Attacco ai frigoriferi in Europa: forse c’è dietro uno Stato nemico

Una nuova ondata di attacchi e incidenti informatici ai sistemi frigoriferi ha investito i supermercati europei nella notte tra il 1° e il 2 novembre 2026. Frigoriferi e freezer hanno registrato aumenti improvvisi delle temperature in Belgio, Lussemburgo, Svezia ed Estonia. Alcuni negozi hanno dovuto ritirare alimenti dalla vendita: un problema di cybersicurezza si è trasformato in un’emergenza per la catena del freddo. Proprio come il precedente in Francia.

Anche in questo caso, nessuna rivendicazione, “impossibile attribuire con certezza questi attacchi ma il sospetto è che ci sia dietro un nemico dell’Occidente, come la Russia o l’Iran”, spiega l’esperto cyber Pierluigi Paganini. “Poiché non c’è stata rivendicazione, è improbabile che sia attivismo puro, al solito interessato anche alla fama; più probabile che ci siano attacchi diretti da uno Stato nazione, interessato solo a seminare scompiglio e sfiducia nella popolazione”, aggiunge, spiegando che, “dopo il primo attacco, aumenta inoltre il rischio di emulazione da parte di altri soggetti. Questo rende ancora più complesso individuare mandanti e reali obiettivi.

La dinamica è simile a quella della Francia, anche se i colpevoli possono essere diversi.

In almeno due episodi, in Svezia e in Estonia, i responsabili hanno riferito che le impostazioni dei sistemi di refrigerazione erano state portate a 50 °C. A confermare il quadro è un’inchiesta di Reuters del 2 novembre.

In Francia a ottobre centinaia di negozi hanno perso merci e in alcuni casi sono stati segnalati incendi. Il problema riguarda i controllori industriali che consentono ai manutentori di cambiare le impostazioni a distanza, spesso attraverso una connessione di rete.

Belgio, Svezia ed Estonia: dove sono stati colpiti i supermercati

In Belgio, Delhaize, catena del gruppo Ahold Delhaize, ha confermato un incidente IT ai sistemi di refrigerazione di circa 40 punti vendita, con segnalazioni anche in Lussemburgo. Secondo le ricostruzioni raccolte da RTL Info, sono stati interessati anche 15 supermercati Carrefour e cinque negozi Spar, questi ultimi gestiti da affiliati al gruppo Colruyt. In alcuni esercizi il personale ha svuotato i frigoriferi perché gli alimenti non erano più conservati alla temperatura prevista.

Il frigorista belga Sabcobel ha indicato un meccanismo preciso: gli attaccanti avrebbero attivato da remoto lo sbrinamento degli evaporatori, facendo salire le temperature. Delhaize ha inizialmente parlato di «incidente informatico» e ha avviato verifiche; la dichiarazione tecnica del fornitore non equivale ancora a una ricostruzione forense completa dei vettori d’ingresso.

In Svezia le catene ICA e Coop hanno segnalato problemi analoghi. Coop ha parlato di sei punti vendita coinvolti; ICA di un numero limitato di negozi, fra cui quello di Baronen a Stoccolma, dove i guasti sono stati notati alle 5.30 dopo un episodio iniziato intorno alle 2. John Billow, alla guida del centro nazionale svedese di cybersicurezza, ha riferito a Reuters che il centro sta esaminando più incidenti e aveva già rilevato numerosi dispositivi OT esposti e bisognosi di aggiornamenti.

In Estonia, l’emittente pubblica ERR ha raccolto le dichiarazioni di Kitman Coldtech e di Selver: in un supermercato Selver è stato compromesso il computer di controllo di un vecchio sistema Danfoss. La temperatura impostata è stata alzata a 50 °C, ma quella effettiva dei freezer è aumentata soltanto di circa 2-3 gradi. Il fornitore ha individuato l’anomalia e ripristinato il funzionamento in circa 10-15 minuti, evitando danni agli alimenti. È una distinzione decisiva: l’impostazione alterata non coincide necessariamente con la temperatura raggiunta dal cibo.

Come si attacca la catena del freddo: il ruolo dello sbrinamento

Negli impianti commerciali lo sbrinamento è un’operazione normale. Serve a rimuovere il ghiaccio dagli scambiatori di calore, ma durante il ciclo il raffreddamento viene temporaneamente modificato e possono essere impiegate resistenze o altri sistemi per sciogliere la brina. I controllori centralizzati programmano durata, orari e parametri di temperatura di numerosi banchi e celle frigorifere.

Se qualcuno acquisisce il controllo della console, può cambiare quei parametri senza entrare nel negozio. Prolungare lo sbrinamento o impostare valori anomali può interrompere la conservazione dei prodotti freschi e surgelati, far scattare gli allarmi e imporre il ritiro delle merci. In Francia, durante l’attacco del 12 ottobre, le temperature di alcuni impianti sono arrivate fino a 50 °C; le autorità hanno riferito anche di incendi e perdite di prodotti alimentari. Reuters aveva contato inizialmente almeno 350 esercizi coinvolti; una successiva ricostruzione dell’Associated Press ha riferito la stima del ministro francese dell’Economia Roland Lescure: circa 700 supermercati su 10.000 nel Paese.

La teleassistenza permette ai tecnici di intervenire rapidamente su impianti distribuiti in molte sedi. Ma se la gestione remota passa da interfacce amministrative raggiungibili direttamente da Internet, un aggressore può tentare di sfruttare credenziali deboli, configurazioni errate o vulnerabilità del firmware. Gli episodi attuali hanno modalità simili a quelli francesi; non c’è però una prova pubblica che siano opera dello stesso gruppo o che abbiano sfruttato la stessa falla.

Il CERT-FR aveva già lanciato l’allerta sui controllori OT

Un segnale concreto era arrivato prima della nuova ondata. Nel bollettino CERTFR-2026-ALE-012, pubblicato il 12 ottobre e aggiornato il 16, il CERT-FR, struttura francese di risposta agli incidenti dell’Anssi, ha documentato numerose compromissioni dei supervisori per la refrigerazione Danfoss delle serie AK-SM e AK-SC e dei sistemi XWEB di Copeland e Dixell. Sono dispositivi che gestiscono il funzionamento di impianti fisici, cioè tecnologia operativa, o OT.

L’allerta francese non si limita a indicare prodotti a rischio. Chiede di eliminare l’esposizione diretta su indirizzi IP pubblici, controllare tutte le impostazioni — in particolare i cicli di sbrinamento — e riaprire l’accesso remoto soltanto attraverso una VPN sicura o una rete protetta. Il CERT-FR avverte che le campagne potrebbero essere ancora in corso e che un reset di fabbrica, da solo, non mette al sicuro un apparato fuori supporto che resta raggiungibile da Internet.

Anche la scala della superficie esposta è significativa. Il 13 ottobre Reuters aveva individuato tramite Shodan almeno 4.500 interfacce Danfoss visibili su Internet. È un numero di sistemi individuabili, non una misura dei dispositivi vulnerabili o già compromessi: senza verifiche sulle versioni del firmware, quelle condizioni non possono essere date per equivalenti.

Le vulnerabilità Danfoss note e le patch disponibili

La ricerca tecnica aiuta a capire quali porte possono aprire i controllori esposti. Il 9 agosto 2026, Claroty Team82 ha pubblicato un’analisi del Danfoss AK-SM 800A, il supervisore che coordina e monitora la refrigerazione di supermercati e magazzini. I ricercatori hanno scoperto un meccanismo nascosto di autenticazione aggirabile e due ulteriori falle che, in condizioni specifiche e dopo autenticazione, possono permettere l’esecuzione di codice o il blocco dell’interfaccia web.

Il produttore aveva già rilasciato correzioni: la versione 4.2 risolve il problema di autenticazione, mentre il firmware 4.3.1 corregge anche le due vulnerabilità successive, come precisa l’avviso Danfoss DSA-2025-08-01. Nell’aggiornamento tecnico di ottobre 2026 Danfoss segnala inoltre la disponibilità della versione 5.3.x per la famiglia AK-SM 800A, raccomandata ai clienti e dotata di ulteriori miglioramenti di cybersicurezza. Gli aggiornamenti vanno scelti in base al modello e alla compatibilità dell’impianto.

Danfoss AK-SM 8xxA: vulnerabilità note e versioni correttive

Fonti: Claroty Team82, 9 agosto 2026; Danfoss, avviso di sicurezza DSA-2025-08-01. Le CVE riguardano la famiglia AK-SM 8xxA, non automaticamente tutti gli altri modelli citati dal CERT-FR; non è dimostrato che siano state sfruttate negli incidenti del 2 novembre.

Non è stato dimostrato che queste CVE siano il vettore degli attacchi del 2 novembre. I dettagli tecnici degli accessi non sono ancora pubblici. Le vulnerabilità documentate mostrano però perché un controllore raggiungibile da Internet e non aggiornato sia un bersaglio: la console può diventare una via d’accesso al processo fisico che regola il freddo.

Le misure urgenti per supermercati e fornitori di manutenzione

La prima decisione per una catena di supermercati è censire i controllori in uso in ogni punto vendita, indicando modello, firmware, stato di supporto, indirizzo di gestione, fornitore incaricato e modalità di accesso remoto. È un inventario da verificare insieme ai frigoristi, perché l’IT centrale può non vedere gli apparati installati o amministrati direttamente dagli affiliati e dai manutentori.

Per i sistemi esposti, l’indicazione del CERT-FR è di togliere subito le interfacce di amministrazione da Internet e predisporre VPN protette e accessi limitati ai tecnici autorizzati. Nell’emergenza, il filtraggio dei soli indirizzi IP del manutentore può ridurre il rischio, ma l’agenzia francese non lo considera una soluzione definitiva. Prima di interrompere un collegamento bisogna coordinarsi con chi gestisce l’impianto: alcune connessioni servono anche agli allarmi o alla teleassistenza previsti dal contratto.

Subito dopo occorre verificare i parametri di sbrinamento e gli allarmi, applicare firmware supportati e credenziali nuove, eliminare le password predefinite e, sui Danfoss compatibili, attivare la modalità di sicurezza «Strict» richiamata dal CERT-FR. Se un apparecchio risulta già compromesso, la rimessa in esercizio deve seguire le istruzioni del costruttore e dell’agenzia: isolamento, ripristino o riavvio dove indicato, riconfigurazione e rientro in rete protetta. Sugli apparati a fine vita va pianificata la sostituzione, perché la sola pulizia non elimina una falla non correggibile.

Il problema riguarda anche le aziende che gestiscono più negozi tramite fornitori esterni. Le linee guida del National Cyber Security Centre britannico sui rischi OT delle terze parti chiedono di conoscere ogni collegamento esterno, i privilegi concessi e le condizioni contrattuali di accesso. In pratica, la manutenzione del freddo deve entrare nelle verifiche di sicurezza della filiera digitale, con accessi tracciati, segmentazione delle reti e procedure per intervenire anche se il collegamento remoto viene sospeso.

Il rischio per l’Italia e il confine della direttiva NIS2

Gli episodi non documentano, per ora, attacchi analoghi a supermercati italiani. “Non risultano episodi analoghi in Italia, ma lo scenario è possibile“, conferma Paganini.

Ma l’architettura che li rende possibili è comune a molti impianti commerciali: un piccolo controller può fermare un’intera area di vendita e trasformare un problema informatico in merce da distruggere, interruzioni operative e possibili rischi per la sicurezza alimentare. La prevenzione richiede quindi sia difese cyber sia procedure per verificare le temperature reali e decidere in sicurezza quali prodotti mantenere o ritirare.

La direttiva europea NIS2 include fra gli altri settori critici le imprese alimentari impegnate nella distribuzione all’ingrosso e nella produzione o lavorazione industriale. Non basta dunque avere un supermercato al dettaglio per essere automaticamente soggetti alla NIS2: contano le attività effettivamente svolte, i criteri dimensionali e le disposizioni nazionali applicabili. Gli obblighi normativi, dove presenti, rafforzano il presidio, ma non sostituiscono le misure tecniche immediate.

I casi di novembre mostrano infine una debolezza che non riguarda solo il commercio alimentare. Quando un’interfaccia digitale comanda una macchina, l’intrusione ha conseguenze fisiche. In un supermercato queste conseguenze si vedono nei congelatori svuotati; in altri impianti industriali possono colpire produzione, magazzini o servizi essenziali. È su quel passaggio, dal software all’operazione materiale, che la sicurezza OT deve concentrare controlli e investimenti.

“Occorre prevenire: mappare gli impianti, proteggere gli accessi, aggiornare i dispositivi e preparare procedure di emergenza. La cybersicurezza deve tutelare queste infrastrutture essenziali”, conclude Paganini.