Un attacco coordinato contro la catena del freddo francese

Nella notte tra l'11 e il 12 ottobre 2026, un cyberattacco senza precedenti ha compromesso i sistemi di controllo termico di centinaia di supermercati francesi, trasformando i frigoriferi da strumenti di conservazione in veri e propri distruttori di alimenti. L'episodio rappresenta uno dei rari casi documentati in cui un'operazione informatica ha provocato danni diretti e tangibili nell'ambiente fisico, con conseguenze economiche e sulla sicurezza alimentare di portata nazionale. La coordinazione dell'attacco su molteplici catene di distribuzione suggerisce la volontà degli attaccanti di colpire non un singolo bersaglio, ma l'intera infrastruttura di approvvigionamento alimentare di una nazione.

Secondo la ricostruzione pubblicata il 13 ottobre dal quotidiano Le Monde, l'attacco ha interessato un'ampia porzione della grande distribuzione francese. Il perimetro esatto rimane ancora in fase di ricostruzione, ma i dati iniziali indicano una portata impressionante:

  • Circa 300 negozi Intermarché e Netto
  • Un centinaio di Coopérative U
  • 80 punti vendita Carrefour
  • Una trentina di Monoprix
  • Alcuni punti vendita E.Leclerc

Le cifre comunicate nelle prime ore dalle singole catene non coincidevano sempre, anche perché alcune comprendevano più insegne sotto lo stesso ombrello commerciale. Ciò che rimane indiscutibile è la scala dell'operazione: centinaia di impianti colpiti simultaneamente in un'azione che richiede competenze tecniche sofisticate e una conoscenza dettagliata dell'infrastruttura di controllo utilizzata dalla distribuzione moderna.

Come è stato compromesso il sistema di sbrinamento

L'azione degli attaccanti si è concentrata specificamente sulla funzione di sbrinamento, un componente essenziale del funzionamento dei frigoriferi commerciali. Questa funzione, che normalmente serve a eliminare periodicamente il ghiaccio dalle serpentine di scambio termico, è stata alterata in modo da interrompere il ciclo di protezione della temperatura. Se prolungata o attivata fuori programma, il ciclo di sbrinamento trasforma il frigorifero da conservatore in distruttore: il sistema smette di proteggere la temperatura degli alimenti e le merci deperibili iniziano rapidamente a deteriorarsi.

Secondo la documentazione pubblicata da Le Monde, in alcuni negozi il ciclo di sbrinamento è stato allungato fino a otto ore, durata sufficiente per portare le temperature nelle celle fino a 50 gradi Celsius. Gli allarmi di malfunzionamento hanno segnalato il problema, ma la comunicazione è avvenuta in ritardo, riducendo ulteriormente il tempo a disposizione dei gestori per intervenire e salvare la merce. Un esercente di Gradignan ha riferito di aver perso merci per un valore di 21.000 euro calcolati al prezzo di acquisto, cifra che rappresenta solo il costo iniziale delle merci distrutte, senza contare le ulteriori perdite dovute a fermi operativi e bonifica.

La perdita economica complessiva va ben oltre il semplice valore del cibo smaltito. Ogni supermercato colpito ha dovuto affrontare:

  • Bonifica completa degli impianti frigoriferi
  • Rifornimento urgente della merce distrutta
  • Verifiche sanitarie e controlli sulla qualità
  • Giorni di vendita compromessa e ridotta disponibilità di prodotti
  • Potenziali danni reputazionali verso la clientela

Il ripristino del software, infatti, non ricrea automaticamente la catena del freddo già interrotta: la merce deve essere smaltita secondo le normative sanitarie, i sistemi devono essere completamente bonificate e solo successivamente il rifornimento può ricominciare.

L'architettura vulnerabile: controller centralizzati connessi a Internet

Per comprendere la vulnerabilità sfruttata, è necessario analizzare il funzionamento della moderna automazione commerciale. I grandi impianti commerciali non vengono regolati uno per uno davanti a ogni banco frigo, come potrebbe accadere con i vecchi frigoriferi domestici. Invece, un controller centralizzatore unisce tutte le funzioni critiche: temperature, allarmi, orari di manutenzione e procedure automatiche. I tecnici autorizzati possono intervenire tramite una console di rete, spesso anche dall'esterno del punto vendita o dalla sede centrale dell'azienda.

Questo sistema ha enormi vantaggi operativi: consente di risparmiare tempo, riduce le trasferte tecniche e permette il monitoraggio centralizzato di decine o centinaia di negozi da un'unica postazione. Tuttavia, crea anche un singolo punto di accesso che, se mal protetto, può permettere a un aggressore esterno di impartire comandi operativi completamente legittimi. Una volta dentro, l'attaccante non ha bisogno di danneggiare il software, di crittografare i dati o di sottrarli: semplicemente altera il ciclo di sbrinamento e il danno fisico si propaga in tempo reale.

Oded Vanunu, Head of Vulnerability Research di Check Point Software Technologies, ha commentato la portata del problema: «Un frigorifero di un supermercato non è più soltanto un elettrodomestico, ma un sistema computerizzato connesso alla rete». L'esperto sottolinea che cicli operativi come lo sbrinamento possono essere usati in modo improprio senza danneggiare il software o sottrarre dati: ciò che viene compromesso è il funzionamento fisico e la conseguenza sono milioni di euro di danni tangibili.

Il rischio aumenta drammaticamente quando le apparecchiature continuano a lavorare per quindici anni o più con software che non riceve regolarmente correzioni di sicurezza. Nella grande distribuzione, l'obsolescenza funzionale non è un problema: se un frigorifero conserva correttamente, continua a essere utilizzato. Però, dal punto di vista della sicurezza informatica, questo crea un parco di dispositivi con vulnerabilità note e non patchate.

I sistemi Danfoss e le vulnerabilità note

L'indagine ha rapidamente puntato i riflettori sui controller della serie Danfoss, un produttore danese leader nel settore dei sistemi di refrigerazione e automazione. Il CERT-FR, l'ente nazionale francese di risposta agli incidenti informatici, ha confermato il 12 ottobre di essere a conoscenza di numerose compromissioni dei sistemi Danfoss delle serie AK-SM e AK-SC.

Il produttore ha precisato all'Agence France-Presse che tra le apparecchiature interessate figurano in particolare:

  • AK-SM800
  • AK-SC355

Si tratta di prodotti di vecchia generazione, molti dei quali non ricevono più aggiornamenti di sicurezza regolari. In altri casi, il firmware era talmente obsoleto da non essere più supportato da Danfoss. L'esposizione delle console di gestione direttamente su Internet, senza protezioni aggiuntive, è stata segnalata dal CERT-FR come uno dei principali problemi che hanno facilitato l'intrusione.

Una ricerca del team Claroty Team82, pubblicata il 9 agosto 2026, aveva già documentato tre vulnerabilità critiche nei controller AK-SM 800A, una variante del modello più vecchio:

  • Una possibilità di aggirare il meccanismo di autenticazione
  • Una vulnerabilità che consente di eseguire comandi arbitrari
  • Una falla che permette di alterare la configurazione del servizio web

Danfoss aveva reso disponibili le correzioni per queste vulnerabilità, ma la domanda cruciale rimane: quanti gestori di supermercati hanno effettivamente applicato i patch? Il modello 800A studiato da Claroty non va confuso automaticamente con i vecchi AK-SM800 e AK-SC355 che risultano coinvolti nell'attacco, né è stato dimostrato che gli aggressori abbiano usato quelle specifiche falle identificate dalla ricerca. Tuttavia, la sequenza temporale è significativa: vulnerabilità pubblicamente documentate rimangono spesso non risolte per mesi in ambienti commerciali.

La diffusione massiccia di interfacce esposte su Internet

Un dato emerso dalle indagini ha ulteriormente aggravato il quadro della vulnerabilità. La Counter Threat Unit di Sophos, utilizzando il motore di ricognizione Censys, ha condotto un'analisi il 12 ottobre per mappare i sistemi Danfoss esposti in Internet. I risultati sono allarmanti:

  • Circa 2.700 sistemi che mostravano su Internet l'interfaccia di gestione Danfoss StoreView in tutto il mondo
  • Di questi, circa 1.500 situati in Francia
  • Tutti questi apparati risultavano raggiungibili online

È fondamentale precisare che il dato di raggiungibilità online non significa che tutti questi sistemi fossero vulnerabili o già compromessi al momento della ricerca. Però, significa che 1.500 sistemi di controllo della catena del freddo francese erano potenzialmente accessibili da qualunque punto di Internet, senza protezioni evidenti come firewall o reti private virtuali (VPN).

Antoine Hautin, consulente di cybersecurity presso Almond, ha evidenziato all'Agence France-Presse quanto sia significativa la possibilità di colpire numerosi impianti nello stesso intervallo di tempo. Coordinare un'operazione che tocchi centinaia di installazioni richiede capacità organizzative e tecniche notevoli, superiori a quelle necessarie per compromettere un singolo dispositivo. Tuttavia, una volta che l'accesso a una piattaforma centralizzata è stato ottenuto, la replicazione del danno è quasi automatica.

Le cause ordinarie dell'accesso: vulnerabilità e scarsa consapevolezza

Anche se l'attacco francese non è stato formalmente classificato come ransomware, le cause tecniche che permettono tali intrusioni rimangono coerenti con quelle documentate nel settore retail. Il rapporto "The State of Ransomware in Retail 2025" di Sophos, basato su 361 organizzazioni del commercio colpite da ransomware, fornisce statistiche rilevanti:

  • Lo sfruttamento di vulnerabilità è la prima causa tecnica di accesso iniziale, segnalata nel 30% degli incidenti
  • Mancata conoscenza delle lacune di sicurezza è uno dei fattori organizzativi più citati
  • Carenze di competenze interne di cybersecurity sono diffuse nella grande distribuzione

Questi dati suggeriscono che gli ambienti retail, pur disponendo di risorse economiche significative, spesso non investono proporzionalmente in consapevolezza della sicurezza informatica e in personale specializzato. Le apparecchiature OT (Operational Technology, come i frigoriferi controllati) sono storicamente gestite da tecnici di manutenzione specializzati nel settore frigorifero, non in sicurezza informatica. Questo crea un gap di competenze che gli attaccanti possono sfruttare.

Il tallone d'Achille della logistica moderna: la supply chain software

Giuseppe Costabile, esperto di cybersecurity, ha descritto l'incidente francese come emblematico di una vulnerabilità sistemica della logistica moderna: «Questo incidente dimostra in modo emblematico il tallone d'Achille della logistica moderna: la catena di fornitura software. Agli attaccanti non serve violare i server centrali della grande distribuzione; basta colpire un singolo componente gestionale diffuso sul mercato per provocare un effetto domino devastante su centinaia di punti vendita contemporaneamente».

Questa osservazione è cruciale per comprendere la portata strategica dell'attacco. Una singola vulnerabilità in un controller ampiamente adottato (come i sistemi Danfoss) può essere sfruttata per colpire simultaneamente decine o centinaia di negozi appartenenti a catene diverse, senza necessità di penetrare le reti informatiche centrali di ciascuna azienda. È come trovare una chiave universale che apre la stessa porta in mille case contemporaneamente.

Questo modello d'attacco rappresenta una sfida completamente diversa rispetto ai tradizionali cyberattacchi sui sistemi IT aziendali. Gli ambienti OT (come i sistemi di controllo del freddo) sono stati storicamente progettati con priorità diverse: affidabilità, longevità, semplicità operativa. La sicurezza informatica era una considerazione secondaria o assente. Di conseguenza, molti di questi sistemi non hanno ricevuto aggiornamenti di sicurezza per anni.

L'assenza inquietante di rivendicazioni di riscatto

Un elemento rende l'episodio francese particolarmente insolito e preoccupante: non sono state segnalate richieste di riscatto. Questo è un dato anomalo nel panorama dei cyberattacchi moderni, dove la gran parte degli incidenti coordinati è motivata da estorsione economica. Gli aggressori, anziché minacciare di bloccare i sistemi per ottenere un pagamento, hanno deliberatamente causato la distruzione della merce.

Ciaran Martin, già direttore del National Cyber Security Centre britannico, ha osservato al Financial Times che si tratta di uno degli episodi cyber più singolari che abbia incontrato, proprio perché manca il consueto meccanismo di estorsione che caratterizza la maggior parte dei ransomware moderni. Questa assenza apre completamente il quadro interpretativo: non si tratta di un attacco criminalità organizzata tradiz