In sintesi
- Tra ottobre e novembre 2026 attacchi informatici hanno colpito i sistemi di refrigerazione di supermercati e operatori alimentari in dodici Paesi europei, Italia compresa.
- Il CSIRT Italia dell’ACN ha riproposto il 3 novembre, in versione 1.1, un bollettino di misure urgenti: eliminare le interfacce esposte su Internet, fare l’inventario degli apparati, controllare temperature e sbrinamenti.
- Palazzo Chigi parla di impatto «fortemente limitato» in Italia; la Commissione europea ha riunito task force interistituzionale, ENISA, Europol e autorità nazionali.
Un controllore di refrigerazione raggiungibile da Internet può trasformarsi in un problema di continuità di un servizio essenziale: la conservazione degli alimenti. È la lezione degli attacchi che nelle ultime settimane hanno colpito gli impianti frigoriferi della grande distribuzione in Europa. Il ministro dell’Interno Piantedosi, come riporta RaiNews, si dice «preoccupato» e parla di un’«iniziativa coordinata in tutta Europa».
Cosa è successo
Secondo Agenda Digitale, gli attacchi informatici che tra ottobre e novembre 2026 hanno preso di mira i sistemi di refrigerazione di supermercati e operatori alimentari hanno interessato finora dodici Paesi europei, Italia compresa. Il bersaglio non sono server o postazioni d’ufficio, ma i controllori e i sistemi di supervisione che regolano temperature e cicli di sbrinamento dei banchi frigo: tipici apparati OT (Operational Technology), spesso installati e gestiti da terzi.
La risposta delle istituzioni
Dopo una riunione con ACN, intelligence e ministero dell’Agricoltura, Palazzo Chigi ha definito «fortemente limitato» l’impatto finora accertato sul territorio nazionale: poche unità commerciali coinvolte, per lo più con sistemi obsoleti o interfacce direttamente esposte. Il governo, si legge nella nota riportata da Agenda Digitale, agirà lungo quattro direttrici: monitoraggio e analisi della minaccia, «attività peraltro avviata già da mesi»; interlocuzione costante con fornitori e venditori della filiera alimentare; individuazione e tempestiva notifica dei soggetti esposti; diffusione su larga scala di comunicazioni preventive e indicazioni per la mitigazione dei rischi.
A livello europeo la Commissione ha convocato il 3 novembre due riunioni: una con la task force interistituzionale, ENISA ed Europol, l’altra con le autorità nazionali nell’ambito di EU-CyCLONe. Il portavoce Thomas Regnier ha richiamato la capacità degli attacchi di interrompere servizi essenziali, ma ha escluso che la Commissione possa attribuire la responsabilità prima degli accertamenti nazionali. Come sottolinea Agenda Digitale, somiglianza tra episodi e attribuzione a un unico autore restano due questioni diverse.
Gli avvisi tecnici di Francia e Italia
Il CERT-FR, la struttura francese di risposta agli incidenti, ha pubblicato il 12 ottobre un’allerta, aggiornata fino al 16 ottobre, sui sistemi di supervisione della refrigerazione di Danfoss, Copeland e Dixell. In Italia il CSIRT Italia dell’ACN ha diffuso il 13 ottobre un bollettino di misure urgenti di verifica e mitigazione, riproposto il 3 novembre nella versione 1.1 dopo gli eventi rilevati sul territorio nazionale. Il documento si rivolge a supermercati, logistica alimentare, gestori di impianti frigoriferi e manutentori.
Quanto sono esposti gli impianti
Una ricerca di Censys del 2 novembre, citata da Agenda Digitale, ha rilevato in Francia 220 interfacce Danfoss StoreView accessibili da Internet, contro 1.825 dell’11 ottobre e 537 del 14 ottobre: una riduzione di circa l’88%. In Belgio le interfacce esposte sono 138, nei Paesi Bassi 51, in Svezia 50; le versioni rilevate indicano rispettivamente il 68%, il 37% e il 58% con firmware 4.3.1 o successivo. Il dato misura l’esposizione online, non le compromissioni né il numero di negozi colpiti.
Per i dispositivi Danfoss AK-SM 800A, Claroty Team82 ha documentato tre vulnerabilità (CVE-2025-41450, CVE-2025-41451 e CVE-2025-41452), tra cui il superamento dell’autenticazione, corrette dal firmware R4.3.1. Non è stato dimostrato che siano il vettore usato negli incidenti di novembre. In Portogallo, infine, il gruppo Mosqueteiros ha confermato anomalie in sette punti vendita Intermarché, indicando come possibile bersaglio un prestatore esterno che gestiva i sistemi di refrigerazione.
Perché riguarda anche te
Per la grande distribuzione e la logistica alimentare il rischio è diretto: un parametro di temperatura o una fascia di sbrinamento alterati a distanza mettono in gioco la sicurezza della merce e la continuità del servizio. Il caso portoghese mostra poi che il punto debole può trovarsi fuori dall’azienda, negli accessi di chi fa manutenzione e teleassistenza.
Lo schema non riguarda solo i supermercati. Molte aziende e amministrazioni pubbliche hanno impianti tecnologici connessi, installati da fornitori, raggiungibili da remoto e spesso assenti dagli inventari IT: è la stessa combinazione di fattori che, secondo Palazzo Chigi, caratterizza i casi italiani, cioè sistemi obsoleti e interfacce esposte.
E le famiglie? Il Corriere della Sera si chiede se possa succedere anche a casa. Le fonti disponibili non documentano attacchi a dispositivi domestici, ma i principi di protezione sono gli stessi che valgono per qualsiasi oggetto connesso: non esporlo inutilmente a Internet, cambiare le password predefinite, tenerlo aggiornato.
Come proteggersi / Cosa fare
- Fare l’inventario. Il bollettino ACN chiede di censire controllori, sistemi di supervisione, gateway e servizi di teleassistenza indicando ubicazione, responsabile, modello, versione e stato del supporto. Senza inventario ogni altra misura resta incompleta.
- Eliminare l’esposizione diretta. Nessuna interfaccia amministrativa deve essere raggiungibile da Internet: l’accesso remoto va ripristinato solo tramite VPN sicura o rete protetta, come indicano CERT-FR e ACN. Buona pratica di settore: verificare periodicamente dall’esterno quali servizi rispondono sui propri indirizzi IP pubblici.
- Aggiornare o isolare. Confrontare modello e versione firmware con gli avvisi del produttore (per i Danfoss AK-SM 800A il riferimento è R4.3.1). Un controllore che non riceve più aggiornamenti, ricorda l’ACN, va isolato o dismesso secondo una pianificazione esplicita.
- Sostituire le credenziali di default. Il CERT-FR raccomanda di verificare che le password predefinite siano state cambiate e, sugli apparati Danfoss, di attivare il livello di sicurezza più restrittivo.
- Segmentare la rete. Secondo il modello degli standard IEC 62443, la rete degli impianti va separata da quella aziendale e da Internet, con zone e canali di comunicazione controllati. L’ACN chiede anche limiti tra più siti, perché la compromissione di un punto vendita non apra l’accesso agli altri.
- Governare gli accessi dei manutentori. Accessi remoti concentrati su punti unici, autenticati e registrati; autenticazione a più fattori, account individuali e privilegi minimi, come raccomanda l’ACN. Va verificato contrattualmente che i fornitori applichino le stesse regole.
- Controllare le configurazioni. Confrontare temperature, sbrinamenti, soglie e allarmi impostati con i valori autorizzati. Sugli apparati compromessi il CERT-FR prevede riavvio o ripristino di fabbrica, seguiti dalla riconfigurazione prima della rimessa in servizio.
- Monitorare e prevedere un piano B. Buona pratica: conservare e analizzare i log degli accessi remoti, usare allarmi di temperatura indipendenti dal sistema di supervisione e definire procedure manuali per garantire la conservazione degli alimenti quando il controllo digitale non è affidabile.
- A casa. Buone pratiche riconosciute: cambiare le password predefinite di router e dispositivi smart, installare gli aggiornamenti, disattivare l’accesso remoto e le funzioni di apertura automatica delle porte del router se non servono, collegare gli oggetti connessi a una rete separata, come la rete ospiti.
Il punto di vista Nexim
Da operatore di rete leggiamo questi episodi come un problema di superficie d’attacco prima ancora che di malware: ogni indirizzo IP che risponde dall’esterno è una porta da presidiare, che si tratti di un server o di un controllore di banchi frigo. I dati Censys sulla Francia dimostrano che l’esposizione si può ridurre rapidamente quando le organizzazioni sanno cosa hanno in rete. Per chi gestisce molti siti, il passo successivo è un perimetro governato, con accessi remoti concentrati, traffico verso gli apparati OT filtrato e monitoraggio continuo, temi che affrontiamo nel nostro lavoro sulla protezione DDoS e la sicurezza di rete. La tecnologia però non basta senza inventario aggiornato e regole chiare per i fornitori: è lì che si decide la resilienza della filiera.
Fonti
- Attacchi ai frigoriferi: ora le contromisure, ecco quali – Agenda Digitale
- Frigoriferi hackerati nei supermercati: perché sono in rete? Chi c’è dietro gli attacchi? E può succedere anche a casa? – Corriere della Sera
- Attacchi hacker ai refrigeratori, Piantedosi: «Preoccupati, iniziativa coordinata in tutta Europa» – RaiNews