Frigoriferi industriali sotto attacco: la responsabilità non finisce con gli hacker

🛡️ Executive Summary

• La catena del freddo europea è vulnerabile: gli attacchi ai sistemi di refrigerazione hanno colpito numerosi supermercati in Belgio, Svezia e Francia, mentre l’Italia registra due episodi segnalati dall’ACN nella filiera alimentare.
• La responsabilità non è soltanto degli hacker: produttori, installatori, manutentori e aziende utilizzatrici devono rispondere delle scelte tecnologiche, della gestione delle vulnerabilità e dell’esposizione degli impianti industriali a Internet.
• L’intelligenza artificiale accelera le minacce: l’automazione della ricerca delle vulnerabilità riduce tempi e costi delle operazioni offensive, rendendo indispensabile ripensare la connettività dei sistemi strategici per la sicurezza alimentare.

I frigoriferi industriali sotto attacco in Europa rappresentano probabilmente uno degli esempi più significativi di quanto la trasformazione digitale possa diventare una minaccia per le attività economiche e per la vita quotidiana. Nella notte tra il 1° e il 2 novembre 2026, una nuova serie di intrusioni e anomalie informatiche ha interessato sistemi di refrigerazione commerciale in Belgio, Svezia, Irlanda, Lussemburgo e altri Paesi europei. Congelatori arrivati a temperature dichiarate di 50-55 gradi, alimenti destinati alla distruzione e attività commerciali costrette a intervenire d’urgenza. Dopo i precedenti francesi di ottobre, anche l’Italia ha registrato segnalazioni nella filiera alimentare. La prima reazione è cercare gli aggressori, individuare la loro provenienza e comprendere se dietro questi episodi si nasconda una campagna criminale oppure un’operazione di sabotaggio. Sono interrogativi legittimi, soprattutto nell’attuale contesto geopolitico. Tuttavia, rischiano di oscurare una domanda forse ancora più importante: chi ha consentito che apparecchiature indispensabili alla conservazione degli alimenti diventassero raggiungibili e manipolabili attraverso infrastrutture digitali insufficientemente protette?

Dalla Francia al Belgio, gli hacker colpiscono un settore che avrebbe dovuto essere già preparato

Gli incidenti europei non rappresentano un fulmine a ciel sereno. Il 12 ottobre 2026, dopo gli attacchi contro centinaia di supermercati francesi, il CERT-FR aveva pubblicato un’allerta ufficiale, successivamente aggiornata il 16 ottobre, segnalando compromissioni dei controllori di refrigerazione Danfoss AK-SM e AK-SC, Copeland xweb e Dixell xweb. Il documento, CERTFR-2026-ALE-012, invitava gli operatori a rimuovere l’esposizione diretta a Internet, proteggere gli accessi remoti e controllare le configurazioni dei dispositivi. Tre settimane dopo, nuovi episodi hanno dimostrato quanto il problema fosse tutt’altro che risolto. Non esistono ancora prove pubbliche sufficienti per attribuire tutti gli attacchi allo stesso gruppo o alla medesima vulnerabilità, ma la ripetizione delle anomalie dimostra l’esistenza di un rischio tecnologico concreto e diffuso.

Nei supermercati coinvolti, la manipolazione dei parametri di funzionamento e dei cicli di sbrinamento ha provocato conseguenze che vanno ben oltre il tradizionale incidente informatico. Non sono necessariamente stati sottratti database, cifrati server o richiesti riscatti. È stata compromessa una funzione fisica essenziale, quella che permette di conservare gli alimenti entro temperature compatibili con la loro sicurezza. Il fenomeno, già documentato nel precedente approfondimento sui cyberattacchi ai frigoriferi dei supermercati europei, dimostra come sia sufficiente intervenire su alcuni parametri operativi per generare perdite economiche rilevanti. Il passaggio più preoccupante riguarda proprio la semplicità apparente del danno: non serve distruggere materialmente un impianto quando è possibile impedirgli di svolgere correttamente il proprio lavoro.

Danfoss e i produttori: chi deve garantire la sicurezza degli apparati?

La questione delle responsabilità industriali emerge con particolare evidenza osservando il caso Danfoss, uno dei produttori citati negli avvisi francesi. La società aveva già pubblicato nel 2025 advisory relativi a vulnerabilità dei controllori AK-SM 8xxA, comprese CVE-2025-41450, associata a un problema di autenticazione, e CVE-2025-41451, relativa a una possibile esecuzione remota di codice dopo autenticazione. Le correzioni erano state distribuite attraverso aggiornamenti software. Il 30 ottobre 2026 il produttore ha inoltre annunciato, nel proprio bollettino tecnico, la disponibilità della versione 5.3.x, con ulteriori miglioramenti della sicurezza e della gestione degli account. Questi elementi non dimostrano che le vulnerabilità precedentemente corrette siano state utilizzate negli attacchi di novembre, né consentono di attribuire automaticamente una responsabilità specifica al produttore. Rendono però inevitabile interrogarsi sull’intero ciclo di vita delle apparecchiature.

Chi verifica che gli aggiornamenti raggiungano effettivamente i sistemi installati? Chi controlla che le configurazioni siano sicure? Chi certifica che un controllore industriale non possa essere utilizzato per alterare arbitrariamente un processo fisico?

Il produttore può pubblicare una correzione, ma se l’installatore non la applica, il manutentore lascia aperto un collegamento remoto oppure il proprietario continua a utilizzare apparati obsoleti, il rischio rimane. La responsabilità deve quindi essere ricostruita lungo tutta la catena contrattuale e tecnica, evitando sia assoluzioni preventive sia accuse prive di accertamenti.

La responsabilità delle aziende che acquistano sistemi connessi

Esiste poi una responsabilità meno discussa, quella delle aziende che acquistano, installano e utilizzano questi sistemi. La digitalizzazione degli impianti frigoriferi viene generalmente presentata come uno strumento per ridurre i costi operativi, ottimizzare i consumi energetici e centralizzare la manutenzione. Sono vantaggi reali, ma non necessariamente sufficienti a giustificare qualsiasi livello di esposizione informatica.

La possibilità di amministrare cento frigoriferi da una sola postazione rappresenta un beneficio economico per l’operatore, ma può trasformarsi in una capacità di sabotaggio distribuito per chi compromette quella postazione.

Il risparmio immediato rischia così di essere pagato attraverso un aumento del rischio sistemico. Il problema è ancora più evidente quando la manutenzione viene affidata a soggetti esterni che mantengono collegamenti permanenti con gli impianti dei clienti. Un accesso remoto autorizzato non è automaticamente un accesso sicuro. Occorrono autenticazione robusta, privilegi limitati, registrazione delle operazioni e possibilità di revocare immediatamente le autorizzazioni. Perché un’azienda dovrebbe accettare che un soggetto esterno possa modificare le temperature di conservazione senza controlli indipendenti e senza adeguati meccanismi di sicurezza? La continuità operativa non può dipendere esclusivamente dalla fiducia nel fornitore o dal funzionamento di un software. Deve essere garantita da un’architettura verificabile, nella quale un eventuale errore o abuso non possa propagarsi indisturbato all’intero impianto.

L’intelligenza artificiale ha cambiato la velocità con cui vengono individuate le vulnerabilità

L’arrivo dell’intelligenza artificiale nelle operazioni offensive modifica ulteriormente gli equilibri. Individuare vulnerabilità, analizzare configurazioni e automatizzare tentativi di compromissione richiedeva tradizionalmente un investimento significativo in competenze e tempo. Oggi framework agentici e sistemi di analisi automatizzata permettono di distribuire molte di queste attività tra strumenti specializzati, riducendo l’intervento umano nelle fasi ripetitive. Questo non significa che qualsiasi sistema possa essere violato automaticamente, né che l’AI sia stata utilizzata negli attacchi ai frigoriferi europei: non sono emerse evidenze pubbliche che consentano di sostenere questa specifica ipotesi. Significa però che il contesto nel quale devono difendersi gli operatori industriali è profondamente cambiato. Una dimostrazione arriva dalla ricerca sugli agenti CyberStrikeAI e sulle vulnerabilità EPICS, che documenta l’impiego di 44 agenti AI in un framework offensivo e la scoperta, in una distinta attività di ricerca, di quattro vulnerabilità in EPICS Base in 3 ore e 49 minuti. Non si tratta di eventi collegati ai frigoriferi, ma mostrano quanto l’automazione possa comprimere i tempi della ricerca di falle anche nei software utilizzati negli ambienti industriali. Un sistema progettato per funzionare vent’anni, magari aggiornato raramente, deve oggi confrontarsi con capacità di analisi molto più rapide rispetto al passato. Continuare a gestire la sicurezza industriale con procedure pensate per un mondo informatico meno automatizzato significa accumulare un debito tecnologico destinato a diventare sempre più costoso.

Quando un frigorifero diventa una porta d’ingresso per attacchi più grandi

La minaccia non riguarda soltanto la distruzione delle merci. Qualsiasi apparecchiatura connessa, se sufficientemente compromessa e dotata delle necessarie capacità di rete, può diventare un punto d’appoggio per ulteriori attività ostili. In determinati scenari, dispositivi industriali e IoT vulnerabili possono essere sfruttati per movimenti laterali, installazione di componenti malevoli o partecipazione a reti utilizzate per attacchi distribuiti di tipo DDoS. Non esistono prove che i frigoriferi colpiti negli episodi europei siano stati impiegati in questo modo, ma il rischio appartiene alla stessa categoria di esposizione tecnologica. La differenza è che un sistema di refrigerazione può essere contemporaneamente bersaglio di un sabotaggio e possibile punto di accesso a un’infrastruttura aziendale più estesa. Una fragilità analoga emerge dalla ricerca sui sistemi di automazione degli edifici e sui protocolli insicuri, nella quale climatizzazione, controllo degli accessi e impianti tecnologici vengono considerati componenti di un ambiente operativo sempre più interconnesso. Il rischio aumenta quando apparecchiature progettate per reti locali vengono successivamente integrate con servizi Internet senza una revisione complessiva della sicurezza. La connettività aggiunta a un sistema non equivale a sicurezza progettata fin dall’origine.

NIS2, Cyber Resilience Act e certificazioni: le regole esistono, ma bastano?

L’Europa dispone ormai di un quadro normativo articolato. La direttiva NIS2 include, nei limiti del proprio ambito di applicazione, imprese della produzione, trasformazione e distribuzione alimentare all’ingrosso, imponendo obblighi di gestione dei rischi informatici e della sicurezza della catena di approvvigionamento. Il Cyber Resilience Act introduce requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali. I suoi obblighi di segnalazione per determinate vulnerabilità attivamente sfruttate e incidenti gravi sono applicabili dall’11 settembre 2026, mentre la disciplina generale diventerà applicabile dall’11 dicembre 2027. Non sarebbe quindi corretto sostenere che ogni controllore già installato debba oggi soddisfare indistintamente tutti i futuri requisiti del regolamento. Ma il problema politico e industriale rimane. Una certificazione non può trasformarsi in una garanzia puramente documentale, incapace di considerare l’effettiva configurazione dell’apparecchiatura dopo l’installazione. Occorre chiedere ai fornitori garanzie contrattuali sugli aggiornamenti, sulla durata del supporto, sulle verifiche periodiche e sulla possibilità di funzionare in sicurezza anche in assenza di collegamento Internet. La cybersicurezza deve entrare nelle procedure di acquisto e nella valutazione del costo complessivo dell’impianto, non essere considerata una spesa accessoria da rinviare quando il bilancio lo consente.

L’Italia, l’allerta ACN e la sicurezza di una filiera strategica

L’Agenzia per la cybersicurezza nazionale ha richiamato il settore dopo gli incidenti francesi e, il 2 novembre, ha comunicato di avere ricevuto una notifica NIS relativa a un’azienda toscana della ristorazione collettiva e di avere rilevato un ulteriore attacco contro un produttore emiliano di surgelati, non ancora notificato al momento della comunicazione. I dettagli tecnici non consentono ancora di stabilire che i due episodi condividano la stessa modalità di compromissione osservata nei supermercati stranieri. L’intervento nazionale è stato ricostruito nell’approfondimento sull’allerta ACN per la filiera del freddo italiana. Già il 13 ottobre, il bollettino istituzionale ripubblicato dal CSIRT Toscana aveva raccomandato la rimozione delle interfacce esposte a Internet, la segmentazione delle reti IT e OT, l’autenticazione multifattore e il controllo degli accessi dei manutentori. Sono misure conosciute, tecnicamente realizzabili, ma non sempre adottate in modo sistematico. La loro efficacia dipende anche dall’esistenza di personale incaricato di verificare continuamente le anomalie e intervenire prima che un parametro alterato comprometta le merci. Per il 3 novembre 2026 è stata inoltre convocata a Palazzo Chigi una riunione con i vertici della sicurezza nazionale, a conferma della rilevanza attribuita al fenomeno. La domanda è se, oltre alla risposta emergenziale, si riuscirà finalmente a costruire una responsabilità industriale continuativa.

Dobbiamo davvero collegare tutto a Internet?

La riflessione più radicale riguarda la necessità stessa di rendere raggiungibili dall’esterno determinati impianti. Per oltre un secolo la conservazione industriale degli alimenti si è sviluppata attraverso sistemi elettromeccanici, controlli locali e personale tecnico. La connettività ha migliorato monitoraggio, manutenzione ed efficienza, ma non tutte le funzioni di controllo devono necessariamente essere accessibili attraverso Internet. Una rete industriale locale può essere supervisionata e protetta senza esporre pubblicamente le interfacce amministrative. Quando la teleassistenza è indispensabile, può essere realizzata attraverso collegamenti autorizzati, temporanei e adeguatamente segregati. Un vecchio paradosso del dibattito sulla sicurezza informatica ricordava che il computer più sicuro sarebbe quello spento. Naturalmente non è una soluzione per gli impianti produttivi, che devono continuare a funzionare. Ma suggerisce una distinzione dimenticata nell’entusiasmo per l’iperconnessione: un’apparecchiatura può essere accesa, efficiente e controllabile localmente senza dover essere esposta al mondo esterno. Non bisogna rifiutare la tecnologia, bensì smettere di considerare la connessione permanente un valore indipendente dai rischi che introduce.

La sicurezza alimentare non può essere sacrificata al risparmio tecnologico

Gli attacchi finora osservati mostrano conseguenze localizzate rispetto alla dimensione complessiva del mercato alimentare europeo. Sarebbe però sbagliato considerarli episodi soltanto dimostrativi o innocui. Le perdite delle imprese sono concrete e la rottura della catena del freddo impone valutazioni sulla sicurezza degli alimenti, come previsto anche dal regolamento europeo 852/2004. Il rischio sistemico diventerebbe ben più grave qualora una vulnerabilità condivisa o la compromissione di una piattaforma centralizzata interessasse contemporaneamente grandi depositi, stabilimenti produttivi e centri logistici. La stessa Europa che discute di guerra ibrida, protezione delle infrastrutture critiche e autonomia strategica deve interrogarsi sulla dipendenza digitale dei sistemi che assicurano l’alimentazione della popolazione. Non è necessario attribuire questi attacchi a uno Stato ostile per comprenderne il valore strategico. La disponibilità degli alimenti è una componente della sicurezza nazionale, e la sua protezione non può essere affidata soltanto alla capacità di reagire dopo che un sabotaggio è già avvenuto. La responsabilità degli aggressori deve essere accertata e perseguita. Ma sarebbe una grave semplificazione fermarsi a questo. Occorre verificare le responsabilità di chi produce dispositivi, di chi li commercializza, di chi li installa, di chi li certifica e di chi sceglie di utilizzarli senza adeguate garanzie di sicurezza. Non ogni incidente dimostra una negligenza, ma ogni incidente deve consentire di accertare se le protezioni necessarie fossero state progettate, contrattualizzate, applicate e mantenute. La conclusione è semplice: il problema non è soltanto che qualcuno possa entrare abusivamente in un frigorifero connesso. È che abbiamo costruito un modello industriale nel quale la conservazione del cibo può dipendere anche dalla sicurezza di un’interfaccia remota. E troppo spesso ci ricordiamo di quella dipendenza soltanto quando il cibo è già finito nella spazzatura.

FAQ