L’attacco ai frigoriferi dei supermercati e i requisiti dell’iper ammortamento: le lezioni per l’industria italiana

Nella notte tra l’11 e il 12 ottobre 2026 un attacco informatico ha forzato lo sbrinamento continuo dei banchi frigo di centinaia di supermercati francesi, con setpoint fino a 50 °C e merce distrutta per decine di milioni di euro. Non è stata usata nessuna tecnica nuova: i controller colpiti erano esposti direttamente su Internet, in gran parte a fine vita, e le loro vulnerabilità erano documentate pubblicamente da agosto. La novità è l’effetto: un accesso remoto mal protetto ha prodotto un danno fisico su un processo, senza cifrare un solo dato

Per l’industria italiana il caso tocca un punto preciso del piano Industria 4.0, poi Transizione 4.0 e oggi nuovo iperammortamento: se l’interconnessione richiesta dall’incentivo si limita all’interoperabilità in rete locale, i requisiti di telemanutenzione e controllo in remoto si realizzano quasi sempre con un accesso del fornitore dall’esterno, e nessuna regola ne verifica la protezione.

La nuova versione dell’incentivo, operativa dal 2026 al 2028 e prevista dalla legge 199/2025 rende agevolabile anche l’infrastruttura di sicurezza OT: firewall industriali, segmentazione IEC 62443, gateway di accesso.

Ma partiamo dalla ricostruzione dell’impianto, delle vulnerabilità, della catena di attacco e vediamo le conseguenze operative per GDO, logistica del freddo e agroalimentare.

Cronologia: tutto era noto prima dell’attacco

Tra la prima segnalazione pubblica delle vulnerabilità e l’attacco sono passati tre anni; tra la ricerca di Claroty e la notte dell’11 ottobre, due mesi.

Bilancio provvisorio: circa 300 punti vendita Intermarché e Netto, 80 Carrefour, il 5 % del parco Monoprix, oltre a Coopérative U ed E.Leclerc; segnalazioni in Spagna, Portogallo, Polonia, Germania e Belgio. Le conclusioni tecniche dell’ANSSI sulla vulnerabilità sfruttata non sono ancora pubbliche.

Come è fatto il freddo di un supermercato

Il freddo di un punto vendita è un impianto industriale a tre livelli, e l’attacco ha colpito il livello intermedio. In basso ci sono i banchi, i congelatori e le celle: ciascuno ha un regolatore elettronico che legge una sonda e comanda valvole, ventilatori e cicli di sbrinamento.

Sopra c’è il system manager (nel caso francese i Danfoss AK-SM 800, AK-SM 800A e i più vecchi AK-SC255/355), che coordina tutti i regolatori del negozio, programma lo sbrinamento centrale, raccoglie misure e allarmi e li inoltra per e-mail o rete. In alto c’è l’interfaccia web del system manager, consultabile da browser: è la pagina che il frigorista apre di notte per intervenire senza spostarsi.

Lo sbrinamento è una funzione normale. L’umidità dell’aria si deposita come brina sull’evaporatore; più volte al giorno il regolatore ferma il freddo e scalda brevemente l’evaporatore, di solito con resistenze elettriche, per sciogliere il ghiaccio.

Secondo le ricostruzioni di Le Monde riprese da InformatiqueNews, gli attaccanti hanno portato il set point di sbrinamento a 50 °C e la durata da una a otto ore: non è stata introdotta nessuna funzione malevola, semplicemente è stata usata una funzione “legittima” fuori dalle sue condizioni di esercizio. Va distinta la temperatura della resistenza da quella dell’aria nel banco e da quella dei prodotti; le misure negli impianti danneggiati non sono pubbliche, ma per la sicurezza alimentare il punto è un altro: merce surgelata tenuta per ore sopra la temperatura di conservazione non torna in vendita.

Il livello alto è il punto debole. L’interfaccia esiste perché la manutenzione è affidata a terzi e deve essere rapida: per renderla raggiungibile, molti esercenti o installatori l’hanno pubblicata direttamente su un indirizzo IP pubblico, invece che dietro VPN o un bastione di amministrazione. Chi attacca non deve entrare nella rete dell’insegna: cerca su Shodan o Censys le interfacce esposte, filtra per modello e versione del firmware e dialoga direttamente con l’applicazione web del controller.

L’attaccante e il frigorista entrano dalla stessa porta: quando l’interfaccia web è pubblicata su un IP pubblico, tutto ciò che sta sotto è raggiungibile senza toccare la rete dell’insegna.

Anatomia delle vulnerabilità

Le tre vulnerabilità documentate da Claroty Team82 sull’AK-SM 800A formano, concatenate, un accesso amministrativo completo da remoto senza conoscere alcuna password. Il controller espone un server web costruito a strati: un Nginx esterno fa da reverse proxy, instrada le richieste .cgi a un processo CGI (sm_fcgi_app), che le inoltra a un secondo Nginx interno e da lì all’applicazione vera (Task_Web nel processo sm_app). Ogni strato è un punto in cui la richiesta viene interpretata e rilanciata.

Il codice del giorno

La richiesta di login passa dall’endpoint xml.cgi con action=getauth. Due attributi non documentati, se presenti nella richiesta, deviano il flusso verso una funzione check_code_of_day che non confronta la password con le credenziali memorizzate, ma con un valore calcolato internamente dalla sola data corrente del dispositivo. Il meccanismo serviva con ogni probabilità all’assistenza del produttore. Claroty ha ricostruito l’algoritmo: chi lo riproduce genera un codice valido per qualsiasi giorno e ottiene una sessione amministrativa piena. È la differenza tra una password debole e una porta di servizio.

Dall’amministrazione al sistema operativo

Con la sessione amministrativa si apre l’intera interfaccia di configurazione. La pagina delle impostazioni SMTP per gli allarmi via e-mail costruisce un comando di shell inserendo senza sanificazione il campo della password di posta: un valore che contiene direttive di shell esegue comandi arbitrari sul controller. La terza falla permette di sostituire a caldo il file headers.conf dell’Nginx esterno e ricaricarlo: un attaccante autenticato può reindirizzare il traffico dei client o far cadere ripetutamente il servizio.

Il parco a fine vita

Le correzioni esistono dal 2025, ma riguardano l’AK-SM 800A. Gli AK-SM 800 (fine vita dal maggio 2021) e gli AK-SC255/355 (fuori produzione dal 2016) non ricevono più firmware; per loro Danfoss raccomandava già nell’ottobre 2025 la migrazione, citando gli attacchi del 2022 in Russia e in Israele su impianti privi di firewall o VPN. Anche dove l’aggiornamento è possibile, non è un clic: il percorso passa dal ramo 3.x al 4.x prima del 5.3.x, senza downgrade, e spesso richiede un tecnico sul posto con una chiavetta USB. È il profilo tipico dell’OT: un apparato che funziona perfettamente per anni mentre la sua sicurezza non è più mantenuta.

La catena di attacco ricostruita

La catena più probabile è lineare e non richiede competenze fuori dal comune; va letta come ricostruzione, perché l’ANSSI non ha ancora pubblicato le conclusioni tecniche e il legame tra una CVE specifica e l’attacco reale non è confermato. Gli scenari considerati credibili dagli analisti sono tre, non esclusivi: sfruttamento di un bypass di autenticazione su controller esposti, uso di credenziali di manutenzione deboli o rubate (ad esempio da infostealer sui browser dei tecnici), compromissione di un accesso remoto presso un frigorista che serve più insegne.

1. Ricognizione. Interrogazione di Shodan o Censys per il titolo HTTP dell’interfaccia StoreView; filtro per modello e versione. Il 12 ottobre un ricercatore contava 2.752 sistemi Danfoss esposti nel mondo, 1.590 dei quali in Francia; altre scansioni indicano che la Francia ospitava quasi il 60 % dei controller esposti rilevati. Questo spiega la geografia dell’attacco meglio di qualunque ipotesi sul movente.
2. Accesso. Sessione amministrativa tramite codice del giorno, credenziali di default o rubate, o bypass equivalenti noti dal 2023 sui modelli più vecchi.
3. Azione sul processo. Modifica dei programmi di sbrinamento centrale: consigna a 50 °C, durata da una a otto ore, su tutti i regolatori coordinati dal system manager. Un’unica interfaccia governa decine di banchi: il moltiplicatore è nell’architettura.
4. Soppressione dell’allarme. Chi controlla il system manager controlla anche la supervisione: soglie e notifiche si modificano dalla stessa pagina. In alcuni negozi gli allarmi sarebbero stati ritardati; l’attacco è iniziato verso le 23 ed è stato rilevato verso le 4.
5. Effetto fisico. Sei ore o più di resistenze di sbrinamento attive e compressori fermi: rottura della catena del freddo su surgelati, carne, pesce e latticini; in alcuni casi danni agli apparati e, secondo la Procura di Parigi, principi di incendio la cui origine tecnica resta da accertare.

Il punto tecnico più importante non è la vulnerabilità, è l’assenza di limiti fisici indipendenti dal software. Un regolatore che accetta una consigna di sbrinamento a 50 °C per otto ore, e un impianto il cui allarme di temperatura dipende dallo stesso controller che comanda il riscaldamento, non hanno una seconda linea di difesa. Nei sistemi di sicurezza funzionale questa separazione è la regola; nella refrigerazione commerciale non lo è.

Perché è un caso sistemico

Il caso francese non è un incidente Danfoss: è il profilo di rischio di tutta l’OT connessa a fine vita, e le regole europee in arrivo non lo coprono. Claroty ha trovato 23 vulnerabilità, 21 ad alta gravità, nel concorrente Copeland XWEB Pro, con una credenziale di amministrazione derivata da data, indirizzo MAC e chiavi cablate; l’ANSSI ha esteso l’allerta ai sistemi Copeland Xweb e Dixell Xweb. Il problema è di categoria: controller progettati quando la connessione permanente a Internet non era prevista, installati da terzi, esclusi dall’inventario IT, sostituiti solo quando si guastano.

Quattro attori e nessun responsabile della sicurezza: nelle reti di indipendenti l’impianto è dell’esercente, l’installazione e la manutenzione sono del frigorista, il firmware è del produttore, la rete è dell’insegna. Chi decide di sostituire un controller che funziona ancora? Nei contratti di manutenzione, di norma, nessuno.

La conseguenza è netta: per il parco già installato la sicurezza non arriverà da un obbligo del produttore. Arriva solo da una decisione dell’esercente, presa prima dell’incidente, su inventario, esposizione, accesso remoto e sostituzione.

La lettura italiana: interconnessione, accesso remoto, allegati IV e V

Per le imprese italiane il caso parla a un parco macchine preciso: i beni interconnessi con il piano 4.0 dal 2017 a oggi. Il requisito di interconnessione della circolare AdE 4/E/2017 è una nozione di interoperabilità: scambio di informazioni con sistemi interni o esterni, su un collegamento basato su specifiche documentate, disponibili pubblicamente e internazionalmente riconosciute, con identificazione univoca del bene. Un PLC che dialoga in LAN con MES o gestionale lo soddisfa. L’esposizione su Internet non è mai stata richiesta.

La superficie di attacco nasce dai requisiti ulteriori: telemanutenzione, telediagnosi, controllo in remoto. Sono due dei tre requisiti a scelta per i beni del primo gruppo dell’allegato A, e nella prassi si realizzano quasi sempre con un accesso del fornitore dall’esterno, nelle stesse forme viste in Francia: un portale del costruttore, un router industriale con SIM, una porta aperta sul firewall aziendale per l’assistenza. Nessuna norma e nessuna prassi chiede che quell’accesso sia protetto. La perizia attesta che la telemanutenzione esiste, non come è difesa. La cybersecurity era agevolabile solo come software dell’allegato B, bene autonomo e facoltativo; l’hardware di sicurezza restava fuori.

La legge 199/2025 cambia il perimetro. L’allegato IV, nel gruppo IV dedicato all’elaborazione e trasmissione dei dati, introduce le «Infrastrutture di sicurezza informatica OT/IT»: firewall industriali, IDS/IPS per reti OT, segmentazione conforme a IEC 62443, protezione degli endpoint industriali con controllo degli accessi, cifratura delle comunicazioni e gestione delle identità macchina-macchina. Nel punto sulla connettività entrano switch managed industriali, router e gateway per protocolli industriali. L’allegato V, alla lettera u), estende la cybersecurity software al monitoraggio continuo, al rilevamento delle anomalie e alla risposta automatizzata. L’architettura che avrebbe evitato il caso francese è oggi un investimento agevolabile con l’iperammortamento previsto nella Nuova Transizione 5.0.

Tre condizioni da tenere presenti:

• i beni del gruppo IV devono essere interconnessi e funzionali ai processi operativi; sono esclusi gli apparati di rete SOHO e i beni destinati ad attività amministrative o di office automation;
• la sicurezza non è condizione del beneficio e la perizia non la valuta: va decisa in fase di progetto dell’investimento, come bene del gruppo IV, non lasciata alle scelte del fornitore della macchina;
• il parco già agevolato non rientra: sostituire controller a fine vita su beni che hanno già fruito del 4.0 è un costo di mantenimento dei requisiti. È agevolabile l’infrastruttura di sicurezza nuova, che protegge anche i beni esistenti.

Un dettaglio operativo sul mantenimento dei requisiti. Togliere l’esposizione diretta, come chiede l’ANSSI, non fa venire meno l’interconnessione con i sistemi di fabbrica. Se però un requisito ulteriore poggia sull’accesso remoto del fornitore, eliminarlo senza sostituirlo incide sul mantenimento dei requisiti richiamato dalla circolare AdE 9/E/2021. La risposta corretta è un accesso remoto governato secondo IEC 62443: zone e conduit, bastione o broker di accesso, autenticazione a più fattori, sessioni nominative e registrate, privilegi limitati alla macchina e alla finestra di intervento.

Checklist operativa per GDO, logistica del freddo e agroalimentare

Le verifiche sotto valgono per qualunque impianto con un controller raggiungibile da remoto: refrigerazione commerciale, celle di stoccaggio, linee di processo, impianti HVAC e BMS. Le prime quattro si fanno in una settimana e non costano nulla.

1. Inventario OT. Elenco di tutti gli apparati tecnici con interfaccia di amministrazione: modello, versione firmware, data di fine supporto, chi fa manutenzione. Impianti frigoriferi, HVAC, controllo accessi e UPS vanno nell’inventario IT anche se li gestiscono i servizi generali.
2. Esposizione. Verifica da fuori: quali interfacce rispondono su IP pubblico, comprese quelle pubblicate da un installatore anni fa e dimenticate. Una ricerca su Shodan con il nome dell’azienda richiede dieci minuti.
3. Credenziali. Eliminazione delle password di default e degli account condivisi; un account nominativo per ogni tecnico esterno; nessuna credenziale salvata nei browser.
4. Allarmi indipendenti. Un sensore di temperatura con notifica autonoma, non dipendente dal controller che comanda il freddo: è la seconda linea di difesa che in Francia mancava.
5. Accesso remoto governato. VPN o bastione con autenticazione a più fattori, sessioni registrate, privilegi limitati, accesso attivato dall’azienda e non permanente. Nella Nuova Transizione 5.0 gateway, firewall OT e segmentazione IEC 62443 sono beni del gruppo IV dell’allegato IV.
6. Segmentazione. Rete OT separata dalla rete IT, con regole esplicite su ciò che può transitare: perdere i frigoriferi è un danno, perdere anche casse e gestionale è un altro.
7. Contratti di manutenzione. Clausole esplicite su chi sorveglia le vulnerabilità, chi applica i firmware, chi verifica l’esposizione e chi decide la sostituzione di un apparato fuori supporto.
8. Sostituzione pianificata. Per i controller non più aggiornabili, un piano con date: un firewall davanti riduce il rischio, non lo elimina.
9. Perizia e mantenimento dei requisiti. Per i beni 4.0, documentare come i requisiti di telemanutenzione e controllo in remoto sono realizzati dopo la messa in sicurezza, così che la riduzione dell’esposizione non diventi una perdita del requisito.

In Francia il costo di non aver fatto queste verifiche si misura in tonnellate di merce e in decine di milioni di euro. In Italia le stesse verifiche, dal 2026, possono entrare in un piano di investimento agevolato.

Fonti

• Claroty Team82, Freeze the Controller, Defrost the Food, 9 agosto 2026
• InformatiqueNews, Supermarchés : l’attaque des frigos Danfoss expose l’angle mort de l’OT télémaintenue, 13 ottobre 2026
• Tom’s Guide France, Des appareils Danfoss exposés sont toujours en ligne, 14 ottobre 2026
• TIME, Cyberattack on Supermarket Fridges in France, 13 ottobre 2026
• Hard2bit, French supermarket cyberattack on refrigeration controllers, 14 ottobre 2026
• Legge 30 dicembre 2025, n. 199, allegato IV e allegato V
• Agenzia delle Entrate, circolare 4/E/2017 e circolare 9/E/2021; MISE, circolari 177355/2018 e 295485/2018
• Regolamento (UE) 2024/2847 (Cyber Resilience Act); Regolamento (UE) 2023/1230 (macchine); Direttiva (UE) 2022/2555 (NIS2), D.Lgs. 138/2024