50 °C nel banco dei surgelati: La notte in cui gli impianti frigoriferi si sono trasformati in sistemi di riscaldamento

Gli attacchi agli impianti frigoriferi costringono i supermercati europei a buttare via alimenti. Gli incidenti rivelano una possibilità inquietante: anche le normali funzioni operative possono causare danni. La domanda decisiva, quindi, non è soltanto come riescano a entrare gli aggressori, ma che cosa possa ancora fermarli una volta dentro.

Il primo segnale è una pozza d’acqua.
La mattina di lunedì 2 novembre 2026, Mats Olsson entra nel suo supermercato ICA a Böda, sull’isola svedese di Öland, e trova acqua sul pavimento. Racconta all’emittente svedese SVT che l’impianto frigorifero per i surgelati ha raggiunto i 55 °C e che le scorte di prodotti refrigerati e surgelati sono andate perdute. Il negozio rimane aperto, ma mancano proprio i prodotti che quegli impianti avrebbero dovuto mantenere al freddo.

Anche a Stoccolma l’incidente comincia nel cuore della notte. Secondo la responsabile delle vendite Engla Ingwall, l’attacco agli impianti frigoriferi per i surgelati del suo supermercato ICA inizia intorno alle due. Per ore nessuno se ne accorge. Parlando con Reuters, riferisce di una temperatura di 50 °C e di merce irrimediabilmente danneggiata. Quando la manomissione digitale viene scoperta, la fisica ha già fatto il suo corso.

Nel corso del 2 novembre arrivano segnalazioni simili da Belgio, Lussemburgo ed Estonia. Nei Paesi Bassi, Danfoss conferma a NOS che sono state colpite almeno 17 aziende, tra cui piccoli negozi di alimentari e un magazzino di prodotti surgelati. Tre settimane prima, un attacco analogo aveva interessato centinaia di negozi in Francia. Al momento della stesura, le informazioni pubbliche non chiarivano se i responsabili fossero gli stessi.

La domanda immediata, però, non dipende dall’identificazione degli aggressori: come può un impianto progettato per raffreddare diventare una fonte di calore? La risposta sta in una funzione prevista per il suo normale funzionamento.

La macchina fa ciò che le viene ordinato. Ma per la persona sbagliata.

Sull’evaporatore di un impianto frigorifero può accumularsi ghiaccio. Per mantenere uno scambio termico efficace, occorre rimuoverlo regolarmente. A seconda della configurazione, lo sbrinamento comporta l’interruzione del raffreddamento oppure l’apporto attivo di calore tramite resistenze elettriche o fluido refrigerante caldo. Un impianto frigorifero può quindi generare calore o introdurlo deliberatamente. Durante un normale ciclo di sbrinamento, questo non è un guasto.

I fattori decisivi sono la durata, la sequenza e i limiti. Negli incidenti belgi, il fornitore di servizi di refrigerazione Sabcobel ha riferito che gli evaporatori erano stati impostati da remoto in modalità sbrinamento. Gli aggressori non hanno dovuto inventare una nuova funzione della macchina. Hanno sfruttato una funzione esistente per ottenere l’opposto di ciò a cui l’impianto era destinato.

Dietro un banco frigorifero si trova spesso un’intera gerarchia di controllo. I regolatori locali lavorano con sensori e valvole; un gestore di sistema di livello superiore raccoglie le informazioni e consente l’amministrazione da remoto. Il Danfoss AK-SM 800A esaminato da Claroty dispone di un’interfaccia web integrata per gestire, tra le altre cose, limiti di temperatura, programmazioni orarie, allarmi e account utente. Questo evita al tecnico una visita sul posto e conferisce un notevole potere a chiunque disponga dell’accesso necessario.

Sistemi di questo tipo fanno parte dell’Operational Technology, o OT: tecnologie che monitorano o influenzano processi fisici. Qui un comando non si limita a modificare un record di dati. Può determinare che cosa farà subito dopo una valvola, un motore o un elemento riscaldante.

Per modificare un processo in modo dannoso non è necessariamente richiesto prendere il controllo del sistema operativo. Può bastare un accesso operatore con privilegi sufficienti. Nel framework ATT&CK per i sistemi di controllo industriale, MITRE descrive questo schema di attacco come «Modify Parameter» (T0836): parametri operativi alterati inducono un controllore altrimenti funzionante a eseguire una sequenza di operazioni indesiderata. Questo, da solo, non permette di stabilire se negli incidenti sia stato impiegato anche del malware.

La distinzione è fondamentale. Chi cerca soltanto file dannosi può non accorgersi di un’operazione malevola eseguita tramite i comandi dell’impianto. Il comando può essere formalmente valido, il software può elaborarlo correttamente e l’impianto può comunque fare la cosa sbagliata. Un indicatore di stato verde informa soltanto su ciò che effettivamente monitora. «Il sistema funziona» non equivale a «il processo è sotto controllo».

Anche le temperature impressionanti riportate richiedono la stessa precisione. I valori impostati (setpoint) non vanno confusi con le temperature dell’evaporatore, dell’aria o dei prodotti. Impostare una temperatura a 50 °C non dimostra che gli alimenti abbiano effettivamente raggiunto quella temperatura. Lo mostra un punto vendita colpito in Estonia: nonostante l’impostazione a 50 °C, l’aumento della temperatura reale segnalato è stato contenuto. A fare la differenza è stata la rapidità della risposta.

La porta laterale che aggira la sicurezza informatica aziendale

Il percorso verso l’impianto frigorifero non deve necessariamente passare per la rete aziendale centrale. ICA ha dichiarato che le connessioni dei negozi colpiti operavano al di fuori di quella rete. Non si tratta di un resoconto forense completo. Spiega però perché anche un’infrastruttura informatica aziendale protetta da professionisti non metta automaticamente al sicuro ogni accesso di manutenzione di ciascun punto vendita.

Un impianto può essere separato dalla rete delle casse e avere comunque una connessione non protetta verso l’esterno. Il NCSC britannico avverte esplicitamente dei canali di comunicazione aggiuntivi che i fornitori possono installare, per esempio collegamenti dedicati su rete mobile. Chi considera soltanto le connessioni aziendali note rischia di non vedere questi accessi. Conta il collegamento effettivo al controllore, non il punto in cui finiscono le responsabilità di un gruppo e iniziano quelle di un altro.

Team82 di Claroty ha documentato la portata potenziale di questa superficie di attacco con una ricerca che ha individuato 2.765 dispositivi della piattaforma esaminata raggiungibili pubblicamente. Era un’istantanea dell’esposizione, non un elenco di supermercati violati. Ma smentisce l’ipotesi rassicurante secondo cui queste interfacce di amministrazione si troverebbero sempre al riparo all’interno di reti aziendali chiuse.

Nei Paesi Bassi, le informazioni disponibili finora indicano più una protezione inadeguata che un attacco inedito e tecnologicamente sofisticato. Un portavoce di Danfoss ha dichiarato a NOS che i sistemi colpiti utilizzavano password predefinite e non erano collegati attraverso una rete protetta. Ha aggiunto che il produttore aveva già consigliato di eliminare l’accesso diretto a Internet dopo l’incidente francese. È la ricostruzione del produttore, non un’analisi indipendente di ogni singolo caso.

Esistono inoltre vulnerabilità documentate dei prodotti. Per la serie AK-SM-8xxA, Danfoss indica CVE-2025-41450 come un problema di autenticazione che interessa le versioni precedenti alla 4.2. Nelle versioni precedenti alla 4.3.1, CVE-2025-41451 descrive una possibile esecuzione di comandi a livello di sistema operativo, mentre CVE-2025-41452 riguarda una configurazione del server web manipolabile, con la possibilità di causare una negazione del servizio (DoS). Queste ultime due vulnerabilità richiedono un’autenticazione riuscita.

Team82 ha descritto anche un meccanismo di accesso alternativo, il «Code of the Day», che poteva aggirare la normale procedura di autenticazione. Il problema di fondo è semplice: una password amministratore robusta non protegge da ogni difetto di un meccanismo di accesso aggiuntivo.

Le fonti pubbliche esaminate non consentono di stabilire quali di queste vulnerabilità siano state sfruttate negli attacchi attuali, né se ne sia stata sfruttata alcuna. Non vanno nemmeno confuse le famiglie di prodotti: CERT-FR cita i sistemi Danfoss AK-SM e AK-SC, oltre ai sistemi XWEB di Copeland e Dixell. Una singola CVE non può quindi spiegare ogni incidente.

C’è poi un altro problema che rimane invisibile tra gli scaffali: l’invecchiamento degli apparati. Secondo il produttore, il vecchio Danfoss AK-SM 800 ha raggiunto la fine del ciclo di vita nel maggio 2021. Nell’ottobre 2025, Danfoss ha ribadito la cessazione del supporto per i prodotti legacy interessati. Questo gestore di sistema non coincide con la piattaforma 800A, più recente. Gli aggiornamenti di quest’ultima non possono essere applicati indistintamente a tutti i dispositivi più vecchi.

L’impianto può continuare a funzionare sul piano meccanico anche quando il suo controllore digitale non è più supportato. «Raffredda ancora» descrive quindi la sua funzione attuale, non la sicurezza dell’accesso di manutenzione.

Che cosa può ancora fermare un aggressore già autenticato?

La prima linea di difesa deve precedere l’interfaccia di amministrazione: nessuna esposizione diretta a Internet, accesso remoto sicuro, account individuali e, ove possibile, autenticazione a più fattori resistente al phishing. CERT-FR e NCSC raccomandano questo approccio. Rende più difficile l’accesso iniziale. Ma un’architettura resiliente deve poi rispondere a una seconda domanda: che cosa può effettivamente fare un aggressore attraverso un accesso compromesso?

L’autenticazione verifica le credenziali. L’autorizzazione stabilisce quali azioni può eseguire un account. La validazione dei parametri operativi deve garantire che una modifica consentita non porti il processo al di fuori delle condizioni di funzionamento approvate. Queste tre funzioni non sono intercambiabili. MITRE raccomanda quindi sia permessi di modifica basati sui ruoli sia la validazione dei valori trasmessi direttamente nella logica di controllo.

Negli impianti frigoriferi, questo significa che un account di manutenzione autorizzato a richiedere un ciclo di sbrinamento non dovrebbe disporre automaticamente anche dei permessi per modificare tutti i limiti che lo vincolano. Consultare lo stato operativo, eseguire le normali operazioni sull’impianto e modificare le impostazioni di protezione richiedono autorizzazioni diverse. Una chiave universale trasforma la compromissione di una sola identità in un problema molto più ampio.

Questi limiti non sono un’idea astratta. La documentazione del regolatore Danfoss AK-CC 750, per esempio, descrive condizioni di arresto dello sbrinamento basate sulla temperatura e sul tempo. Questo non dimostra che quel regolatore fosse impiegato nei negozi colpiti. Mostra però le domande da porre in una verifica tecnica: quali limiti esistono, dove vengono applicati e chi può modificarli?

Non è sempre sufficiente verificare separatamente che ogni valore rientri in un intervallo numerico consentito. Una strategia di protezione robusta dovrebbe considerare anche l’interazione fra durata, ripetizione e stato dell’impianto. I limiti operativi applicabili sono quelli definiti dal produttore e dal progetto tecnico del sistema. Un modulo nel browser non costituisce un confine di sicurezza sufficiente: la validazione deve essere applicata nel punto in cui il controllore accetta ed elabora realmente le modifiche.

Altrettanto importante è il grado di compromissione al quale le protezioni sono progettate per resistere. L’abuso di un account operatore e la compromissione completa di un controllore sono scenari diversi. Una verifica software locale può imporre limiti a un account con privilegi ridotti. Un aggressore che controlla anche il software o la sua configurazione di protezione, però, potrebbe riuscire ad alterare quella stessa verifica. Per l’analisi dell’architettura la conseguenza è chiara: le protezioni devono rimanere indipendenti nello scenario di attacco considerato, non soltanto nell’organigramma.

La questione più profonda è se le funzioni di protezione siano davvero indipendenti. Se lo stesso accesso amministrativo può modificare il processo e disabilitarne i limiti, le due funzioni non costituiscono livelli di protezione indipendenti. Se può anche alterare il comportamento degli allarmi, lo stesso accesso compromesso può ritardare il rilevamento. Il NIST mette esplicitamente in guardia dalla separazione insufficiente tra funzioni di controllo e di protezione nei sistemi OT.

Per un impianto frigorifero, ne deriva un criterio di verifica chiaro: un monitoraggio aggiuntivo della temperatura è particolarmente utile quando la sua configurazione e il canale di trasmissione degli allarmi non dipendono interamente dallo stesso sistema di gestione. Due sensori che condividono un’interfaccia di amministrazione compromettibile non forniscono, da soli, due livelli di protezione indipendenti. Un allarme, inoltre, non sostituisce un meccanismo che imponga i limiti del processo: inizialmente si limita ad avvisare qualcuno di un problema.

Questo spiega anche i limiti di un approccio incentrato soltanto sulla rete. Un firewall può limitare le connessioni a determinati interlocutori di rete e servizi. Non per questo ogni operazione eseguita tramite una connessione consentita è appropriata. Un’analisi più approfondita dei comandi richiede la conoscenza del protocollo e l’accesso al loro contenuto. La cifratura protegge i dati in transito; non dimostra che l’istruzione trasmessa sia corretta dal punto di vista operativo.

Le informazioni pubbliche non documentano completamente quali di queste protezioni fossero presenti negli impianti colpiti né quali abbiano fallito. La domanda architetturale rimane comunque precisa: quale funzione può attivare l’accesso remoto e quale protezione a valle può ancora impedire una sequenza pericolosa? Una maggiore segmentazione della rete aiuta a bloccare i percorsi di comunicazione non autorizzati. Per difendersi da un’operazione pericolosa ma autorizzata servono anche autorizzazioni appropriate e limiti di processo.

I minuti in cui il danno si può ancora evitare

In Estonia la notte si è conclusa diversamente. Un supermercato Selver è stato colpito dopo che gli aggressori hanno ottenuto accesso al computer di controllo di un vecchio impianto. Il fornitore del servizio ha riferito di essere intervenuto entro circa dieci minuti. Secondo il suo resoconto, la temperatura reale è aumentata soltanto di 2–3 °C e nessun alimento è stato danneggiato. Selver ha dichiarato che si trattava dell’ultimo punto vendita in cui non era ancora stato installato il sistema più recente.

Dieci minuti non sono un margine di sicurezza universale. Il caso mostra quanto possa contare il tempo successivo all’accesso di un aggressore. La pianificazione deve comprendere l’intera risposta: rilevare un’anomalia, valutarla, prendere una decisione e intervenire efficacemente. Questi passaggi devono rientrare nel tempo ancora concesso dal processo specifico. Un allarme immediato serve a poco se nessuno è responsabile della risposta o in grado di agire.

Ove possibile, il rilevamento dovrebbe quindi iniziare prima che la perdita di merce diventi visibile. Un ciclo di sbrinamento notturno non è sospetto di per sé. Una modifica è più significativa se proviene da una fonte inattesa, esce dall’intervallo operativo approvato o non corrisponde a un ordine di manutenzione confermato. MITRE raccomanda di correlare queste osservazioni con i successivi dati di processo. Non conta soltanto il nuovo valore, ma anche ciò che l’impianto fa realmente dopo.

Negli impianti frigoriferi, i segnali da approfondire potrebbero includere durate di sbrinamento insolite, soglie di allarme modificate o deviazioni simultanee su più dispositivi. Sono possibili approcci di rilevamento, non una ricostruzione di questa ondata di attacchi. Il contesto operativo aiuta anche a evitare falsi allarmi: una prova approvata va valutata diversamente da una modifica inspiegata. Ma una finestra di manutenzione pianificata non deve diventare un motivo per ignorare senza verifica tutte le attività svolte al suo interno.

I log devono permettere questo confronto. Registrazioni utili dovrebbero identificare l’account utilizzato, il dispositivo interessato, la modifica e il momento in cui è avvenuta. Dove disponibili, dovrebbero essere collegati alla modifica anche il valore precedente e il relativo ordine di manutenzione. È il principio sottolineato dal NCSC: la registrazione degli eventi deve rispondere a obiettivi di rilevamento precisi, non limitarsi ad accumulare dati. Log esaminati soltanto dopo il danno non costituiscono un avvertimento tempestivo.

Qualcuno deve poi poter interrompere la sequenza. Il NCSC raccomanda piani di isolamento collaudati: quale connessione può essere bloccata? Quali funzioni devono continuare localmente? Come subentra il fornitore quando la manutenzione da remoto non è disponibile? La risposta corretta non consiste necessariamente nel togliere corrente all’intero impianto. Deve proteggere le persone e portare il processo in uno stato predefinito e controllabile.

Il piano deve anche stabilire quale visibilità sull’impianto rimanga dopo l’isolamento. Se la disconnessione della manutenzione remota interrompe involontariamente l’unico canale di allarme, il personale reperibile perde proprio il riscontro di cui ha bisogno. Non basta verificare se l’accesso possa essere disattivato. Occorre anche verificare se i responsabili possano ancora capire se la contromisura sta funzionando.

C’è una distinzione facile da trascurare: l’isolamento della rete non annulla automaticamente le impostazioni già modificate. Può impedire ulteriori accessi mentre l’impianto continua a operare con i parametri manomessi. Gli specialisti devono quindi controllare non soltanto il percorso di accesso, ma anche lo stato operativo effettivo e la configurazione. «Non è più raggiungibile» non significa che il pericolo sia passato, così come non lo significa «funziona di nuovo».

Quando è possibile farlo senza creare rischi aggiuntivi, i log e le configurazioni pertinenti vanno conservati prima di un reset. La conservazione delle prove, tuttavia, non deve ritardare gli interventi di protezione necessari. Ripristinare il raffreddamento non risolve, da solo, l’incidente di sicurezza: CERT-FR avverte espressamente di non limitarsi a resettare dispositivi legacy vulnerabili per poi ricollegarli a Internet senza protezione. La debolezza originaria potrebbe rimanere intatta.

Il ripristino richiede quindi più di un riavvio riuscito. La configurazione deve essere conforme a una configurazione di riferimento approvata e il processo fisico deve tornare a operare entro i limiti previsti. Installare un nuovo firmware non dimostra, da solo, che il processo sia rientrato in quei limiti. La chiusura dell’incidente richiede una verifica sia tecnica sia operativa.

La preparazione, quindi, non è soltanto una questione tecnica. Prima di un incidente, gestori e manutentori devono sapere chi è autorizzato a bloccare un accesso durante la notte, chi prenderà in carico l’impianto sul posto e chi è responsabile degli aggiornamenti o della sostituzione. Esternalizzare la manutenzione non elimina queste responsabilità. Rende ancora più importante concordare chiaramente chi deve fare cosa.

La prossima volta che ti troverai davanti a un banco frigorifero, vedrai innanzitutto degli alimenti. Dietro c’è una catena di sensori, software, autorizzazioni e decisioni. La domanda di sicurezza non riguarda soltanto i dati che un dispositivo conserva. Riguarda anche ciò che quel dispositivo è autorizzato a modificare nell’ambiente circostante e chi può intervenire in tempo per impedirgli di fare la cosa sbagliata.

A Öland, una pozza d’acqua ha reso visibile l’incidente. In Estonia, il gestore ha riferito che gli alimenti erano rimasti integri. Tra questi due esiti si colloca la vera sfida della sicurezza: rilevare un attacco prima che siano i danni a rivelarlo e mantenere protezioni efficaci anche dopo che un aggressore ha ottenuto accesso.

Un backup può ripristinare una configurazione. Non può cancellare le ore trascorse senza un raffreddamento adeguato.

Un attacco informatico non deve necessariamente distruggere una macchina. A volte basta farle fare la cosa sbagliata.