Supermercati sotto attacco in Europa: frigoriferi hackerati

A Sjöbo, in Svezia, un supermercato ICA Kvantum ha riferito che qualcuno aveva impostato frigoriferi e congelatori a 50 °C. Il personale ha dovuto scartare i prodotti coinvolti. È uno degli episodi raccontati da Associated Press il 2 novembre 2026, insieme a problemi ai sistemi di refrigerazione segnalati in Belgio, Lussemburgo, Irlanda ed Estonia. Carrefour ha indicato 15 punti vendita interessati in Belgio; Musgrave, 13 SuperValu in Irlanda.

Un attacco informatico può avere questa forma: il sito dell'azienda continua a funzionare, le casse magari anche, ma l'impianto che conserva la merce riceve comandi sbagliati. Per chi gestisce un negozio, il danno si misura in prodotti da ritirare, lavoro perso e capacità di riaprire in sicurezza.

La situazione qui descritta è aggiornata al 2 novembre 2026. Ci sono incidenti in diversi Paesi europei; parlare di un'unica nuova vulnerabilità che starebbe colpendo tutta Europa va oltre ciò che è stato accertato. Per capire il rischio bisogna separare la cronaca degli attacchi dalle falle tecniche già documentate.

Cosa sappiamo degli attacchi ai frigoriferi dei supermercati

Il precedente tecnico importante risale a ottobre. Il CERT-FR, il centro governativo francese di risposta agli incidenti, ha pubblicato un'allerta il 12 ottobre, aggiornata il 16: documenta numerose compromissioni di controllori remoti della refrigerazione Danfoss AK-SM e AK-SC, Copeland xweb e Dixell xweb.

L'allerta riguarda quindi più famiglie di apparecchiature. Non identifica una singola CVE come spiegazione di tutti gli incidenti. La presenza di una falla in un prodotto e la prova che quella falla sia stata sfruttata in un determinato negozio sono informazioni diverse. La stessa cautela vale quando si collegano gli episodi di ottobre a quelli di novembre.

Per un'azienda, questo cambia anche il modo di reagire: cercare soltanto il nome di una vulnerabilità rischia di far perdere di vista un vecchio pannello remoto ancora raggiungibile, un accesso del manutentore rimasto aperto o un dispositivo ormai fuori supporto.

Come un pannello web può controllare un impianto fisico

Nella ricerca sui controllori Danfoss AK-SM 800A, Claroty Team82 descrive una console che centralizza temperature, orari, allarmi e manutenzione. Il tecnico può intervenire dal browser senza raggiungere ogni punto vendita. Il problema nasce quando quell'interfaccia è esposta direttamente su internet e presenta vulnerabilità sfruttabili.

I ricercatori hanno individuato 2'765 dispositivi esposti attraverso Censys: è una misura della superficie raggiungibile al momento della ricerca, non il numero dei supermercati attaccati. Hanno inoltre analizzato un meccanismo alternativo di autenticazione basato su un codice giornaliero, un'iniezione di comandi e la possibilità di alterare la configurazione del server web.

Questi sistemi appartengono alla tecnologia operativa, o OT: il software interagisce con apparecchiature che svolgono un lavoro fisico. Un difetto del pannello può quindi incidere sulla gestione dell'impianto. Il tipo di conseguenza dipende dalle funzioni raggiungibili e dalle protezioni effettive; la sola presenza di un dispositivo in rete non dimostra che sia stato compromesso.

Le vulnerabilità Danfoss documentate erano già state corrette

Gli advisory del produttore permettono di verificare modelli e versioni senza affidarsi al titolo di una notizia. Per la serie AK-SM 8xxA, Danfoss ha pubblicato questi bollettini nel 2025:

CVE	Problema documentato	Corretta in
CVE-2025-41450	Difetto di autenticazione, con accesso a informazioni sensibili	4.2
CVE-2025-41451	Esecuzione di comandi dopo autenticazione	4.3.1
CVE-2025-41452	Alterazione della configurazione web dopo autenticazione, con possibile indisponibilità del servizio	4.3.1

Sono interessate le versioni della serie indicate negli advisory precedenti alla rispettiva release corretta.

La prima voce viene dal DSA-2025-03-01, pubblicato il 24 marzo 2025. Le altre due dal DSA-2025-08-01, pubblicato il 1° agosto 2025. Le ultime due richiedono autenticazione: descriverle da sole come esecuzione di codice senza credenziali sarebbe impreciso.

Le versioni in tabella sono quelle che introducono le correzioni di quei bollettini. Non sono un invito a installare oggi un vecchio firmware: bisogna verificare la release attualmente raccomandata per il modello esatto e la compatibilità con l'impianto. Queste CVE documentano rischi reali, ma non costituiscono l'attribuzione tecnica degli attacchi del 2 novembre.

Cosa verificare con il manutentore della refrigerazione

Il primo controllo è molto concreto: sapere chi può raggiungere la console di gestione. Il CERT-FR raccomanda di rimuovere l'esposizione pubblica e ripristinare gli accessi attraverso una VPN sicura o una rete protetta. Chiede anche di controllare la configurazione, compresi gli intervalli di sbrinamento. Un ripristino di fabbrica, da solo, lascia vulnerabile un dispositivo senza correzioni che venga nuovamente esposto.

Anche le raccomandazioni di sicurezza di Danfoss insistono su reti separate, firewall, accessi remoti controllati, aggiornamenti e sostituzione delle password predefinite. Dare al tecnico un accesso comodo e lasciare il pannello aperto a chiunque sono scelte molto diverse.

Per preparare il confronto, chiedi al manutentore e al responsabile della rete di ricostruire insieme quattro elementi:

1. Inventario: modello preciso dei controllori, firmware installato, stato del supporto e referente degli aggiornamenti.
2. Accessi: percorso usato dalla teleassistenza, account autorizzati e servizi raggiungibili dall'esterno.
3. Continuità: copia verificata delle configurazioni, modalità di recupero e persona che può intervenire fuori orario.
4. Allarmi: destinatari delle segnalazioni, verifica del loro funzionamento e controllo indipendente delle temperature secondo le procedure dell'attività.

È un lavoro da coordinare con chi mantiene l'impianto. Tagliare un collegamento alla cieca può interrompere anche la supervisione prevista dal servizio. In presenza di temperature anomale, la priorità è far intervenire il responsabile tecnico e seguire le procedure di sicurezza alimentare dell'azienda; la ricerca della causa informatica deve accompagnare la gestione dell'emergenza.

Perché interessa anche a negozi e aziende in Ticino

La lezione per un'attività svizzera riguarda gli accessi e le responsabilità. Chi gestisce il sito spesso non gestisce il router, chi mantiene il router può non conoscere il controllore del freddo, e il frigorista può usare un collegamento predisposto anni prima. Se nessuno tiene una mappa comune, diventa difficile perfino sapere chi deve verificare una segnalazione urgente.

È lo stesso problema organizzativo che incontriamo nella manutenzione dei runtime PHP e Node.js: sapere che esiste una patch serve a poco se non si sa quale versione sia davvero in esecuzione e chi possa sostituirla. Sugli impianti operativi si aggiungono vincoli di continuità e competenze specifiche da rispettare.

Una verifica della rete prima della prossima emergenza

In Webcracy possiamo aiutarti a ricostruire gli accessi ai tuoi sistemi e valutare le esposizioni della rete nell'ambito di una verifica di sicurezza autorizzata, coordinandoci con il tuo fornitore IT e, per gli impianti, con il manutentore responsabile. Il punto di partenza è avere nomi, versioni e responsabilità verificabili, così un'allerta diventa una richiesta precisa a qualcuno che può intervenire.

Verifichiamo gli accessi ai tuoi sistemi↗

Foto illustrativa: Haberdoedas su Unsplash, utilizzata secondo la licenza Unsplash. Il supermercato ritratto non è indicato come coinvolto negli attacchi.