La Francia accusa i Guardiani della Rivoluzione iraniani di avere sabotato, nella notte tra l’11 e il 12 ottobre, i sistemi frigoriferi di circa 700 punti vendita. Il ministro degli Esteri Jean-Noël Barrot lo ha dichiarato il 9 novembre e ha annunciato sanzioni europee contro i responsabili. La Procura di Parigi ha aperto un’indagine giudiziaria sul vertice dell’unità cyber Shahid Kaveh, collegata ai Pasdaran. La dichiarazione del ministro e l’annuncio della Procura segnano una svolta: questa volta uno Stato ha indicato pubblicamente un presunto responsabile.
Per l’Italia e per gli attacchi di novembre il quadro è diverso. La nuova attribuzione francese riguarda gli episodi di ottobre in territorio francese. Sui sabotaggi e sulle anomalie che hanno colpito i freezer in altri Paesi europei dall’inizio di novembre, compresi i negozi italiani, non è stata resa pubblica una conclusione investigativa equivalente. Il 4 novembre i collettivi filorussi NoName057(16) e Z-Pentest si sono attribuiti l’offensiva: la loro rivendicazione rimane da verificare.
È possibile che la stessa operazione sia proseguita per settimane, ma anche che gruppi diversi abbiano sfruttato gli stessi controllori mal protetti. È la distinzione decisiva per capire chi abbia colpito davvero la catena del freddo europea.
Ma, come spiega Pierluigi Paganini, direttore dell’Osservatorio sulla Cybersicurezza di UniPegaso e già esperto Enisa, “il punto centrale non è soltanto stabilire chi abbia attaccato, ma capire se qualcuno stia sfruttando deliberatamente questi episodi per alimentare una narrazione di guerra ibrida”.
Tre episodi, tre stati dell’attribuzione
| Episodio | Autore indicato | Che cosa sappiamo |
|---|---|---|
| Francia, 11-12 ottobre | Shahid Kaveh, unità collegata ai Pasdaran | Attribuzione ufficiale del governo francese e indagine giudiziaria; elementi pubblici non equivalenti a una sentenza |
| Europa e Italia, 1-3 novembre | NoName057(16) e Z-Pentest si attribuiscono l’offensiva | Rivendicazione sui social, senza conferma tecnica indipendente pubblica della paternità o di una regia unica |
| Francia, conservazione del sangue, inizio novembre | Autore non identificato pubblicamente | Incidente documentato; mancato collegamento pubblico con l’indagine sui supermercati di ottobre |
Indice degli argomenti
La svolta di Parigi: chi è Shahid Kaveh e quali indizi cita la Procura
Secondo la procuratrice di Parigi Laure Beccuau, l’indagine riguarda il capo di Shahid Kaveh, due suoi vice e le altre persone che potranno essere identificate. L’unità viene descritta come una struttura cyber offensiva affiliata al Centro elettronico e informatico del Corpo delle Guardie della Rivoluzione islamica. La Procura ha chiesto mandati d’arresto internazionali: una richiesta giudiziaria, non ancora una condanna né una prova della responsabilità di ogni episodio europeo.
Il comunicato della Procura, ripreso da TF1, indica un modo di operare ritenuto caratteristico di questa unità, accompagnato dall’uso del farsi e da indirizzi IP riconducibili a terminali situati in Iran. L’elemento più importante è però l’attribuzione espressa dalle autorità francesi dopo le indagini, che potrebbero comprendere riscontri non ancora divulgati.
Le tracce linguistiche e geografiche vanno lette correttamente. Un indirizzo IP localizzato in Iran individua un punto della connessione, non necessariamente la persona che ha azionato un comando: server compromessi e connessioni intermedie possono alterare il percorso apparente. Lo stesso vale per la lingua usata dagli aggressori. Gli inquirenti possono combinare questi segnali con dati tecnici e investigativi più solidi; finora, però, i dettagli che permetterebbero un controllo indipendente dell’attribuzione non sono stati pubblicati integralmente.
Il governo francese ha scelto comunque di passare dalle indagini alla reazione diplomatica: Barrot ha convocato l’ambasciatore iraniano e prospettato sanzioni europee. Secondo il ministro, il sabotaggio rappresenta un’offensiva di gravità eccezionale contro la sicurezza nazionale. Reuters aveva anticipato la pista iraniana sulla base di due fonti informate, prima dell’annuncio ufficiale.
Che cosa hanno fatto gli aggressori ai frigoriferi francesi
Le manomissioni hanno riguardato i sistemi di controllo da remoto, non i frigoriferi domestici. Secondo i dettagli della Procura riportati da TF1, gli intrusi hanno utilizzato interfacce web per avviare cicli di sbrinamento anomali e prolungati e disattivare gli allarmi delle sonde di temperatura. Il risultato è stato l’aumento del calore, la perdita di alimenti e, secondo le cronache francesi, anche principi d’incendio in alcuni punti vendita.
Il CERT-FR aveva già segnalato il 12 ottobre compromissioni di supervisori Danfoss AK-SM e AK-SC, Copeland xweb e Dixell xweb. Sfruttare le normali funzioni di un pannello di amministrazione può bastare per interrompere la catena del freddo quando un dispositivo è raggiungibile da Internet e l’accesso non è adeguatamente protetto. Non occorre necessariamente installare malware sofisticato.
I precedenti attribuiti a Iran: USA e Israele
I precedenti di Israele e Stati Uniti rendono più concreta la pista iraniana. Nel maggio 2026 un impianto alimentare israeliano è stato sabotato attraverso i sistemi industriali di refrigerazione: gli aggressori hanno modificato soglie e allarmi, bloccato i tecnici fuori dai controllori e aperto valvole dell’impianto a CO₂, fino a distruggere tre compressori e interrompere la produzione per diversi giorni.
È la ricostruzione tecnica di Profero, la società intervenuta nell’incidente, che attribuisce l’operazione a Cyber Isnaad Front, gruppo ritenuto collegato ai Guardiani della Rivoluzione iraniani. Negli Stati Uniti, dall’agosto 2026, malfunzionamenti dei freezer hanno interessato circa sei spacci alimentari di basi militari, fra cui Fort Huachuca, in Arizona, e Fort Irwin, in California: alimenti scongelati e rifornimenti sospesi. Secondo NPR e Nextgov, gli investigatori sospettano un attacco informatico e alcune fonti indicano una possibile responsabilità iraniana, ma il Pentagono non ha annunciato un’attribuzione ufficiale. NPR ha inoltre documentato l’uso di controllori Danfoss in alcune installazioni americane, apparecchiature coinvolte anche nei casi francesi. I precedenti mostrano capacità di sabotaggio e analogie tecniche; non provano che tutti gli attacchi europei abbiano lo stesso autore.
Perché la rivendicazione filorussa non basta a spiegare gli attacchi di novembre
Il 4 novembre il Tg1 ha diffuso la rivendicazione di NoName057(16) e Z-Pentest, poi riportata dall’ANSA. Nel video i due gruppi affermano di aver colpito controllori Danfoss e Dixell XWEB e di non aver utilizzato malware, ma le funzioni integrate degli impianti. L’annuncio riguarda una campagna molto ampia, che comprenderebbe anche l’Italia. Domani riferiva già il 4 novembre di dubbi tra gli investigatori sulla sua attendibilità.
Le due sigle hanno un passato reale nel mondo OT, ma ruoli differenti. NoName057(16) è noto soprattutto per attacchi DDoS, cioè per sovraccaricare servizi online. Z-Pentest si è specializzato nella ricerca e nell’intrusione in sistemi di controllo industriale esposti. Un avviso congiunto pubblicato da FBI, CISA e altre autorità nel dicembre 2025 ricostruisce la formazione del gruppo e documenta precedenti manomissioni di apparati industriali da parte di hacktivisti filorussi.
Lo stesso documento avverte che questi gruppi tendono anche a gonfiare o falsificare le proprie rivendicazioni. Hanno realmente causato danni in alcuni casi, ma hanno pure presentato accessi modesti come grandi sabotaggi. Unit 42 di Palo Alto Networks, in un’analisi pubblicata il 6 novembre, considera ancora non verificata la responsabilità che NoName057(16) e Z-Pentest si attribuiscono per l’ondata europea.
La loro presenza nel panorama delle minacce rende dunque plausibile la pista filorussa. Ma la dichiarazione francese introduce un’altra pista documentata su un episodio preciso. Fino a quando le indagini non collegheranno materialmente i due filoni, attribuire ai gruppi russi la campagna francese di ottobre — oppure all’Iran tutti gli incidenti di novembre — sarebbe un salto logico.
Come leggere le prove: apri le tre schede
Attribuzione ufficiale di Parigi
È un’affermazione istituzionale sostenuta da un’indagine e produce conseguenze diplomatiche. Si riferisce agli attacchi dell’11-12 ottobre in Francia. Non estende da sola la responsabilità alle operazioni successive.
Rivendicazione di NoName057(16) e Z-Pentest
È una dichiarazione degli stessi soggetti che desiderano il credito dell’operazione. Per confermarla servono riscontri tecnici sulle intrusioni e sulle vittime dichiarate. I precedenti noti del gruppo non costituiscono una verifica dei singoli attacchi del novembre 2026.
Frigoriferi manomessi nello stesso modo
È una somiglianza del metodo: pannelli di telecontrollo e parametri di sbrinamento. Più attori possono sfruttare lo stesso difetto di sicurezza. Servono log, infrastrutture di accesso, cronologie e altri indicatori comparabili per ricostruire un’eventuale regia comune.
Aggiunge Paganini: “le rivendicazioni hacktiviste potrebbero rispondere a una strategia di visibilità e propaganda, più che alla reale responsabilità delle operazioni. Se l’indagine francese dovesse trovare conferme e gli attacchi di ottobre risultassero effettivamente riconducibili a Teheran, i gruppi filorussi che hanno rivendicato gli episodi di novembre si troverebbero davanti a un problema di credibilità: potrebbero aver cercato di appropriarsi di operazioni altrui per accrescere il proprio peso mediatico”.
“Non escluderei, tuttavia, neppure una loro effettiva partecipazione ad alcuni incidenti. In questo scenario, la distinzione tra attacco, rivendicazione e sfruttamento propagandistico diventa fondamentale. In un contesto di guerra ibrida come quello che stiamo affrontando, attribuzione incerta, ambiguità strategica e manipolazione informativa sono tre elementi che rendono sempre più difficile distinguere gli attacchi reali dalle operazioni di propaganda”. Insomma: tanti dubbi.
Italia, nessuna attribuzione tecnica conclusiva resa pubblica
In Italia gli incidenti documentati attraversano diversi territori. La ricognizione aggiornata al 9 novembre di Cybersecurity360 raccoglie episodi dalla Sicilia alla Liguria e alle Marche, distinguendo i casi confermati da quelli sotto verifica. Il fatto che colpiscano gli stessi tipi di impianto non basta a identificarne il mandante. Anche la manomissione dei refrigeratori dell’ente francese del sangue, Établissement français du sang, avvenuta all’inizio di novembre, resta un episodio da attribuire separatamente.
Un elemento politico merita attenzione. In un’intervista al Corriere della Sera dell’8 novembre, ripresa sul sito del governo, il ministro Tommaso Foti ha evocato indizi di matrice russa e la necessità di attendere le analisi dell’intelligence. Le sue parole si riferivano al più ampio insieme di attacchi e minacce contro l’Italia; non costituiscono un rapporto tecnico che attribuisca gli episodi dei frigoriferi a Mosca.
L’Agenzia per la cybersicurezza nazionale ha invece concentrato la comunicazione pubblica sulle misure di difesa. Nel bollettino diffuso attraverso il CSIRT e ripreso dal CSIRT Toscana, l’ACN collega gli incidenti a installazioni obsolete, interfacce di gestione esposte e carenze di autenticazione, chiedendo controlli su reti, accessi e parametri operativi. Non individua in quel documento un autore statale degli attacchi italiani.
Che cosa può unire i casi europei, e che cosa devono fare le aziende
Esistono almeno tre scenari investigativi: una sola organizzazione ha operato in più Paesi; soggetti distinti hanno imitato il primo sabotaggio; una parte dei casi presenta un collegamento e un’altra no. Le autorità devono confrontare tempi, sessioni amministrative, indirizzi di origine, infrastrutture usate, comandi eseguiti e possibili passaggi attraverso i fornitori di manutenzione. Le sole temperature alterate non discriminano fra queste ipotesi.
Per i supermercati e gli operatori della logistica la priorità, intanto, è chiudere gli accessi abusabili. Il CERT-FR chiede di rimuovere le interfacce di gestione direttamente esposte su Internet, verificare le impostazioni dei cicli di sbrinamento e consentire il telecontrollo solo da reti protette o tramite VPN sicure. Raccomanda inoltre aggiornamenti del firmware, sostituzione delle password predefinite e riconfigurazione degli apparati compromessi.
L’ACN aggiunge un punto operativo per le imprese italiane: coinvolgere insieme responsabili IT, OT e manutentori, controllando account e autorizzazioni, segmentazione della rete, allarmi e capacità di intervento manuale. Su sistemi fuori supporto, un ripristino alle impostazioni di fabbrica senza eliminare l’esposizione può lasciare aperta la strada a una nuova intrusione.
La conclusione, al 9 novembre, è netta per la Francia e aperta per il resto d’Europa: Parigi chiama in causa l’Iran per il sabotaggio di ottobre; sulla paternità dell’ondata di novembre, compresi i casi italiani, le rivendicazioni filorusse e le analogie tecniche non hanno ancora prodotto un’attribuzione pubblica altrettanto solida. La prossima notizia decisiva sarà l’eventuale collegamento forense tra queste campagne.
Partecipa alla community