Tra il 12 e il 13 ottobre 2026 centinaia di supermercati francesi hanno scoperto, aprendo al mattino, che i frigoriferi e i congelatori erano stati portati a temperature fino a 50 °C durante la notte. Il 2 novembre episodi analoghi sono stati segnalati in altri cinque Paesi europei, e il 4 novembre si è saputo che la stessa famiglia di incidenti ha toccato anche i sistemi di conservazione del sangue in alcuni centri regionali dell'Établissement français du sang (EFS). Non c'è ancora attribuzione, e le fonti non concordano su tutto: ma il quadro tecnico che emerge, per quanto parziale, è istruttivo per qualunque azienda italiana che gestisce impianti collegati a internet.

Cosa è successo

Mettendo in fila le ricostruzioni delle agenzie di stampa (AP, Reuters tramite Security Affairs) e della stampa internazionale, i fatti sono i seguenti.

  • Francia, 12-13 ottobre. Secondo Al Jazeera e le testate che hanno ripreso le dichiarazioni dell'agenzia nazionale per la cybersicurezza, più di 500 punti vendita di diverse insegne (Intermarché e Netto, Coopérative U, Carrefour, Monoprix, E.Leclerc) sono stati colpiti. Le stime sul numero esatto variano a seconda delle fonti e dell'insegna: Les Mousquetaires ha parlato con Reuters di circa 150 negozi per le proprie catene. Le perdite di merce sono stimate in milioni di euro; in alcuni casi il calore avrebbe causato incendi o danni alle attrezzature.
  • Dispositivi coinvolti. L'agenzia francese ha indicato come sistemi interessati i controllori del produttore danese Danfoss, tra cui i modelli AK-SM800 e AK-SC355. Danfoss ha dichiarato all'AFP che la maggior parte dei sistemi colpiti era costituita da prodotti "legacy" con firmware obsoleto, e che aveva già invitato i clienti ad aggiornarli.
  • Tecnica. Secondo BFM, gli aggressori avrebbero attivato da remoto la funzione di sbrinamento forzato, che resta in esecuzione prolungata e scalda le celle invece di raffreddarle. È un'ipotesi attribuita a una singola testata e va trattata come tale.
  • Altri Paesi, 2 novembre. L'AP riporta problemi di refrigerazione, apparentemente di origine cyber, in Svezia (ICA, Coop), Belgio e Lussemburgo (Delhaize, Carrefour), Irlanda (SuperValu) ed Estonia (Selver). In un punto vendita ICA di Sjöbo frigoriferi e congelatori risultavano impostati a 50 °C. Kitman Coldtech, azienda estone di tecnologia per la refrigerazione, ha confermato un attacco al sistema di un cliente. Le fonti non individuano un produttore comune per questi episodi.
  • Banche del sangue, 4 novembre. Secondo Security Affairs, che cita Reuters e una nota del ministero della Salute francese, i sistemi di monitoraggio e controllo delle celle frigorifere di alcuni centri regionali dell'EFS sono stati colpiti nella notte tra domenica e lunedì. L'EFS afferma che non ci sono state ripercussioni sulle forniture: il personale ha spostato le sacche in frigoriferi non collegati ai sistemi compromessi e l'accesso remoto sarebbe stato disattivato. Non è stato indicato il produttore delle apparecchiature.
  • Attribuzione e movente. Nessuno ha rivendicato. La procura di Parigi (sezione cybercriminalità) ha aperto un'indagine e l'ANSSI è stata coinvolta. Alcune testate citano il contesto geopolitico, ma secondo blue News non vi sono al momento prove di un attacco statale o "ibrido". Non esiste, in questa fase, un collegamento accertato tra gli episodi di Paesi diversi: possono essere campagne coordinate oppure un riuso dello stesso metodo su sistemi esposti.

Il punto tecnico: perché funziona

Gli impianti di refrigerazione commerciale sono progettati per durare vent'anni e vengono collegati alla rete per comodità: telemonitoraggio, allarmi di temperatura, assistenza del manutentore. Il risultato è una flotta di controllori industriali che parlano su IP, spesso con interfacce web o protocolli di gestione raggiungibili da internet, con firmware vecchi e credenziali raramente cambiate. Chi riesce ad autenticarsi (o ad aggirare l'autenticazione) può cambiare i parametri come farebbe il manutentore. L'impatto è fisico e immediato: non serve cifrare nulla né chiedere un riscatto, perché il danno è la merce persa.

Per questa ragione la categoria "OT/IoT commerciale" va trattata come superficie di attacco a sé, con la stessa serietà dei server: si inventaria, si segmenta, si aggiorna, si monitora.

Cosa significa per le aziende italiane

In Italia non risulta, dalle fonti consultate, alcun episodio confermato di questa serie. Sarebbe però un errore leggere la notizia come un problema straniero. Le catene francesi, belghe e svedesi colpite usano apparecchiature commerciali diffuse in tutta Europa; la grande distribuzione italiana, ma anche i negozi di alimentari, la ristorazione, le mense, le farmacie con frigoriferi per i farmaci e gli ospedali con i frigoriferi per sangue e vaccini condividono la stessa architettura: controllori installati da terzi, collegati in rete, con accesso remoto concesso al manutentore.

Per gli operatori che rientrano nel perimetro NIS2 (D.lgs. 138/2024) il tema è diretto. Il settore della produzione, trasformazione e distribuzione alimentare è tra quelli coperti dalla direttiva come soggetto importante, e la sanità tra quelli essenziali; le misure di sicurezza richieste comprendono la gestione degli asset, la sicurezza della catena di fornitura (i manutentori con accesso remoto sono fornitori) e la gestione delle vulnerabilità. Un incidente che interrompe la catena del freddo in un punto vendita o in un centro trasfusionale può configurarsi come incidente significativo, con obbligo di pre-notifica all'ACN tramite CSIRT Italia entro 24 ore. Se l'incidente comporta anche la perdita o l'alterazione di dati personali, si aggiunge la notifica al Garante entro 72 ore. Conviene verificare in anticipo se e come i sistemi OT rientrino nel piano di risposta agli incidenti, che troppo spesso è scritto pensando solo all'IT.

C'è poi un aspetto assicurativo e contrattuale: i danni da merce deperita causati da un attacco informatico non sono necessariamente coperti dalle polizze tradizionali sulla "rottura macchinari" o sui guasti elettrici. Vale la pena chiedere al broker se la clausola cyber includa il danno fisico a beni e l'interruzione di esercizio da evento informatico.

Cosa fare subito

  • Censire i controllori di refrigerazione e gli altri impianti collegati (HVAC, celle, allarmi): produttore, modello, versione del firmware, indirizzo IP, chi li gestisce.
  • Verificare se sono raggiungibili da internet: controllare le regole del router/firewall e cercare i propri indirizzi pubblici su servizi come Shodan o Censys per capire cosa è esposto. Un controllore industriale non dovrebbe avere un'interfaccia pubblica.
  • Disconnettere o limitare l'accesso remoto: se serve l'assistenza del manutentore, passare da una VPN con autenticazione a più fattori o da un accesso temporaneo concordato, non da una porta aperta in permanenza.
  • Aggiornare il firmware secondo le indicazioni del produttore e cambiare le credenziali predefinite; per i modelli fuori supporto pianificare la sostituzione e, nel frattempo, isolarli.
  • Segmentare la rete: gli impianti di refrigerazione su una VLAN dedicata, separata dalle casse, dal Wi-Fi ospiti e dalla rete d'ufficio.
  • Attivare allarmi indipendenti: sonde di temperatura con allarme autonomo (a batteria, via SMS o su un canale non legato allo stesso sistema), così che un cambio di parametro non passi inosservato per ore.
  • Preparare una procedura manuale: chi controlla le celle di notte, dove si spostano i prodotti, chi chiama il manutentore, chi decide cosa scartare. Per le strutture sanitarie è indispensabile il piano di continuità per sangue, vaccini e farmaci.
  • Chiedere ai fornitori per iscritto che accessi remoti hanno, come sono autenticati e come vengono notificate le vulnerabilità.

In sintesi

Gli attacchi ai frigoriferi europei non sono sofisticati: sfruttano dispositivi vecchi, esposti e mal protetti. Proprio per questo sono un buon promemoria, perché la superficie che si dimentica più facilmente è quella che non sembra "informatica". Chi gestisce impianti di refrigerazione, in Italia, dovrebbe trattare il censimento e la messa in sicurezza dei controllori come un'attività da fare nelle prossime settimane, non come un tema da inserire nel prossimo budget.