Un supermercato può affidare a un fornitore esterno la manutenzione dei propri impianti di refrigerazione, ma non può delegargli anche la responsabilità dei rischi che quegli impianti introducono nell’organizzazione. Soprattutto quando la gestione da remoto avviene attraverso sistemi connessi a Internet, apparati obsoleti e accessi che sfuggono al controllo dell’IT aziendale.
Gli attacchi cyber che hanno colpito i sistemi di refrigerazione di centinaia di supermercati francesi e, successivamente, alcuni punti vendita italiani hanno trasformato questa criticità in un problema concreto: merci deteriorate, danni economici e rischi per la sicurezza fisica. Non è servito sottrarre dati o distribuire ransomware.
È bastato intervenire sui parametri di funzionamento di infrastrutture che, pur essendo digitali, continuano spesso a essere considerate una questione esclusivamente impiantistica.
La vicenda pone quindi una domanda che va ben oltre l’identità degli attaccanti: chi governa davvero la sicurezza dei sistemi OT affidati a fornitori esterni? È qui che il caso della catena del freddo diventa una questione di governance, responsabilità del management e sicurezza della supply chain.
E dove la NIS2, per le organizzazioni che rientrano nel suo perimetro, impone di considerare anche i rischi introdotti dai fornitori.
Prima ancora di affrontare queste responsabilità, però, occorre distinguere ciò che sappiamo degli attacchi da ciò che è stato soltanto rivendicato o attribuito
Indice degli argomenti
Attacchi cyber ai supermercati: i fatti
Come sappiamo, nella notte tra l’11 e il 12 ottobre qualcuno ha messo in sbrinamento forzato i banchi frigo di circa 700 supermercati francesi, su un parco di circa 10.000. Nessun dato rubato, nessun riscatto chiesto: solo un parametro cambiato da remoto, con temperature spinte fino a 50 gradi. Il bilancio ufficiale parla di almeno 15 principi d’incendio e di perdite alimentari che il ministero degli Esteri francese stima in diverse decine di milioni di euro. A Haguenau, in Alsazia, due Intermarché hanno dichiarato da soli 270.000 euro di merce buttata .
Tre settimane dopo, tra l’1 e il 2 novembre, la replica: secondo Unit 42 oltre dieci Paesi e tra 100 e 115 punti vendita. Stavolta c’è anche l’Italia. Il gruppo Radenza di Modica, che gestisce l’insegna Coop in Sicilia in master franchising con Coop Alleanza 3.0, ha confermato all’ANSA l’attacco alle quattro del mattino su almeno quattro negozi, tre a Catania e uno a Palermo. Il resto è stima: dodici punti vendita secondo fonti di settore, una ventina secondo il delegato siciliano di Federdistribuzione, Ragusa compresa. Coop ha precisato che nei negozi a gestione diretta non risultano anomalie.
Il 9 novembre è arrivato il nome. Il ministro degli Esteri Jean-Noël Barrot e la procuratrice di Parigi Laure Beccuau hanno attribuito il sabotaggio di ottobre a Shahid Kaveh, unità cyber offensiva del centro elettronico dei Pasdaran. L’indagine riguarda il capo dell’unità e i suoi due vice. Parigi lo definisce il primo attacco informatico su larga scala a fini di sabotaggio sul territorio nazionale. Anche se Teheran ha respinto le accuse francesi (bollate come “infondate”) sugli attacchi hacker ai frigoriferi, attribuendo le responsabilità a Parigi: l’Iran “non esiterà a prendere le misure necessarie e appropriate per salvaguardare i propri interessi nazionali e la propria sicurezza di fronte ad attività straniere illegali”.
Cosa dice l’attribuzione, e cosa no
Un’attribuzione statale va letta come un bilancio: con le note. Il rapporto del C4, il coordinamento che riunisce ANSSI, COMCYBER, DGA, DGSE e DGSI, sta in cinque pagine e poggia su quattro indizi: la stessa infrastruttura usata nello stesso periodo per ricognizioni su apparati Schneider Electric via Modbus, l’uso del motore di ricerca FOFA per individuare i sistemi di refrigerazione, il rilancio dell’operazione dal 13 ottobre sul canale CyberbanNews, tracce di farsi. Il ministero dice “siamo in grado di attribuire”, il rapporto tecnico parla di fascio di indizi. Non è una sentenza, e nessuno degli elementi pubblicati è verificabile da terzi.
Due assenze contano più delle presenze. La prima: il rapporto non spiega come siano stati violati i controllori. Il vettore d’ingresso, a un mese dai fatti, non è ufficialmente accertato. La seconda: l’attribuzione copre solo la notte di ottobre. La seconda ondata, quella che ha toccato la Sicilia, non ha una paternità.
È stata rivendicata in video dai collettivi filorussi NoName057(16) e Z-Pentest, ma la rivendicazione non contiene un solo dettaglio verificabile e la stessa ACN, sentita dal Post, invita alla prudenza. Il ministro Tajani parla di hacker filorussi “per loro stessa ammissione”: appunto, ammissione loro. Un gruppo che rivendica non è un gruppo che ha colpito.
Per chi siede in un consiglio di amministrazione la distinzione è quasi irrilevante, ed è questa la notizia. Che dall’altra parte ci sia un’unità dei Pasdaran, un collettivo in cerca di visibilità o un imitatore con un abbonamento a un motore di ricerca per dispositivi esposti, la porta da cui sono entrati è la stessa. E quella porta non l’ha aperta Teheran.
Il freddo non è mai stato dell’IT
In un supermercato il freddo lo gestisce il frigorista. Installa l’impianto, lo mantiene, e per non mandare un tecnico reperibile alle tre di notte ci aggancia un modulo di telegestione: consegne regolabili dal telefono, allarmi di guasto in tempo reale.
È una scelta sensata, fa risparmiare e protegge la merce.
Solo che quell’accesso remoto nasce fuori dal perimetro. Gli specialisti sentiti in Francia dopo l’attacco lo descrivono così: gli apparati connessi dei negozi, dal freddo all’illuminazione alle bilance, sono installati e mantenuti da fornitori e raramente seguiti dalla direzione IT dell’insegna. Una testimonianza rilanciata dal ricercatore SaxX, da prendere come tale, parla di collegamenti 3G montati direttamente dal frigorista, su una SIM che la rete aziendale non vede nemmeno passare.
Il resto lo ha detto il produttore. Danfoss ha dichiarato che la maggior parte delle unità colpite sono AK-SM 800 e AK-SC 355, generazioni a fine vita che non ricevono più aggiornamenti software né di sicurezza. L’allerta CERTFR-2026-ALE-012 ha poi aggiunto i controllori Copeland e Dixell xweb, senza indicare alcuna CVE, e avverte che su un apparato fuori supporto il ripristino di fabbrica non basta.
In Sicilia la formula usata dall’amministratore delegato di Coop Radenza è la più onesta di tutte: un attacco “al nostro sistema di telecontrollo dei banchi surgelati”. E quando l’ACN ha rilanciato l’allerta non si è rivolta solo alla grande distribuzione, ma a logistica alimentare, refrigerazione industriale e società di manutenzione.
L’Agenzia ha capito benissimo dove sta il problema: in un contratto di manutenzione firmato dall’ufficio tecnico, dove la parola sicurezza compare solo riferita ai gas refrigeranti.
Aziende in perimetro NIS2: la delega non si trasferisce
Qui il caso smette di essere cronaca IoT e diventa governance. Il decreto legislativo 138/2024, con cui l’Italia ha recepito la NIS2, all’articolo 24 elenca le misure di gestione del rischio che un soggetto essenziale o importante deve adottare.
Tra queste c’è la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza nei rapporti con i fornitori diretti. Tradotto dal giuridico: non ti si chiede di certificare il frigorista, ti si chiede di proteggere i tuoi sistemi da ciò che il frigorista ci attacca. Che poi il fornitore sia a sua volta soggetto NIS2 è un problema suo, e non ti esonera dal tuo. L’accesso remoto del manutentore è il caso di scuola, ed è esattamente quello che si è visto nei banchi surgelati.
L’articolo 23 chiude il cerchio e lo chiude sul board: gli organi di amministrazione e direttivi approvano le misure, ne sovrintendono l’attuazione e rispondono delle violazioni. Non il responsabile IT, non il fornitore: loro. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all’1,4% per gli importanti. Si può dare in outsourcing la manutenzione del freddo, non la responsabilità di sapere chi ci entra da remoto.
Una precisazione doverosa, perché la compliance fatta per sentito dire è peggio di nessuna compliance.
L’allegato II del decreto copre le imprese alimentari impegnate nella distribuzione all’ingrosso e nella produzione e trasformazione industriale. E di norma solo dalla media impresa in su, cioè da 50 addetti o oltre 10 milioni di fatturato. Il singolo punto vendita al dettaglio non rientra per forza nel perimetro; il gruppo con centri di distribuzione, piattaforme logistiche e produzione a marchio proprio molto probabilmente sì.
Chi non sa da che parte sta ha già un primo punto all’ordine del giorno. E chi è fuori perimetro non è fuori pericolo: i banchi di Catania si sono scaldati senza chiedere prima il codice ATECO.
I numeri di una porta lasciata aperta
La parte tecnica è meno sofisticata di quanto l’etichetta “cyberguerra” lasci immaginare. Un controllore di refrigerazione ha un’interfaccia web di gestione.
Se quell’interfaccia ha un indirizzo IP pubblico, i motori di ricerca per dispositivi connessi la indicizzano: Shodan, Onyphe, FOFA, quello che il C4 attribuisce al modo operativo di Shahid Kaveh. Chi la trova non deve bucare nulla di esotico.
L’ipotesi più diffusa, che Unit 42 riporta come tale, è che i dispositivi girassero su versioni vulnerabili o con le credenziali di default del produttore. L’advisory pubblicato dalla CISA il 5 novembre parla di bypass dell’autenticazione, iniezione di codice e configurazioni deboli. Una volta dentro basta il comando di sbrinamento: una funzione legittima, usata fuori orario e fuori misura.
I numeri raccontano quanto fosse larga la porta. Ad agosto, due mesi prima dell’attacco, Claroty aveva contato 2.765 interfacce AK-SM 800A esposte. Tra il 5 e il 6 novembre Unit 42 ha censito oltre 5.000 dispositivi raggiungibili da Internet dei marchi citati dal CERT-FR. Forescout stima quasi 13.000 servizi di refrigerazione vulnerabili in 99 Paesi.
Sono tre conteggi di tre fonti con tre metodi diversi: non si sommano e non fanno una serie storica. Il dato più istruttivo però è un altro e riguarda la sola Francia: 1.853 dispositivi esposti il 15 ottobre, 558 il 31 ottobre, 316 il 6 novembre.
In tre settimane l’esposizione è scesa di oltre l’80%. Quindi togliere un controllore da Internet e rimetterlo dietro una VPN si poteva fare, in fretta e senza investimenti epocali. Serviva solo un motivo. Settecento negozi con la merce nel cassonetto si sono rivelati un motivo sufficiente; l’allerta di Claroty di agosto, evidentemente, no.
Cinque domande da portare in consiglio
Le raccomandazioni dell’ACN sono note: verificare l’esposizione su Internet dei sistemi di controllo e teleassistenza, segregarli dalle reti aziendali, VPN e autenticazione a più fattori per gli accessi remoti, controllo degli account, sostituzione di ciò che non è più supportato.
L’Agenzia estende il richiamo a climatizzazione, reti idriche, energia, videosorveglianza. Sono istruzioni per i tecnici. Al board ne servono altre, più scomode, perché hanno risposta sì o no.
- Abbiamo un elenco di tutti i fornitori che hanno un accesso remoto ai nostri impianti, compresi quelli che non passano dalla nostra rete?
- Chi ha firmato quei contratti, e contengono un requisito di sicurezza, un obbligo di notifica, un diritto di verifica?
- Quanti apparati a fine vita abbiamo in esercizio, e chi ha deciso di tenerli?
- Se stanotte alle quattro qualcuno cambia un parametro, chi se ne accorge prima dell’apertura?
- Quanto vale, in euro, una notte senza freddo in tutti i nostri siti contemporaneamente?
L’ultima è l’unica che conta davvero, perché è l’unica che un consiglio sa già leggere. In Francia la risposta è stata diverse decine di milioni, più quindici incendi, più un ambasciatore convocato.
Il frigorista ha un accesso remoto ai vostri impianti. Il consiglio di amministrazione lo sa?
Partecipa alla community