Dai supermercati alle celle per il plasma, i comandi a distanza possono produrre danni fisici. Le analisi di Check Point, Sophos, NAIS, CyberGrant, TrendAI, Zscaler, ManageEngine, Cybernews e Cyberoo spiegano i rischi e le difese.
Per interrompere la conservazione degli alimenti può bastare un comando impartito attraverso una centralina di gestione. Gli attacchi ai sistemi di refrigerazione segnalati in diversi Paesi europei, Italia compresa, mostrano un rischio concreto: chi ottiene un accesso non autorizzato può modificare temperature, cicli di sbrinamento e allarmi. Il danno può quindi raggiungere direttamente le merci e la continuità delle attività.
Le analisi inviate alla stampa da nove realtà specializzate nella sicurezza informatica convergono su un problema: impianti essenziali, spesso installati molti anni fa, restano accessibili da remoto senza protezioni adeguate. Le loro valutazioni richiedono però una distinzione: un sistema esposto su Internet non è necessariamente vulnerabile o già compromesso, e la somiglianza degli incidenti non dimostra da sola una regia o una causa tecnica comune.
Che cosa sappiamo degli attacchi ai frigoriferi
L’allerta del CERT-FR, pubblicata il 12 ottobre 2026 e aggiornata il 16 ottobre, conferma numerose compromissioni di controllori per la refrigerazione delle serie Danfoss AK-SM e AK-SC, oltre a sistemi Copeland xweb e Dixell xweb. Il problema supera quindi il singolo marchio. L’agenzia francese invita a rimuovere l’esposizione pubblica delle interfacce e a verificare le configurazioni, comprese le finestre di sbrinamento.
Una nuova ondata di segnalazioni è emersa a inizio novembre, dopo gli attacchi ai frigoriferi dei supermercati in Belgio e Svezia. Per l’Italia, dove abbiamo ricostruito gli attacchi ai supermercati e le misure urgenti dell’ACN, il quadro comunicato da Palazzo Chigi il 3 novembre, ripreso da ANSA, indica un impatto iniziale limitato a pochi punti vendita e nessun rischio per la salute pubblica emerso in relazione allo scongelamento dei prodotti. Anche Federdistribuzione, con riferimento alle proprie imprese associate, ha dichiarato di non rilevare criticità nelle reti distributive. Queste indicazioni non cancellano gli incidenti: ne delimitano la portata nota.
NAIS e Check Point: i comandi legittimi possono diventare strumenti di sabotaggio
Carlo Testa, CEO e General Manager di NAIS, evidenzia che per alterare un impianto non serve necessariamente introdurre un malware. Dopo un accesso abusivo, funzioni ordinarie di manutenzione possono produrre effetti dannosi. Credenziali condivise, accessi remoti non protetti e apparecchiature obsolete possono esporre punti vendita di insegne diverse a rischi simili. Nel commento del 3 novembre, Testa precisa che non è ancora accertata una causa tecnica comune degli episodi attuali.
La gestione distribuita tra affiliati, manutentori e fornitori rende inoltre essenziale attribuire responsabilità precise. Chi conosce i dispositivi presenti? Chi può modificarne i parametri? Chi controlla gli accessi durante la notte? Per NAIS, la protezione degli ambienti OT, cioè delle tecnologie che controllano processi fisici, riguarda anche la governance aziendale.
Oded Vanunu, Head of Vulnerability Research di Check Point, richiama il divario tra il ciclo di vita delle apparecchiature e quello delle minacce. Un impianto può restare operativo per quindici anni o più, mentre software, tecniche d’attacco e requisiti di sicurezza cambiano molto prima. Anche i cicli di sbrinamento, indispensabili al normale esercizio, possono essere abusati da chi conquista il controllo. Nella nota del 13 ottobre, Vanunu precisa che la modalità iniziale d’accesso degli aggressori non era ancora chiara.
Le interfacce esposte non coincidono con gli impianti violati
Una nuova rilevazione di Check Point Research, comunicata il 4 novembre, individua interfacce pubblicamente raggiungibili relative allo stesso modello di sistema di refrigerazione preso di mira negli incidenti. Una singola console, osservano i ricercatori, può controllare decine o centinaia di unità. Nella distribuzione geografica del campione rilevato, il 31,2% delle interfacce si trova in Francia, l’8,6% negli Stati Uniti e l’8,4% in Spagna.
Queste percentuali descrivono la quota dei Paesi sul totale delle interfacce individuate, non la percentuale di frigoriferi vulnerabili in ciascun territorio. La nota non fornisce il numero complessivo del campione né tutti i dettagli metodologici: i dati vanno quindi attribuiti alla società, senza trasformarli in una stima delle vittime.
Anche le misurazioni di altre aziende richiedono cautela. Nell’analisi del 2 novembre, Censys osserva poco più di mille istanze Danfoss StoreView esposte nel mondo; in Francia il conteggio passa da 1.825 prima degli attacchi di ottobre a 220. Date, criteri di ricerca e famiglie di dispositivi possono cambiare tra le rilevazioni. Non è corretto sommare questi numeri o presentarli come il totale degli impianti compromessi.
Sophos: l’ipotesi dei fornitori resta da dimostrare
Rafe Pilling, Director of Threat Intelligence di Sophos, considera plausibile l’abuso delle funzioni di gestione già disponibili ai tecnici. Nel commento aggiornato del 2 novembre riferisce alcuni elementi compatibili con questa dinamica. Non esclude che singoli episodi possano passare dalla compromissione delle società incaricate del monitoraggio, ma precisa che Sophos non dispone, in quel momento, di evidenze a sostegno di questa seconda ipotesi.
Il passaggio conta: un manutentore che dispone di un accesso remoto è un elemento da proteggere, ma la sua presenza non prova un attacco alla catena dei fornitori. Allo stesso modo, le vulnerabilità note dei controller non dimostrano automaticamente quale falla sia stata sfruttata in uno specifico incidente.
Nell’approfondimento tecnico trasmesso il 13 ottobre, Sophos richiama la ricerca di Claroty Team82 sui Danfoss AK-SM 800A. Le falle studiate riguardano l’aggiramento dell’autenticazione e la manipolazione di comandi o configurazioni; il produttore ha pubblicato correzioni. La ricerca dimostra possibilità tecniche, ma non prova che quelle vulnerabilità siano all’origine degli attacchi ai supermercati. Modelli, versioni e singole intrusioni devono essere verificati separatamente.
Zscaler: come proteggere i dispositivi che non si possono sostituire subito
Nel commento inviato il 5 novembre 2026, Alex Fray, Global Innovation Lead di Zscaler, richiama il rischio di lasciare i controller della refrigerazione fuori dall’inventario IT e dai programmi di aggiornamento. La manutenzione del freddo e la sicurezza digitale spesso fanno capo a gruppi diversi; così i dispositivi possono restare connessi senza controlli periodici su accessi, versioni software e stato del supporto.
La priorità è rimuovere le centraline dall’accesso diretto a Internet e separare le reti IT e OT. Per gli interventi di tecnici e fornitori esterni, Zscaler raccomanda account individuali, autenticazione a più fattori (MFA), permessi temporanei e registri delle attività. Il modello Zero Trust impone di verificare ogni accesso e di limitarlo ai dispositivi e alle funzioni necessari.
Fray indica anche la necessità di censire dispositivi, responsabili, versioni software e durata del supporto. Se una patch non è disponibile, il virtual patching può filtrare alcune richieste malevole prima che raggiungano il controller. Questa misura non corregge la vulnerabilità e non protegge da ogni attacco, soprattutto quando il traffico usa protocolli proprietari. Riduce il rischio nell’attesa di un aggiornamento o della sostituzione.
CyberGrant e ManageEngine: la sicurezza segue impianti, identità e fornitori
Valerio Pastore, cofondatore di CyberGrant, pone l’attenzione sugli apparecchi installati e gestiti da soggetti esterni. Proteggere casse e server non basta se una centralina risponde a un canale di manutenzione trascurato. Da qui la necessità di inserire nei contratti responsabilità sugli aggiornamenti, tempi di intervento e regole per gli accessi remoti.
Nel contributo di Pastore il ragionamento si estende ai dati condivisi con consulenti e fornitori. È un rischio collegato alla gestione delle terze parti, ma distinto dal controllo di un impianto: la cifratura dei documenti non impedisce a un aggressore di modificare la temperatura di un frigorifero. L’inventario e la protezione dei sistemi operativi restano necessari.
Andrés Mendoza, Technical Director Southern Europe & LATAM di ManageEngine, lega la prevenzione alla visibilità completa degli asset, alla gestione delle identità e dei privilegi, agli aggiornamenti e al monitoraggio. Un account autorizzato a leggere le temperature non dovrebbe disporre automaticamente dei permessi per alterarle. La separazione tra consultazione, manutenzione e amministrazione riduce le opportunità di abuso e facilita la ricostruzione degli eventi.
Dalle celle alimentari al plasma: il ruolo degli allarmi indipendenti
Il caso delle strutture dell’Établissement français du sang amplia il tema alla sanità. L’ente ha confermato un incidente che ha interessato sistemi di refrigerazione gestiti da un fornitore. Secondo le dichiarazioni dell’EFS riportate il 4 novembre da Reuters e dalla stampa francese, l’intervento tempestivo ha evitato perdite di prodotti sanguigni e conseguenze sanitarie. Le ricostruzioni disponibili non consentono di attribuire automaticamente questo episodio agli stessi responsabili degli attacchi alla distribuzione alimentare.
Aggiornamento del 5 novembre 2026. Nel nuovo commento diffuso da Sound PR, Rafe Pilling, Senior Director of Threat Intelligence di Sophos, invita a distinguere la compromissione degli impianti dall’intenzione di colpire una struttura sanitaria. Secondo l’esperto, non è possibile affermare con certezza che gli autori avessero preso deliberatamente di mira una banca del sangue: l’accesso a una rete di controllo non rivela necessariamente l’attività dell’organizzazione né quali prodotti siano conservati nelle celle.
Per Pilling, proprio questa possibile inconsapevolezza rende il rischio particolarmente preoccupante. Tecnologie di refrigerazione analoghe servono a conservare alimenti, sangue, medicinali e altri prodotti sensibili alla temperatura; l’interferenza con gli impianti può quindi produrre conseguenze molto diverse a seconda del contesto. La sua valutazione riguarda la gravità potenziale di questi attacchi e non indica perdite di sangue o danni sanitari nel caso dell’EFS, evitati secondo le dichiarazioni dell’ente già riportate.
Una temperatura impostata nel pannello di controllo non coincide necessariamente con quella raggiunta dai prodotti. Per questo le verifiche devono incrociare comandi, misure effettive e tempi di esposizione. Nei commenti ricevuti, Sophos raccomanda anche sistemi di allarme indipendenti dai controller: se l’aggressore altera la configurazione o le notifiche, una seconda misura può consentire agli operatori di intervenire.
TrendAI: che cosa cambia per il frigorifero di casa
Marco Fanuli, Technical Director di TrendAI Italia, business unit di Trend Micro, distingue la possibilità tecnica dalla convenienza criminale. Anche un dispositivo domestico connesso può essere compromesso, se presenta vulnerabilità o protezioni insufficienti. Ma un supermercato offre una leva economica diversa rispetto a una singola abitazione.
Per i consumatori, Fanuli considera più plausibile l’abuso dei dispositivi per ulteriori attacchi, la sottrazione di credenziali o la raccolta illecita di informazioni. La possibilità di sorveglianza dipende dalle funzioni dell’apparecchio: non ogni frigorifero dispone di videocamere o microfoni. Le precauzioni proposte comprendono password uniche, verifica in due passaggi dove disponibile, aggiornamenti e disattivazione dei comandi remoti inutili. All’acquisto conta anche la durata del supporto di sicurezza dichiarato dal produttore.
Cybernews: il rischio per acqua, farmaci e altri servizi essenziali
Nel contributo del 5 novembre 2026, Aras Nazarovas, Senior Information Security Researcher di Cybernews, estende l’analisi agli altri apparati gestiti da remoto. Riscaldamento e ventilazione, impianti di trattamento dell’acqua, depositi farmaceutici e macchinari industriali possono presentare rischi analoghi: un accesso abusivo ai comandi può interferire con servizi essenziali o danneggiare merci senza un ingresso fisico nella struttura. Si tratta di scenari potenziali, non della segnalazione di nuovi incidenti in questi settori.
Nazarovas richiama il ruolo dei fornitori esterni che curano monitoraggio e manutenzione. Password sottratte o vulnerabilità software possono consentire l’accesso a sistemi non adeguatamente protetti; da quel momento, gli aggressori potrebbero utilizzare gli stessi comandi dei tecnici autorizzati. Se un unico fornitore gestisce apparecchiature per più organizzazioni, la sua eventuale compromissione potrebbe esporre diversi clienti. Questa possibilità non dimostra che il fornitore sia stato il punto d’ingresso negli episodi descritti.
Le difese indicate dal ricercatore comprendono accessi remoti limitati al personale necessario e ai fornitori autorizzati, autenticazione a più fattori e aggiornamenti dei sistemi di controllo. Dal caso francese Nazarovas ricava anche una lezione operativa: rilevare rapidamente le anomalie e disporre di un piano attuabile per trasferire le scorte sensibili in unità non coinvolte. Il monitoraggio deve quindi essere accompagnato da procedure e risorse concrete per rispondere all’incidente.
Cyberoo: la continuità operativa richiede una protezione integrata di IT e OT
Veronica Leonardi, ingegnere ed Executive Board Member di Cyberoo, nel commento diffuso il 5 novembre 2026 richiama la necessità di valutare insieme infrastrutture informatiche e sistemi che controllano gli impianti. La gestione remota migliora efficienza e controllo, ma amplia anche le possibilità di accesso che l’azienda deve proteggere. Una compromissione può incidere sui processi fisici, sulla conservazione degli alimenti e sulla regolare attività dei punti vendita.
Leonardi precisa che sono ancora in corso gli approfondimenti sulle modalità e sull’origine dei singoli episodi: non è possibile ricondurli a un’unica matrice. Il suo intervento indica come priorità la conoscenza puntuale dei dispositivi, la verifica degli accessi da remoto, gli aggiornamenti, la separazione delle reti e il monitoraggio delle attività. Questi controlli devono essere affiancati da procedure efficaci per rilevare e gestire gli incidenti.
La protezione, osserva Leonardi, richiede un’attività costante di prevenzione e una visione integrata degli ambienti IT e OT. L’obiettivo riguarda anche il valore dell’impresa e la fiducia dei clienti: poter proseguire il servizio dipende dalla capacità di conoscere le proprie infrastrutture e reagire alle anomalie, oltre che dalle singole tecnologie di difesa.
Le misure immediate e i limiti delle nuove regole
Le indicazioni delle aziende coincidono sui primi interventi: conoscere gli apparati installati, rimuovere le console direttamente raggiungibili da Internet, proteggere la manutenzione remota e isolare i dispositivi non più supportati. Le operazioni devono rispettare la continuità e la sicurezza dell’impianto, con il coinvolgimento dei manutentori. Il CERT-FR avverte che un semplice ripristino di fabbrica non basta se il dispositivo resta vulnerabile ed esposto.
Zscaler richiama inoltre il Cyber Resilience Act. La Commissione europea conferma che gli obblighi di segnalazione si applicano dall’11 settembre 2026, mentre l’applicazione completa è prevista per l’11 dicembre 2027. La normativa non aggiorna automaticamente il parco installato: per le centraline già in servizio la protezione dipende anche dalle decisioni operative di produttori, proprietari e manutentori. Il punto da verificare, per ogni impianto, resta chi può impartire comandi, attraverso quale accesso e con quali controlli sulle conseguenze fisiche.
Fonti
Fonti pubbliche: CERT-FR, allerta sui controllori di refrigerazione; Censys, rilevazione del 2 novembre; Claroty Team82, ricerca tecnica; ANSA, quadro italiano comunicato dal Governo; Federdistribuzione, 3 novembre; Reuters, incidente EFS; Le Monde, dichiarazioni EFS e Coolworld; Commissione europea, calendario CRA.
