore è sparito, e che vale più di mezza inchiesta sui mandanti. In Estonia, da Selver, il setpoint era stato portato a 50 gradi, ma la temperatura reale dei freezer è salita soltanto di due o tre, e il fornitore ha rimesso tutto in ordine in dieci-quindici minuti senza buttare nulla.
Tradotto per ogni direttore di punto vendita svegliato alle sei del mattino: il numero manomesso sul display non è la temperatura del cibo.
Prima di mandare al macero mezzo banco, si misura la temperatura effettiva al cuore del prodotto, si incrocia con il registro HACCP e con il tempo reale di esposizione. L’attaccante punta al danno diretto quanto alla reazione sproporzionata: buttare per panico quello che era ancora conforme è la seconda metà dell’attacco, quella che gli esce gratis.
Cosa si fa stanotte, senza aspettare il prossimo vertice
Niente di cui parlare a Palazzo Chigi, perché è igiene, non geopolitica. Si censisce ogni controller – modello, firmware, stato di supporto, indirizzo di gestione, chi lo amministra davvero – e lo si fa insieme ai frigoristi, perché quegli apparati l’IT centrale spesso non li vede proprio.
Si tolgono le interfacce di amministrazione dagli IP pubblici: uno Shodan sul proprio range dice in trenta secondi quello che l’attaccante ha già visto comodamente da casa. Si riapre l’accesso solo via VPN con autenticazione a più fattori, tenendo presente che il filtro sul solo IP del manutentore è un tampone d’emergenza, non una soluzione. Si cambiano le credenziali di default, che su questi dispositivi sono una costante antropologica. Sui Danfoss compatibili si attiva la modalità Strict e si aggiorna a 4.3.1 o 5.3.x. E sugli apparati a fine vita si mette a bilancio la sostituzione, perché contro una falla non più correggibile il reset di fabbrica è soltanto teatro.
Quindi, la domanda per il consiglio di amministrazione non è quale bandiera ci sia dietro i vostri frigoriferi andati a 50 gradi. È un’altra, molto meno scenografica e molto più scomoda: in questo preciso momento, uno dei vostri controller sta rispondendo a uno sconosciuto da un indirizzo IP pubblico e nel contratto con chi vi fa manutenzione chi era incaricato di assicurarsi che non lo facesse?
Partecipa alla community