Questa volta gli hacker non hanno cercato di rubare dati, sottrarre informazioni riservate o bloccare i sistemi informatici di un’azienda. Hanno invece preso il controllo dei frigoriferi di centinaia di supermercati francesi, alterandone da remoto i parametri di funzionamento e portando le temperature fino a 50 gradi, con punte di 80 gradi segnalate in almeno un punto vendita. Il risultato è stato un enorme spreco di prodotti alimentari, danni alle apparecchiature e, in alcuni casi, la temporanea chiusura dei negozi.
L’attacco, avvenuto nella notte tra domenica 11 e lunedì 12 ottobre 2026, rappresenta un caso particolarmente significativo di cyberattacco contro sistemi OT (Operational Technology): tecnologie digitali che controllano direttamente il funzionamento di macchine e impianti fisici.
A essere colpite sono state alcune delle principali insegne francesi della grande distribuzione. Secondo le ricostruzioni della stampa francese, l’attacco ha interessato circa 300 punti vendita Intermarché e Netto, un centinaio della rete Coopérative U, 80 supermercati Carrefour, una trentina di Monoprix e diversi negozi E.Leclerc.
Le conseguenze economiche sono ancora in fase di quantificazione, ma le prime stime parlano di danni per diversi milioni di euro, tra alimenti da smaltire, apparecchiature danneggiate e interruzioni dell’attività.
Indice degli argomenti
Come hanno fatto gli hacker a manomettere i frigoriferi
La particolarità dell’attacco sta nel fatto che i criminali informatici non hanno avuto bisogno di intervenire fisicamente sugli impianti, ma sono riusciti a manipolare i sistemi digitali che ne regolano il funzionamento.
Gli impianti frigoriferi della grande distribuzione sono infatti gestiti attraverso sistemi di controllo che permettono di monitorare le temperature, impostare i parametri operativi, gestire i cicli di sbrinamento e ricevere segnalazioni di anomalie. Questi sistemi possono essere accessibili anche da remoto, consentendo ai tecnici di effettuare interventi di manutenzione senza recarsi fisicamente nei punti vendita.
Proprio questa possibilità di accesso remoto sembra essere stata sfruttata dagli aggressori.
Secondo la ricostruzione pubblicata da Le Monde, gli hacker sono riusciti ad attivare forzatamente i cicli di sbrinamento, modificando la temperatura e prolungando la durata dell’operazione, in alcuni casi da una a otto ore. In questo modo avrebbero anche ritardato l’attivazione degli allarmi e il conseguente intervento dei tecnici.
L’alterazione dei parametri ha provocato un innalzamento anomalo delle temperature all’interno di frigoriferi, congelatori e celle frigorifere, interrompendo la catena del freddo e rendendo inutilizzabili grandi quantità di prodotti alimentari.
In alcuni punti vendita il calore ha danneggiato le stesse apparecchiature. La Procura di Parigi ha inoltre riferito di segnalazioni di incendi, sulle quali sono in corso accertamenti per stabilire il collegamento con l’attacco.
Non tutti i negozi raggiunti dagli hacker hanno però subito perdite di prodotti. Dominique Schelcher, presidente di Coopérative U, ha spiegato il 13 ottobre a RTL che, grazie al rapido intervento del personale e dei tecnici frigoristi, nella maggioranza degli 80 punti vendita della rete interessati dall’attacco è stato possibile evitare l’interruzione della catena del freddo.
Nel mirino i sistemi Danfoss: il problema degli impianti obsoleti
Le prime indagini hanno individuato un elemento comune agli impianti compromessi: i sistemi di regolazione e supervisione della refrigerazione realizzati dalla società danese Danfoss.
Il produttore ha confermato all’AFP che tra le apparecchiature interessate figurano controllori delle serie AK-SM800 e AK-SC355, precisando che la maggior parte dei dispositivi coinvolti appartiene a generazioni obsolete, ormai giunte alla fine del proprio ciclo di vita e non più supportate con aggiornamenti software e di sicurezza.
Danfoss ha ricordato di raccomandare da tempo ai clienti di aggiornare il firmware dei prodotti ancora supportati e di sostituire quelli obsoleti con soluzioni più recenti.
Il problema non era del tutto sconosciuto. Già nel marzo e nell’agosto 2025 Danfoss aveva pubblicato avvisi di sicurezza relativi ad alcune vulnerabilità della famiglia AK-SM 8xxA.
Tra queste figuravano la CVE-2025-41450, che consentiva di aggirare i meccanismi di autenticazione, e la CVE-2025-41451, che poteva permettere l’esecuzione da remoto di comandi sui sistemi vulnerabili. Il produttore aveva reso disponibili gli aggiornamenti correttivi.
Una ricerca pubblicata nell’agosto 2026 dai ricercatori di Team82 di Claroty aveva inoltre documentato alcune debolezze nella sicurezza dei controllori AK-SM 800A, mostrando come l’esposizione delle interfacce di gestione su Internet potesse rendere questi dispositivi accessibili a potenziali aggressori.
È importante precisare che non è stato ancora accertato se gli autori dell’attacco dell’11-12 ottobre abbiano sfruttato proprio queste vulnerabilità. Le indagini dovranno chiarire il punto d’ingresso e il percorso seguito dagli hacker per compromettere i sistemi.
Un’indicazione importante arriva però dalle autorità francesi.
Il 12 ottobre il CERT-FR, struttura dell’agenzia nazionale francese per la sicurezza informatica ANSSI, ha pubblicato un bollettino di allerta specifico nel quale conferma di essere a conoscenza di numerose compromissioni dei controllori Danfoss delle serie AK-SM e AK-SC.
Il bollettino sottolinea esplicitamente che l’esposizione delle interfacce di gestione direttamente su Internet è contraria alle buone pratiche di sicurezza.
Il CERT raccomanda quindi di disconnettere o filtrare gli accessi ai dispositivi interessati. In caso di sospetta compromissione, indica inoltre la necessità di ripristinare i sistemi alle impostazioni di fabbrica, applicare gli aggiornamenti disponibili, sostituire le credenziali e verificare gli account esistenti.
La cyber security OT e il problema della responsabilità lungo la filiera
Al di là delle modalità tecniche dell’attacco, la vicenda francese mette in luce un problema che riguarda non soltanto la grande distribuzione, ma anche l’industria manifatturiera, la logistica e tutti i settori nei quali sistemi digitali e impianti fisici sono strettamente integrati.
I sistemi di automazione e controllo sono progettati per funzionare per molti anni. Il loro ciclo di vita è spesso molto più lungo di quello dei normali sistemi informatici. Non è quindi raro trovare impianti perfettamente funzionanti dal punto di vista operativo, ma equipaggiati con software non più aggiornati o addirittura non più supportati dal produttore.
La possibilità di connettere questi sistemi alla rete, per consentire monitoraggio, diagnostica e manutenzione remota, porta indubbi vantaggi in termini di efficienza e riduzione dei costi. Ma apre anche nuove superfici di attacco che devono essere adeguatamente protette.
C’è poi un secondo aspetto, particolarmente interessante, che riguarda la distribuzione delle responsabilità tra produttori delle tecnologie, integratori, manutentori e utilizzatori finali.
Schelcher ha sottolineato che i supermercati della sua rete non acquistano direttamente i sistemi Danfoss, ma si affidano a imprese specializzate nella refrigerazione che forniscono e gestiscono gli impianti. Diventa quindi fondamentale capire chi debba assicurarsi che i dispositivi siano aggiornati, che le vulnerabilità siano corrette e che gli accessi remoti siano adeguatamente protetti.
Si tratta di una questione centrale anche per il settore manifatturiero, dove la gestione degli impianti coinvolge spesso costruttori di macchine, system integrator, fornitori di software industriali, manutentori e imprese utilizzatrici.
Un tema che abbiamo recentemente approfondito su Innovation Post parlando del passaggio dalla sicurezza perimetrale alla gestione continua della cyber security OT e delle responsabilità condivise lungo la filiera.
Il caso francese dimostra quanto sia importante conoscere non soltanto quali dispositivi sono installati, ma anche le loro versioni software, lo stato di supporto del produttore e le modalità attraverso le quali i soggetti esterni possono accedervi.
Quando l’attacco informatico diventa un rischio per la continuità operativa
L’episodio è significativo anche per la natura delle conseguenze.
Negli attacchi informatici tradizionali il danno viene spesso associato alla sottrazione di dati, alla cifratura dei file o al blocco dei servizi digitali. In questo caso, invece, il risultato dell’intrusione è stato direttamente fisico: alterazione del funzionamento delle apparecchiature, distruzione di merci e interruzione di processi essenziali.
Per questo la sicurezza dei sistemi OT non può limitarsi alla protezione dei dati, ma deve considerare soprattutto la disponibilità e l’integrità dei processi e, dove necessario, la sicurezza fisica di persone e impianti.
Le contromisure comprendono la corretta segmentazione delle reti industriali, la protezione degli accessi remoti, una gestione sistematica degli aggiornamenti e delle vulnerabilità, il monitoraggio delle anomalie e la predisposizione di procedure per mantenere o ripristinare le operazioni anche quando i sistemi digitali sono compromessi.
L’attacco ai supermercati francesi evidenzia inoltre che il problema può assumere una dimensione collettiva: la presenza della stessa tecnologia vulnerabile in molte installazioni differenti può consentire a un aggressore di provocare danni contemporaneamente a organizzazioni che, dal punto di vista aziendale, sono indipendenti.
La Procura di Parigi ha aperto un’inchiesta affidata all’Office anti-cybercriminalité (OFAC), mentre l’ANSSI ha avviato le attività di verifica e coordinamento, anche con le autorità di altri Paesi europei. Al momento non sono stati identificati pubblicamente i responsabili né è stata chiarita la motivazione dell’attacco.
La vicenda ha richiamato anche l’attenzione della Commissione europea. Christophe Hansen, commissario europeo per l’Agricoltura e l’Alimentazione, ha condannato l’attacco, sottolineando la necessità di rafforzare la sicurezza delle filiere alimentari.
Il punto, per le imprese, va però oltre la sicurezza alimentare. L’episodio ricorda che ogni impianto industriale connesso può diventare un potenziale punto d’ingresso per un attacco informatico e che la resilienza digitale è ormai una componente imprescindibile della continuità operativa.
Anche quando la macchina in questione è, apparentemente, soltanto un frigorifero.
