Il richiamo sulla catena del freddo riguarda anche chi non gestisce frigoriferi. Nel nuovo avviso dell’Agenzia per la cybersicurezza nazionale, diffuso il 4 novembre, la sicurezza delle interfacce di management dei sistemi connessi entra al centro dell’allerta.
Il CSIRT Italia ne chiarisce il perimetro: le raccomandazioni si rivolgono a tutti i soggetti che impiegano sistemi industriali di gestione remota, indipendentemente dal settore di appartenenza.
Per le aziende la domanda immediata è chi possa raggiungere i comandi degli impianti e modificarne il funzionamento. Il caso della refrigerazione rende visibile la conseguenza: un accesso abusivo può tradursi in un’alterazione del processo fisico.
La verifica deve, quindi, tenere insieme protezione degli accessi e integrità operativa, coinvolgendo chi conosce le reti e chi risponde dell’impianto.
Indice degli argomenti
Dalla catena del freddo alla sicurezza della telegestione
Il nuovo richiamo sollecita l’applicazione urgente delle raccomandazioni già formulate per distribuzione alimentare e filiera del freddo.
Il bollettino del 13 ottobre resta il riferimento operativo: censimento delle esposizioni, separazione delle reti, accessi remoti protetti, verifica degli account, controllo dei parametri e gestione dei dispositivi fuori supporto.
Il passaggio da cogliere è l’applicabilità trasversale delle misure: l’attenzione deve seguire la funzione di controllo remoto, anche fuori dalla distribuzione alimentare.
Per trasformare il richiamo in un intervento verificabile conviene associare ogni controllo a una prova concreta. La tabella riassume le verifiche tecniche, senza attribuire loro un ordine di esecuzione rigido: le priorità dipendono dall’esposizione e dalle condizioni di sicurezza del singolo impianto.
Le verifiche da tradurre in evidenze operative
| Ambito | Che cosa verificare | Evidenza da raccogliere |
|---|---|---|
| Esposizione | Console e servizi raggiungibili da Internet | Riscontro su firewall, inoltri e collegamenti autonomi |
| Reti | Separazione fra IT, OT e amministrazione | Regole che limitano le comunicazioni necessarie |
| Accessi | Identità e permessi dei manutentori | Utenti autorizzati, autenticazione robusta e revoche |
| Processo | Parametri, sbrinamento e allarmi | Confronto con impostazioni approvate e misure effettive |
| Ciclo di vita | Versioni e supporto dei dispositivi | Aggiornamenti applicabili e piano per gli apparati obsoleti |
Sintesi operativa delle raccomandazioni del CSIRT Italia, bollettino del 13 ottobre 2026.
Il risultato atteso è poter rispondere con evidenze: quali apparati sono raggiungibili, da quali percorsi, con quali identità e con quali possibilità di modifica.
Una dichiarazione del fornitore va accompagnata da configurazioni e riscontri tecnici riferiti al servizio effettivamente erogato.
Una nuova ondata di incidenti e la risposta europea
La dimensione del problema è confermata dalla dichiarazione congiunta pubblicata da ENISA il 4 novembre, diffusa anche dalla Commissione europea. Il documento segnala incidenti contro sistemi di refrigerazione commerciale e dispositivi analoghi dall’11 ottobre e una nuova ondata l’1 e 2 novembre.
Commissione, ENISA, centro EC3 di Europol, rete europea dei CSIRT ed EU-CyCLONe chiedono interventi immediati per ridurre l’esposizione dei sistemi interessati.
Le autorità nazionali stanno indagando e scambiando informazioni.
Per chi gestisce gli impianti, il valore pratico del coordinamento è poter confrontare anomalie e indicazioni tecniche attraverso i canali competenti.
Nell’analisi operativa, la riduzione dell’esposizione viene prima dell’attribuzione: sapere chi rivendica un attacco non sostituisce il controllo degli accessi disponibili.
La raccolta degli avvisi nazionali mantenuta da ENISA, datata 3 novembre, permette di consultare le indicazioni dei diversi CSIRT, compreso quello italiano. È utile soprattutto per organizzazioni con sedi in più Paesi: il coordinamento deve raggiungere i siti e i rispettivi manutentori, senza fermarsi alla sede centrale.
Il rischio nasce dalle funzioni legittime di controllo
Il CERT-FR, nell’allerta del 12 ottobre aggiornata il 16 ottobre, documenta compromissioni di controllori Danfoss delle serie AK-SM e AK-SC e di sistemi Copeland e Dixell xweb. Raccomanda di eliminare l’esposizione Internet, verificare le configurazioni e ripristinare l’accesso tramite reti protette. Il controllo comprende i programmi di sbrinamento: una funzione ordinaria dell’impianto può diventare il mezzo con cui alterarne l’esercizio.
Da qui deriva una distinzione utile per la difesa: proteggere l’apparato e verificare il processo sono due attività complementari.
Chiudere un accesso impedisce di continuare a usarlo, ma per stabilire se il sistema possa operare correttamente occorre confrontarne lo stato con quello autorizzato.
La configurazione affidabile è un riferimento operativo, da conservare e rendere disponibile a chi interviene.
La stessa allerta francese avverte che un ripristino di fabbrica, su un apparato fuori supporto ancora esposto, lascia aperta la possibilità di una nuova compromissione.
Per questo, il recupero deve rimuovere la causa dell’accesso abusivo: il reset va inserito in un intervento concordato con chi gestisce il dispositivo, insieme alla protezione della connettività e alla verifica delle impostazioni.
Accessi dei manutentori: controllare il percorso completo
La teleassistenza è il punto in cui la responsabilità aziendale incontra quella del fornitore. Come evidenziato nell’approfondimento sugli accessi remoti nella manutenzione dei supermercati, il servizio va considerato parte della superficie da governare.
In termini pratici, serve conoscere il percorso fino al controllore, comprese le connessioni che non transitano dalla rete aziendale ordinaria.
Il NCSC irlandese, nell’avviso del 3 novembre, chiede di verificare le apparecchiature accessibili da remoto indipendentemente dal produttore. Indica VPN o soluzioni equivalenti protette per la manutenzione e considera il filtraggio degli indirizzi dei fornitori una misura temporanea. Richiama, inoltre, password uniche, firmware supportato e verifica dei permessi.
La protezione deve coprire l’intera catena di accesso, non soltanto la pagina di amministrazione finale.
Come criterio di gestione, l’azienda dovrebbe poter collegare ogni sessione a una persona, a un’attività autorizzata e agli impianti necessari per svolgerla. Per esempio, un intervento su una sede non dovrebbe richiedere permessi permanenti su tutte le altre.
Questa è una scelta di contenimento dell’impatto: circoscrivere un accesso riduce le operazioni disponibili anche quando quell’identità viene usata impropriamente.
Allarmi e ripristino: la verifica deve arrivare al processo
Il controllo degli accessi serve a impedire nuove modifiche; quello degli allarmi serve a riconoscere un processo già alterato.
Il caso dei frigoriferi sanitari colpiti in Francia mostra il ruolo della risposta operativa: secondo quanto dichiarato dall’EFS e riportato nella ricostruzione, gli allarmi e l’intervento dei tecnici hanno consentito di preservare i prodotti sanguigni.
Il danno alle scorte non è inevitabile quando rilevazione e intervento funzionano.
Per verificare questa capacità occorre seguire l’allarme fino al destinatario: chi lo riceve, chi può intervenire e quali alternative sono disponibili se l’impianto va isolato. Una prova concordata deve permettere di accertare la capacità effettiva di risposta, evitando test che mettano a rischio la conservazione dei materiali o la continuità del servizio.
Se emergono anomalie, il bollettino italiano raccomanda di attivare la gestione degli incidenti e segnalare al CSIRT Italia. Le attività tecniche vanno coordinate con i responsabili degli impianti e devono preservare, ove possibile, gli elementi utili all’analisi. La valutazione dei materiali conservati spetta ai responsabili competenti: il ritorno alla temperatura corretta non ricostruisce le condizioni di conservazione durante l’incidente.
La segnalazione permette anche di condividere informazioni utili a riconoscere incidenti su altri impianti.
Per le organizzazioni soggette a obblighi normativi, occorre inoltre sapere chi deve notificare e attraverso quale canale: è l’altro punto operativo richiamato dalla dichiarazione europea.
Il richiamo ENISA agli obblighi del CRA e della NIS2
Il joint statement ricorda che dall’11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi previsti dal Cyber Resilience Act.
Come precisa ENISA nella pagina della Single Reporting Platform, le notifiche obbligatorie passano dalla piattaforma europea e riguardano la sicurezza dei prodotti con elementi digitali messi a disposizione sul mercato dell’Unione.
I principali requisiti di cybersicurezza del CRA si applicheranno invece dall’11 dicembre 2027: il documento richiama la progettazione sicura e il supporto durante il ciclo di vita dei prodotti, inclusa la correzione tempestiva delle vulnerabilità.
Per chi acquista o rinnova un sistema di telecontrollo, il tema pratico è quindi verificare anche come il fabbricante gestisca gli aggiornamenti e comunichi i problemi di sicurezza.
Per le entità soggette alla direttiva NIS2, la dichiarazione ribadisce la gestione dei rischi operativi e la notifica degli incidenti significativi al CSIRT o all’autorità nazionale competente.
Fabbricante e organizzazione utilizzatrice hanno ruoli distinti: nell’analisi della risposta aziendale, occorre individuare gli obblighi applicabili a ciascun soggetto e coordinare lo scambio di informazioni con il fornitore.
La decisione di governance: assegnare responsabilità verificabili
Queste verifiche richiedono una regia perché attraversano rete, manutenzione e processo produttivo. È il nodo già affrontato nell’analisi sulla governance della sicurezza OT: una debolezza condivisa può coinvolgere più impianti. La direzione deve quindi assegnare responsabili, risorse e tempi di intervento, con una verifica finale sui siti interessati.
Il risultato concreto da chiedere è un elenco delle esposizioni eliminate, degli accessi circoscritti e delle anomalie risolte, insieme alle eccezioni ancora aperte. Per ciascuna eccezione devono essere chiari il responsabile e la soluzione prevista.
È così che il richiamo urgente può diventare un controllo continuativo degli impianti, capace di intercettare anche una nuova connessione o un nuovo servizio di teleassistenza.
Partecipa alla community