Frigoriferi hackerati, Italia prima in Europa per esposizione. “Il display può mentire”
Indirizzo copiato
Censys conta in Italia 366 sistemi xweb di Copeland e Dixell raggiungibili dalla Rete, più che in qualunque altro Paese Ue. Per Cataldo Basile, del Politecnico di Torino, la lezione degli attacchi va oltre l’attribuzione ai Pasdaran: alcune debolezze banali, un comando legittimo che può essere dannoso e la console compromessa non è più affidabile
Un’unità cyber delle Guardie della Rivoluzione Islamica, una procura che chiede mandati d’arresto internazionali, un ambasciatore convocato. Il 9 novembre l’attacco ai frigoriferi di circa 700 supermercati francesi è diventato un caso diplomatico. Eppure la porta da cui è passato non aveva nulla di statale. I controllori di refrigerazione colpiti erano raggiungibili da Internet e in gran parte fuori supporto, come aveva spiegato lo stesso produttore Danfoss nei giorni dell’attacco.
Frigoriferi hackerati: Italia prima in Europa per esposizione, “il display può mentire”
Censys conta in Italia 366 sistemi xweb di Copeland e Dixell raggiungibili da Internet, più che in qualunque altro Paese europeo. Per Cataldo Basile, del Politecnico di Torino, la lezione degli attacchi va oltre l’attribuzione ai Pasdaran: sono bastate debolezze banali, un comando legittimo può essere pericoloso e la console compromessa non è più affidabile.
Di Dario d’Elia
Un’unità cyber delle Guardie della Rivoluzione Islamica, una procura che chiede mandati d’arresto internazionali, un ambasciatore convocato. Il 9 novembre l’attacco ai frigoriferi di circa 700 supermercati francesi è diventato un caso diplomatico. Eppure la porta da cui è passato non aveva nulla di statale. I controllori di refrigerazione colpiti erano raggiungibili da Internet e in gran parte fuori supporto, come aveva spiegato lo stesso produttore Danfoss nei giorni dell’attacco.
Cataldo Basile, professore di cybersecurity al Politecnico di Torino, riassume il paradosso in una frase: “un attore statale, potenzialmente dotato di capacità avanzate, non ha bisogno di usarle quando debolezze banali sono sufficienti a raggiungere il proprio obiettivo”. Per chi difende, la conseguenza è scomoda. Il profilo dell’attaccante conta meno dello stato della porta. E in Italia quella porta è aperta più che altrove. Secondo Censys, il nostro Paese è il primo in Europa per sistemi xweb di Copeland e Dixell raggiungibili da Internet.
Un attacco di Stato, debolezze banali
Le due ondate hanno storie diverse. La prima ha colpito la Francia nella notte tra l’11 e il 12 ottobre. Il governo francese l’ha attribuita a Shahid Kaveh, unità offensiva collegata ai Pasdaran, citando un modo di operare caratteristico del gruppo, tracce di farsi e indirizzi IP riconducibili all’Iran. Teheran respinge le accuse come infondate e unilaterali. La seconda ondata, nella notte tra l’1 e il 2 novembre, ha raggiunto supermercati e imprese alimentari in mezza Europa, Italia compresa. Per questa esiste solo la rivendicazione di due gruppi filorussi, NoName057(16) e Z-Pentest, finora senza conferme indipendenti. Come abbiamo spiegato, le due piste non vanno sovrapposte.
Il punto di contatto tra le due ondate è tecnico, non politico. Il CERT-FR ha segnalato compromissioni di controllori Danfoss AK-SM e AK-SC e di sistemi Copeland e Dixell xweb, esposti direttamente su Internet. Il docente elenca le debolezze emerse finora: interfacce raggiungibili da chiunque, password predefinite, vulnerabilità note, aggiornamenti non applicati, dispositivi fuori supporto. “Sono problemi che conosciamo da anni, ma che continuiamo a incontrare anche nei sistemi industriali”.
In almeno un caso di novembre non è servita nemmeno una vulnerabilità. Ransom-ISAC ha ricostruito dal registro eventi l’attacco a un sistema Copeland xweb Pro. Gli intrusi sono entrati con le credenziali di fabbrica dell’amministratore e hanno scritto 743 modifiche ai parametri di 31 dispositivi, tra temperature estreme, soglie alterate, allarmi silenziati e tastiere locali bloccate.
Il docente cerca la radice in una scelta culturale. “Nei settori in cui l’informatica non rappresenta l’attività principale, la consapevolezza dei rischi cyber è spesso più limitata”. Ne deriva una preferenza per la semplicità d’uso e di manutenzione. L’esempio è il codice giornaliero scoperto da Claroty nei controllori Danfoss, un meccanismo di autenticazione nascosto ricavato dalla data e probabilmente pensato, secondo Basile, per l’assistenza tecnica. Non è dimostrato che sia stato usato in questi attacchi. Il principio però resta. “Non è una giustificazione: è proprio per evitare questi compromessi pericolosi che servono una corretta analisi del rischio e requisiti di sicurezza fin dalla progettazione”.
L’Italia in testa alla classifica sbagliata
In Italia la seconda ondata ha toccato supermercati, mense, imprese alimentari e perfino un bar, dalla Sicilia al Trentino. La nostra ricognizione conta danni dichiarati che vanno da poche centinaia di euro a centinaia di migliaia. Palazzo Chigi ha parlato di un impatto “fortemente limitato”, concentrato su esercizi con sistemi obsoleti, interfacce esposte e autenticazione carente.
I numeri sull’esposizione descrivono un rischio più ampio. I dati pubblicati da Censys il 5 novembre contano 366 sistemi xweb esposti in Italia, davanti ai 209 della Grecia. Il dato ha un’ironia amara, perché Dixell è un marchio nato in Italia. Basile invita a leggerlo con prudenza. Riguarda una sola famiglia di prodotti e un censimento completo dei controllori esposti o fuori supporto non esiste. “I dati disponibili suggeriscono comunque che la situazione sia tutt’altro che rassicurante”.
Il dettaglio più istruttivo riguarda i tempi. L’esposizione dei sistemi xweb è rimasta quasi ferma per tutto ottobre, quando la Francia era già stata colpita e il CSIRT Italia aveva già pubblicato il suo bollettino del 13 ottobre. È calata solo dopo il 2 novembre. Censys avverte che i dati non spiegano perché i dispositivi siano stati scollegati. Basile ne trae comunque una lezione: “le raccomandazioni da sole non bastano: spesso a far muovere le aziende è l’incidente”.
Il problema non riguarda solo i frigoriferi. Basile ricorda che Censys osserva in media circa 134.000 sistemi con servizi di controllo industriale esposti nel mondo. E aggiunge un’avvertenza che vale per ogni censimento: “un dispositivo esposto su Internet non è necessariamente vulnerabile, così come un dispositivo non esposto direttamente può comunque essere compromesso attraverso altri sistemi della rete”.
Un comando legittimo può essere pericoloso
Le due ondate mettono in crisi un’idea radicata nella sicurezza informatica tradizionale: se l’utente è autenticato e autorizzato, il comando è valido. “Un comando può provenire da un utente autorizzato ed essere comunque pericoloso”, spiega l’esperto. Autenticazione e autorizzazione dicono chi chiede un’operazione e se ne ha il diritto. Non dicono se quell’operazione abbia senso per l’impianto in quel momento.
In uno degli incidenti di novembre analizzati pubblicamente, racconta Basile, gli attaccanti entrati con le credenziali dell’amministratore hanno inviato comandi per portare alcuni banchi frigo a 110 e 150 gradi. “Per il sistema erano comandi legittimi, provenienti da un account valido. Per un impianto di refrigerazione sono valori privi di senso”.
Nell’industria il problema ha già una risposta, almeno dove un malfunzionamento può ferire persone o danneggiare impianti. I controlli di sicurezza funzionale tengono conto dello stato del sistema, delle misure dei sensori e delle condizioni operative previste. “Un comando può quindi essere rifiutato anche se proviene da un operatore autorizzato, perché potrebbe portare l’impianto in uno stato non consentito”. Portare questa logica nella refrigerazione commerciale, per Basile, significa due cose. Il controllore deve applicare limiti coerenti con l’uso previsto, anziché accettare qualsiasi valore configurabile. L’analisi del rischio deve considerare anche la modifica malevola dei parametri, non soltanto il guasto accidentale.
Lo spostamento riguarda anche chi acquista gli impianti. Un capitolato che chiede soltanto credenziali robuste chiede metà di ciò che serve. Dovrebbe chiedere anche quali valori il controllore si rifiuta di eseguire.
Quando la console mente
Il secondo insegnamento riguarda la fiducia negli strumenti. Se la console di supervisione è compromessa, per Basile non è più affidabile né come fonte di informazioni né come strumento di comando. Le temperature mostrate possono essere false, gli allarmi disattivati, le configurazioni alterate. Nell’analisi di uno degli attacchi di novembre sono emersi anche tentativi di silenziare gli allarmi e bloccare le tastiere dei controllori locali.
“Ci si può fidare, invece, di ciò che si verifica direttamente sul campo”. La sequenza che Basile indica è quella di una risposta all’incidente ordinata. Prima si conservano le prove, senza toccare i sistemi. Poi si contiene l’attacco e si controllano le condizioni reali degli impianti con strumenti indipendenti dalla supervisione, “a partire da un semplice termometro”. Le linee guida del NIST statunitense per la sicurezza dei sistemi industriali prevedono verifiche manuali dei dati e, quando serve, il passaggio a operazioni manuali.
Anche il ripristino ha le sue trappole. Prima di tornare a fidarsi della console va verificata la sua integrità, e le configurazioni dei controllori vanno ricaricate da una versione nota e affidabile. “Cambiare le password o riavviare la console non basta, e nemmeno un ripristino alle impostazioni di fabbrica: se il dispositivo resta vulnerabile, può essere compromesso di nuovo”.
Poi c’è il fattore umano, che Basile mette prima della tecnologia. “Il personale del punto vendita deve sapere che il display può mentire”. Un addetto che confronta il valore sullo schermo con quello di un termometro indipendente è un controllo di sicurezza a tutti gli effetti. Nessun budget lo classifica così, ma alle 4 del mattino può valere più di una piattaforma di monitoraggio.
Non conta il marchio, conta chi lo gestisce
Dopo la prima ondata, le principali catene italiane hanno fatto sapere di non usare controllori Danfoss. Basta per stare tranquilli? “Assolutamente no”, risponde Basile. Gli attacchi hanno colpito anche i sistemi Copeland e Dixell, cioè proprio la famiglia più esposta in Italia. E un prodotto senza vulnerabilità note non mette al riparo da attacchi simili. “La sicurezza non dipende soltanto dal prodotto, ma anche da come viene installato, configurato e mantenuto nel tempo”.
Qui il problema tecnico diventa di governo. L’impianto appartiene al punto vendita, l’accesso remoto lo usa il manutentore, la centralina la aggiorna il produttore, la rete la gestisce l’IT. “La domanda da porsi non è soltanto quale controllore viene utilizzato, ma chi è responsabile della sua sicurezza, chi può accedervi da remoto e chi garantisce che rimanga aggiornato e protetto nel tempo”.
Gli indizi della seconda ondata vanno nella stessa direzione. Il presidente di Decò, Giovanni Arena, ha precisato che i negozi colpiti della sua rete erano gestiti da affiliati. In Portogallo il gruppo Mosqueteiros ha indicato come possibile bersaglio un fornitore esterno incaricato della refrigerazione. In Francia gli attaccanti hanno alterato da remoto i parametri delle celle frigorifere del servizio trasfusionale in 3 sedi passando da un fornitore. Lì gli allarmi hanno permesso al personale di intervenire, e nessun prodotto è andato perso.
La risposta passa dai contratti di manutenzione. Oggi sono scritti per garantire l’intervento su un compressore guasto e quasi mai stabiliscono chi aggiorna il firmware, chi può collegarsi, da dove e con quali credenziali. Account nominativi con scadenza, accesso tramite VPN e autenticazione a più fattori, registro delle sessioni remote consultabile dal proprietario, tempi certi per gli aggiornamenti e obbligo di avvisare la fine del supporto di un modello sono condizioni che solo chi possiede l’impianto può pretendere.
Le norme arrivano dopo
Le istituzioni si sono mosse. Il 4 novembre l’ACN ha rinnovato il richiamo urgente e lo ha esteso a tutti i sistemi industriali gestiti da remoto, in qualunque settore. Il quadro normativo, osserva però Basile, ha ancora limiti di applicazione. La NIS2 include la distribuzione alimentare all’ingrosso e la produzione industriale, ma non automaticamente i supermercati al dettaglio. Il Cyber Resilience Act imporrà requisiti di sicurezza ai prodotti dal dicembre 2027, ma non li estenderà alla maggior parte dei dispositivi già installati. Un’eccezione c’è già: da settembre 2026 i produttori devono segnalare le vulnerabilità sfruttate attivamente anche per i dispositivi venduti in passato. Il parco installato, cioè quello che è stato attaccato, resta però nelle mani di chi lo possiede.
L’ultima difesa
Le due ondate lasciano una lezione che non dipende dall’attribuzione. Che dietro ci siano i Pasdaran o un collettivo filorusso, la porta era la stessa: un controllore raggiungibile da chiunque, spesso con credenziali che nessuno aveva cambiato. E l’ultima difesa, nei casi finiti bene, è stata una persona: un tecnico che ha letto un allarme, un addetto che non si è fidato del display.
Per questo l’ultima osservazione di Basile pesa più delle altre. Le norme si muovono, i produttori pubblicano aggiornamenti, le agenzie diffondono bollettini. “Ma al di là della norma, sul fattore umano qualche dubbio mi resta”. La prossima ondata cercherà di nuovo le porte rimaste aperte. A fermarla saranno anche le persone che hanno imparato a non credere a uno schermo.
Clicca sul pulsante per copiare il link RSS negli appunti.
I tuoi contenuti, la tua privacy!
Su questo sito utilizziamo cookie tecnici necessari alla navigazione e funzionali all’erogazione del servizio.
Utilizziamo i cookie anche per fornirti un’esperienza di navigazione sempre migliore, per facilitare le interazioni con le nostre funzionalità social e per consentirti di ricevere comunicazioni di marketing aderenti alle tue abitudini di navigazione e ai tuoi interessi.
Puoi esprimere il tuo consenso cliccando su ACCETTA TUTTI I COOKIE. Chiudendo questa informativa, continui senza accettare.
Potrai sempre gestire le tue preferenze accedendo al nostro COOKIE CENTER e ottenere maggiori informazioni sui cookie utilizzati, visitando la nostra COOKIE POLICY.
ACCETTA
PIÙ OPZIONI
Cookie Center
ACCETTA TUTTO
RIFIUTA TUTTO
Tramite il nostro Cookie Center, l'utente ha la possibilità di selezionare/deselezionare le singole categorie di cookie che sono utilizzate sui siti web.
Per ottenere maggiori informazioni sui cookie utilizzati, è comunque possibile visitare la nostra COOKIE POLICY.
ACCETTA TUTTO
RIFIUTA TUTTO
COOKIE TECNICI
Strettamente necessari
I cookie tecnici sono necessari al funzionamento del sito web perché abilitano funzioni per facilitare la navigazione dell’utente, che per esempio potrà accedere al proprio profilo senza dover eseguire ogni volta il login oppure potrà selezionare la lingua con cui desidera navigare il sito senza doverla impostare ogni volta.
COOKIE ANALITICI
I cookie analitici, che possono essere di prima o di terza parte, sono installati per collezionare informazioni sull’uso del sito web. In particolare, sono utili per analizzare statisticamente gli accessi o le visite al sito stesso e per consentire al titolare di migliorarne la struttura, le logiche di navigazione e i contenuti.
COOKIE DI PROFILAZIONE E SOCIAL PLUGIN
I cookie di profilazione e i social plugin, che possono essere di prima o di terza parte, servono a tracciare la navigazione dell’utente, analizzare il suo comportamento ai fini marketing e creare profili in merito ai suoi gusti, abitudini, scelte, etc. In questo modo è possibile ad esempio trasmettere messaggi pubblicitari mirati in relazione agli interessi dell’utente ed in linea con le preferenze da questi manifestate nella navigazione online.
