Prima dell’ondata coordinata di attacchi informatici che ha preso di mira i sistemi di refrigerazione industriale di centinaia di punti vendita di marchi leader della GDO alimentare, nel dibattito pubblico e persino nelle riunioni dei consigli d’amministrazione la parola “cyber-attacco” evocava immagini precise: server cifrati, documenti riservati in vendita sul Dark Web, estorsioni a mezzo ransomware o interruzioni di portali web istituzionali.
La sicurezza informatica veniva percepita come una contesa confinata al mondo immateriale dei dati, nettamente separata dalla concretezza dei processi fisici, delle fabbriche, degli edifici e degli impianti.
Questa separazione non esiste più: la frontiera tra bit e materia si è dissolta nel modo più tangibile e destabilizzante possibile proprio attraverso le corsie della Grande Distribuzione Organizzata europea.
Non siamo di fronte a un semplice incidente isolato. Questo evento segna un salto qualitativo nella minaccia cyber: il passaggio definitivo dal furto di informazioni al sabotaggio mirato della Operational Technology (OT) e dell’Internet of Things industriale.
Indice degli argomenti
L’arma invisibile: il sabotaggio Living off the Land
Ciò che rende questo attacco emblematico e al contempo estremamente allarmante per chiunque si occupi di innovazione e sicurezza industriale è l’assoluta assenza di malware distruttivo o di exploit complessi.
Gli attaccanti non hanno dovuto sviluppare armi digitali inedite: hanno praticato il cosiddetto Living off the Land, piegando a proprio favore le funzioni ordinarie e legittime già previste dal costruttore dell’hardware.
Nel mirino sono finiti i gateway di monitoraggio e controllo della serie AK-SM prodotti da Danfoss, uno dei principali produttori mondiali di componentistica per la refrigerazione. Questi apparati fungono da centro di comando per i banchi frigo, dialogando con i compressori e ospitando server web incorporati per consentire ai tecnici della manutenzione di modificare parametri e orari da remoto.
Gli attaccanti si sono infiltrati in queste interfacce web durante la notte e hanno comandato l’avvio di cicli prolungati di sbrinamento. L’efficacia del metodo risiede nelle logiche di funzionamento di questi macchinari: durante un normale ciclo di sbrinamento, i controller sospendono temporaneamente le allerte termiche per evitare falsi allarmi mentre le resistenze riscaldano le serpentine.
Mantenendo attivo lo sbrinamento per oltre otto ore consecutive, i cyber criminali hanno inibito le telemetrie di emergenza che avrebbero avvisato le centrali di vigilanza o il personale reperibile. Quando gli allarmi sono finalmente scattati, il danno biologico ed economico era ormai irrecuperabile.
L’intrusione è stata resa possibile da una combinazione di tre fattori tipici degli ambienti OT:
- Esposizione diretta su Internet: molti controller erano collegati direttamente al modem/router del punto vendita, con indirizzi IP pubblici raggiungibili da qualsiasi scansione automatica della rete.
- Sistemi fuori supporto: le unità colpite appartenevano a modelli legacy per i quali il produttore non rilasciava più aggiornamenti di sicurezza o patch correttive.
- Autenticazione debole: per agevolare le operazioni di assistenza sul campo, i gateway implementavano una funzione di recupero credenziali basata su un meccanismo di “code-of-the-day”, ovvero una password temporanea generata da un algoritmo elementare legato unicamente alla data corrente del sistema. Agli attaccanti è bastato calcolare questa chiave matematica per scavalcare qualsiasi credenziale d’accesso.
Perché l’Italia è esposta
Sarebbe un errore considerare l’accaduto un problema solo francese o belga. Nelle ore successive agli attacchi, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha emanato allarmi urgenti e il governo ha convocato tavoli di coordinamento a Palazzo Chigi. Anomalie e tentativi di intrusione sono stati registrati anche in Italia, su piattaforme logistiche agroalimentari in Emilia-Romagna, punti vendita della GDO in Sicilia e centri di ristorazione collettiva in Toscana.
L’Italia è il secondo paese europeo per manifattura e ha filiere dell’agroalimentare e della catena del freddo tra le più grandi al mondo. Il Rapporto Clusit conferma il quadro: il comparto manifatturiero e industriale italiano attira da solo oltre il 16% degli attacchi cyber globali contro il settore.
Negli ultimi anni, la transizione verso il paradigma Industria 4.0 ha portato a una digitalizzazione a tappe forzate: migliaia di PLC, controllori SCADA, inverter, valvole intelligenti e sistemi BMS (Building Management System) sono stati collegati alle reti per monitorare consumi energetici e abilitare la teleassistenza. Ma in troppi casi questa connettività è stata realizzata senza applicare i principi basilari della cyber-igiene.
Negli ospedali dove si conservano vaccini e farmaci termosensibili, negli stabilimenti chimico-farmaceutici, negli acquedotti o nelle catene di supermercati italiani, la presenza di apparati industriali con credenziali di default o interfacce web esposte pubblicamente è ancora un’abitudine drammaticamente diffusa.
La trappola della responsabilità frammentata
Lavorando a contatto con le aziende, il problema che riscontriamo più spesso nella sicurezza OT è quello che chiamiamo “responsabilità frammentata“.
Consideriamo un punto vendita o un magazzino logistico. Tipicamente è l’azienda proprietaria a possedere struttura fisica e frigoriferi, mentre un manutentore termoidraulico esterno gestisce gli impianti e richiede una connessione da remoto per comodità operativa. Infine, al team IT interno (o un fornitore di servizi di telecomunicazioni) spetta la gestione del router e della linea Internet del negozio.
In questo schema, la sicurezza informatica dell’hardware fisico cade in una pericolosa terra di nessuno. L’IT evita di intervenire sui sistemi di refrigerazione per non assumersi la responsabilità di un eventuale blocco operativo o perché ignora i protocolli proprietari dell’automazione; i fornitori degli impianti, dal canto loro, vedono le misure di sicurezza come una complicazione burocratica che rallenta gli interventi.
Il risultato è che nessuno governa il rischio. Ma le conseguenze si propagano in fretta, perché un dispositivo OT o IoT non protetto non è solo un componente vulnerabile. All’interno della rete è anche un punto d’ingresso per superare il perimetro aziendale, una piattaforma da cui mappare gli altri apparati connessi, e un trampolino per raggiungere server, sistemi gestionali o casse e lanciare attacchi ransomware o furti di dati.
NIS2 e Cyber Resilence Act: il quadro normativo
L’Unione Europea ha risposto con nuove regole. Il Cyber Resilience Act (CRA) obbligherà i costruttori a progettare hardware sicuro di default: niente più password predefinite universali, e aggiornamenti di sicurezza garantiti per almeno cinque anni. In parallelo, il recepimento in Italia della Direttiva NIS2 (D.lgs. 138/2024) ha incluso la filiera alimentare, la logistica e le utility tra i soggetti obbligati a gestire il rischio informatico, compresa la supply chain, con sanzioni per gli organi direttivi.
Tuttavia, le leggi tutelano principalmente il futuro, ma il problema dell’OT risiede nel presente: mentre un personal computer o uno smartphone viene sostituito ogni 3-4 anni, un impianto di refrigerazione, un generatore o un macchinario industriale ha un ciclo di vita di 15, 20 o persino 30 anni.
Non possiamo sostituire l’intero parco macchine produttivo europeo dall’oggi al domani; dobbiamo imparare a difendere l’infrastruttura legacy che già lavora sul campo.
Per le imprese italiane ed europee, la ricetta per una reale postura difensiva si articola in quattro direttrici immediate:
- Azzerare l’esposizione diretta: nessun dispositivo di controllo industriale deve avere un indirizzo IP pubblico esposto sulla rete Internet aperta.
- Segmentazione delle reti (Purdue Model): è imperativo separare nettamente la rete IT (uffici, posta, gestionali) dall’ambiente OT (macchinari, sensori, attuatori) tramite firewall dedicati e zone demilitarizzate (DMZ), impedendo il movimento laterale delle minacce.
- Accessi remoti protetti e tracciati: la teleassistenza deve avvenire esclusivamente tramite canali cifrati (VPN sicure o architetture Zero Trust), vincolati obbligatoriamente all’Autenticazione a Più Fattori (MFA) e a finestre temporali controllate.
- Visibilità e monitoraggio continuo degli asset: non è possibile proteggere ciò che non si vede. Serve un inventario dinamico e in tempo reale di ogni dispositivo connesso, capace di analizzare il traffico anomalo sui protocolli industriali prima che un’anomalia si trasformi in disastro.
Proteggere la continuità aziendale
L’insegnamento che giunge dai frigoriferi europei è inequivocabile. La trasformazione digitale non consiste nell’aggiungere indifferentemente schede di rete e connettività a qualsiasi apparato meccanico senza curarne l’integrità.
Nel mondo iperconnesso, un grado centigrado alterato da remoto ha lo stesso potenziale distruttivo di un malware che cripta un intero database.
La continuità operativa, la sicurezza alimentare e la salvaguardia del nostro patrimonio produttivo dipendono dalla capacità di proteggere l’invisibile ragnatela di controllori che governa la materia.
Senza una convergenza consapevole e strutturata tra Information Technology e Operational Technology, l’innovazione rischia di costruire giganti d’acciaio su fondamenta di cristallo.
Partecipa alla community