Hacker nei banchi frigo: cosa insegna l’attacco ai supermercati francesi

Nella notte tra domenica 11 e lunedì 12 ottobre 2026 il personale di centinaia di supermercati francesi ha aperto i negozi e ha trovato banchi frigo e celle frigorifere caldi, in alcuni casi fino a 50 °C. Non era un guasto: qualcuno aveva preso il controllo da remoto degli impianti di refrigerazione. È uno dei casi più evidenti di come un attacco informatico possa produrre danni fisici, e riguarda da vicino qualsiasi azienda che gestisca impianti collegati a Internet.

Cosa è successo

Gli aggressori hanno avuto accesso alle centraline che gestiscono la catena del freddo e hanno avviato da remoto lo sbrinamento forzato, una funzione prevista dagli impianti per eliminare il ghiaccio dagli evaporatori. In condizioni normali dura poco ed è programmata di notte; secondo quanto riportato dalla stampa francese, in diversi impianti il ciclo è stato portato da una a otto ore, ritardando anche l’attivazione degli allarmi.

Le insegne coinvolte includono Intermarché e Netto, Coopérative U, E.Leclerc, Carrefour e Monoprix. Le stime sul numero di punti vendita variano a seconda delle fonti e del momento del conteggio, da circa 350 a oltre 500. I negozi hanno dovuto buttare grandi quantità di prodotti freschi e surgelati; in alcuni casi si sono verificati principi d’incendio. Il CEO di Intermarché ha stimato perdite nell’ordine di decine di milioni di euro in una sola giornata. La procura di Parigi ha aperto un’indagine e, al momento, l’attacco non risulta rivendicato.

Il punto debole: centraline esposte e non aggiornate

Il CERT-FR, la squadra di risposta agli incidenti dell’agenzia francese per la cybersicurezza (ANSSI), ha pubblicato il 12 ottobre un’allerta su numerose compromissioni dei controller Danfoss serie AK-SM e AK-SC, estesa nei giorni successivi anche ai sistemi Copeland XWEB e Dixell XWEB. Il problema indicato è l’esposizione su Internet delle interfacce di gestione.

Secondo Danfoss, gran parte degli apparati colpiti erano modelli fuori supporto, come l’AK-SM 800 (fine vita a maggio 2021) e l’AK-SC 355, che non ricevono più aggiornamenti di sicurezza. Sono stati colpiti anche alcuni AK-SM 800A, il modello attuale, con firmware non aggiornato. Per questo modello erano già note e corrette vulnerabilità gravi, tra cui un aggiramento dell’autenticazione (CVE-2025-41450) segnalato dalla società di sicurezza industriale Claroty e oggetto di avvisi della CISA statunitense nel 2025.

Il giorno dopo l’attacco, un ricercatore ha censito oltre 2.700 sistemi Danfoss raggiungibili da Internet, quasi 1.600 dei quali in Francia. Non era nemmeno la prima volta: attacchi a questi controller erano già stati segnalati nel 2022 contro supermercati in Russia e in Israele.

Perché riguarda anche le aziende italiane

Gli stessi controller e sistemi analoghi sono diffusi in tutta Europa, e non solo nella grande distribuzione. Celle frigorifere e impianti di climatizzazione sono presenti in logistica del freddo, industria alimentare, farmacie, laboratori, ospedali e data center. Spesso vengono installati e mantenuti dal frigorista o dal manutentore, che per comodità li rende raggiungibili da remoto, e restano fuori dal perimetro che l’IT aziendale controlla.

Questo episodio mostra tre cose:

Il danno non passa dai dati. Non c’è stato furto di informazioni né riscatto: è bastato cambiare un parametro per distruggere merce e fermare i reparti.
I dispositivi dimenticati sono il bersaglio più facile. Una centralina installata anni fa, fuori supporto e con una pagina di gestione pubblica, si trova con una semplice ricerca.
La scala è un moltiplicatore. Colpire molti impianti uguali nello stesso momento trasforma un problema tecnico in un danno su scala nazionale.

C’è anche un aspetto normativo: la direttiva NIS2 include produzione, trasformazione e distribuzione di alimenti tra i settori interessati, e chiede di gestire il rischio anche sui sistemi operativi e sui fornitori. Ne abbiamo parlato in NIS2: cosa cambia per le PMI e come prepararsi.

Cosa fare subito

Le indicazioni di CERT-FR e del produttore valgono per qualsiasi impianto di refrigerazione, climatizzazione o automazione di edificio collegato in rete:

Fare l’inventario. Censire tutte le centraline e i dispositivi OT/IoT presenti, chi li gestisce e come sono collegati.
Togliere le interfacce da Internet. Nessuna pagina di gestione deve essere raggiungibile pubblicamente: se un dispositivo è esposto, va scollegato o filtrato subito.
Accesso remoto solo tramite canali sicuri. La manutenzione a distanza deve passare da una VPN o da un accesso gestito, con autenticazione a più fattori e registrazione delle sessioni.
Aggiornare o sostituire. Installare il firmware più recente e pianificare la sostituzione degli apparati fuori supporto, che non riceveranno più correzioni.
Cambiare le credenziali e verificare gli account. Eliminare password predefinite e utenze non più necessarie; in caso di sospetta compromissione, riconfigurare completamente il dispositivo.
Separare le reti. Segmentare la rete degli impianti da quella degli uffici e dagli accessi ospiti.
Avere un allarme indipendente. Sonde di temperatura con notifiche che non dipendono dalla stessa centralina permettono di accorgersi del problema anche quando il controller è compromesso.
Coinvolgere i fornitori. Inserire nei contratti di manutenzione requisiti chiari su aggiornamenti, accessi remoti e notifica degli incidenti.

Come può aiutare VCG

VCG affianca le aziende nella verifica dei dispositivi esposti, nella segmentazione delle reti, nella configurazione di accessi remoti sicuri per i manutentori e nel monitoraggio continuo, integrando gli impianti OT nella strategia di sicurezza complessiva. Se vuoi capire quanto sono esposti i tuoi impianti, contattaci.