Centinaia di supermercati con i frigoriferi a 50 °C: l’impianto che il manutentore collega a internet è un pezzo della vostra rete

Nella notte tra domenica 11 e lunedì 12 ottobre, in centinaia di supermercati francesi, frigoriferi e congelatori sono entrati in sbrinamento e non ne sono più usciti. Le temperature sono salite fino a circa 50 °C; secondo la ricostruzione di Le Monde ripresa da TIME, in alcune celle il ciclo è stato allungato da una a otto ore, abbastanza per ritardare gli allarmi. Al mattino la merce era da buttare: almeno 350 punti vendita secondo Reuters, tra Intermarché, Netto, Carrefour, Coopérative U, Monoprix ed E.Leclerc, con perdite che la distribuzione stima in decine di milioni di euro. La procura di Parigi indaga; al 13 ottobre nessuno aveva rivendicato l’attacco.

Non è servito un ransomware, né un’intrusione nella rete aziendale. Sono bastate le centraline che governano la refrigerazione del negozio, raggiungibili da internet perché i manutentori possano intervenire a distanza.

Cosa sappiamo

Gli apparati. L’allerta CERTFR-2026-ALE-012 del CERT-FR, pubblicata il 12 ottobre, segnala numerose compromissioni dei controller Danfoss delle serie AK-SM e AK-SC; l’aggiornamento del giorno successivo ha esteso l’elenco alle console xweb di Copeland e Dixell. Danfoss ha dichiarato che la maggior parte delle unità colpite erano prodotti legacy: l’AK-SM 800 è fuori supporto dal 2021, l’AK-SC 355 è uscito di produzione nel 2016, e nessuno dei due riceve più aggiornamenti di sicurezza. Le unità di modello attuale coinvolte giravano con firmware non aggiornato.

Le falle note. Sul modello attuale, l’AK-SM 800A, i ricercatori di Claroty Team82 avevano documentato tra l’altro un accesso nascosto con una password derivata dalla data del giorno, corretto dal costruttore con il firmware R4.3.1; una ricerca su Censys contava oltre 2.700 interfacce di gestione raggiungibili da internet. Né Danfoss né il CERT-FR hanno indicato quale debolezza sia stata sfruttata nell’attacco. Per i modelli fuori supporto, del resto, non c’è più nulla da correggere.

L’avvertimento. Secondo il CERT-FR le campagne contro questi apparati sono “probabilmente ancora in corso”.

Il problema non è il frigorifero

Archiviare il caso come un guaio della grande distribuzione sarebbe un errore. Ogni azienda ha impianti che parlano in rete e che l’IT non gestisce: climatizzazione, supervisione dell’edificio (BMS), gruppi di continuità, controllo accessi, videosorveglianza, celle frigorifere di magazzino. Li installa un fornitore specializzato, con un contratto in capo all’ufficio tecnico, e li collega nel modo più rapido: un port forwarding sul router della sede o un modem 4G nel quadro elettrico. Non compaiono nell’inventario IT, non entrano nelle scansioni di vulnerabilità, hanno credenziali condivise tra i tecnici e un firmware che nessuno aggiorna, perché l’impianto funziona.

Un impianto raggiungibile da internet è un pezzo della vostra rete, anche se il contratto non l’ha firmato l’IT.

Il caso francese aggiunge due lezioni scomode. L’attacco ha usato una funzione legittima, lo sbrinamento: non c’è un file malevolo da intercettare, c’è un parametro che cambia, e se ne accorge solo chi conosce il comportamento normale dell’impianto. E gli impianti durano più del supporto del costruttore: una centralina uscita di produzione nel 2016 era ancora in linea nel 2026, esposta e senza più correzioni possibili.

Cinque verifiche da fare adesso

Le raccomandazioni del CERT-FR — togliere l’esposizione, ricontrollare la configurazione a partire dalle fasce di sbrinamento, riaprire l’accesso solo tramite VPN o rete protetta, aggiornare il firmware, cambiare le password predefinite — valgono ben oltre la refrigerazione. In pratica:

• Guardatevi da fuori. Verificate quali servizi rispondono sugli indirizzi IP pubblici di ogni sede, cercando interfacce di gestione di impianti. Poi chiedete ai fornitori se hanno installato connessioni proprie: un modem 4G non compare tra i vostri indirizzi.
• Censite gli impianti con un’interfaccia di rete: chi li gestisce, come vi si accede, quale firmware montano, se sono ancora supportati. Per quelli fuori supporto le strade sono due: isolarli del tutto o sostituirli.
• Un solo ingresso per i manutentori. Accesso remoto solo da VPN o gateway dedicato, con autenticazione a più fattori, credenziali nominative, sessioni autorizzate a tempo e registrate. Il filtro sugli indirizzi IP del tecnico è una misura d’emergenza, non una soluzione: lo scrive lo stesso CERT-FR.
• Segmentate. Gli impianti stanno in una rete propria, che non dialoga con i sistemi gestionali e raggiunge internet solo attraverso il firewall, con regole esplicite.
• Sorvegliate il comportamento, non solo i malware: modifiche di setpoint, accessi fuori orario, scritture di configurazione. E tenete un allarme di temperatura che non dipenda dalla stessa centralina che l’attaccante può manomettere.

Prima di staccare, il CERT-FR suggerisce di verificare le condizioni contrattuali e assicurative con il fornitore. È il segnale che l’accesso remoto va scritto nel contratto: chi si collega, come, con quali credenziali, e chi aggiorna il firmware.

E la NIS2

La produzione industriale e la distribuzione all’ingrosso di alimenti sono settori NIS2, ma il punto vale per ogni soggetto in elenco: per chi è stato inserito nella primavera 2025, entro fine ottobre devono essere operative le misure di sicurezza di base, che chiedono inventario degli asset, gestione delle vulnerabilità e governo dei fornitori. Un controller fuori supporto, esposto e gestito da un terzo senza regole scritte, è proprio ciò che quelle misure devono far emergere. Come ha mostrato il report ENISA di quest’anno, il rischio arriva sempre più spesso dalla catena dei fornitori.

Il nostro punto di vista

In molte aziende la rete degli impianti è la meno documentata: cresce per aggiunte, un fornitore alla volta, e nessuno la vede per intero. Il primo passo è renderla visibile — cosa c’è, chi vi accede, da dove — e poi ricondurla dentro un disegno: una rete separata per gli impianti, un unico accesso controllato per i manutentori, regole di firewall che dicano chiaramente chi parla con chi. È il lavoro che facciamo quando progettiamo e gestiamo reti e segmentazione per sedi e stabilimenti.

Il secondo passo è il presidio. Una modifica di setpoint alle tre di notte è un evento di sicurezza come un accesso anomalo a un server: va raccolta, correlata e valutata da chi sa cosa è normale. Portare anche gli impianti nel perimetro del SOC · Smart Care significa accorgersene prima del responsabile del punto vendita, al mattino, aprendo le celle.