Una mattina il personale di un supermercato entra nel reparto surgelati e scopre che qualcosa non va. I prodotti non sono più conservati alla temperatura prevista. Le celle e i banchi frigoriferi, che avrebbero dovuto proteggere gli alimenti, sono diventati parte del problema. Nel frattempo la merce rischia di dover essere ritirata e le domande si moltiplicano: un guasto? Un errore umano? Un’interruzione elettrica?
Nell’autunno del 2026 la risposta, in numerosi casi europei, ha indicato una strada diversa: qualcuno aveva raggiunto dall’esterno i sistemi che regolano la refrigerazione e ne aveva alterato le impostazioni. La notizia sembra uscita da un romanzo, ma i dispositivi coinvolti esistono davvero e svolgono un lavoro quotidiano, silenzioso, essenziale. Non sono semplici termometri: sono computer industriali che sorvegliano impianti fisici, registrano misure e impartiscono comandi.
Questa è la storia di come una funzione legittima, lo sbrinamento, possa trasformarsi in uno strumento di sabotaggio; di come l’accesso remoto, prezioso per la manutenzione, diventi pericoloso se esposto senza adeguate protezioni; e di quanto sia difficile rispondere alla domanda che tutti pongono per prima: chi è stato?
I FATTI: OTTOBRE IN FRANCIA, NOVEMBRE IN EUROPA
Secondo il rapporto del Centro francese di coordinamento delle crisi cyber, nella notte tra l’11 e il 12 ottobre 2026 furono colpiti i controllori del freddo di circa 700 siti della grande distribuzione in Francia. Le impostazioni di sbrinamento furono modificate per ottenere temperature elevate. Le conseguenze inclusero perdite di merce e, secondo lo stesso rapporto, almeno 15 principi d’incendio. Tra le vittime individuate figuravano anche operatori della filiera alimentare diversi dai supermercati.
Il 12 ottobre il CERT-FR, l’organismo francese che pubblica allerte per gli incidenti informatici, diffuse un avviso specifico sulle compromissioni di controllori di impianti di refrigerazione. La versione aggiornata del 16 ottobre elenca famiglie di dispositivi Danfoss, Copeland e Dixell e raccomanda di rimuovere l’esposizione diretta a Internet e controllare attentamente la configurazione. L’elenco delle famiglie interessate dall’allerta non significa che ogni dispositivo di quelle marche sia stato compromesso o presenti automaticamente la stessa vulnerabilità.
Tra il 1° e il 2 novembre una nuova serie di episodi interessò esercizi commerciali in vari Paesi europei. Reuters documentò casi in Svezia, Belgio e Lussemburgo; altre ricostruzioni riferirono di ulteriori Paesi, inclusa l’Italia. Le dimensioni, i dispositivi coinvolti e le conseguenze variarono da un esercizio all’altro. Un elenco di negozi o nazioni ricostruito nelle prime ore deve essere letto come provvisorio, non come un censimento definitivo.
Il 9 novembre le autorità francesi attribuirono l’attacco dell’11 e 12 ottobre all’unità Shahid Kaveh, indicata come affiliata ai Guardiani della rivoluzione iraniani. È un’attribuzione pubblica delle autorità francesi, fondata sugli elementi illustrati nel loro rapporto. Non autorizza a concludere automaticamente che gli stessi autori abbiano realizzato ogni episodio successivo verificatosi in Europa. Somiglianza dei bersagli e somiglianza degli effetti sono indizi da valutare, non una prova sufficiente di identità degli aggressori.
CHE COSA FA DAVVERO UN CONTROLLORE FRIGORIFERO
Per capire il sabotaggio dobbiamo entrare nella stanza dei comandi, anche se spesso quella stanza non ha pareti. Un impianto di refrigerazione commerciale contiene sensori, valvole, compressori, ventilatori e componenti di gestione. Il controllore raccoglie i dati, li confronta con i parametri impostati e governa o coordina le operazioni necessarie a mantenere le condizioni previste. A seconda dell’impianto può inviare allarmi, conservare registrazioni e permettere modifiche locali o a distanza.
Un esempio semplificato aiuta a vedere la catena. Un sensore misura la temperatura di una cella; il controllore legge il valore; il software confronta la misura con la configurazione; l’impianto reagisce secondo le proprie logiche. Se il tecnico cambia una soglia o un programma autorizzato, cambia anche il comportamento dell’impianto. Se a farlo è una persona non autorizzata, la stessa capacità di regolazione può essere usata contro il proprietario.
Le modalità precise dipendono dal modello, dalla versione del firmware, dalla rete e dall’impianto. Sarebbe scorretto descrivere un’unica sequenza tecnica valida per tutti i punti vendita colpiti. Il principio generale, però, è chiaro: un comando digitale può influire su un processo fisico. Il danno non richiede necessariamente che un aggressore scriva un nuovo virus o cancelli tutti i dati. In certe condizioni basta ottenere accesso a una funzione già disponibile e modificarne i parametri.
LA FUNZIONE DI SBRINAMENTO: UTILE, FINCHÉ RESTA SOTTO CONTROLLO
Chiunque abbia visto accumularsi ghiaccio sulle superfici fredde conosce almeno in parte il problema. Gli impianti di refrigerazione possono richiedere cicli di sbrinamento per mantenere efficiente il funzionamento. Le modalità cambiano secondo la tecnologia: non esiste un’unica procedura valida per ogni macchina. Quello che conta per questa storia è che il ciclo è una funzione normale, prevista dal sistema e governata da impostazioni operative.
Nei casi descritti dalle autorità francesi, la manipolazione ha interessato i parametri di sbrinamento. Alcuni resoconti parlano di impostazioni portate fino a 50 gradi Celsius in singoli episodi: ciò non significa che ogni alimento abbia raggiunto quella temperatura, né che tutti gli impianti abbiano reagito nello stesso modo. Occorre distinguere il valore inserito come parametro, la temperatura effettivamente misurata e il tempo durante il quale il prodotto è rimasto fuori dalle condizioni richieste.
Questa differenza non è una sottigliezza. Per decidere se un prodotto sia ancora vendibile servono informazioni affidabili sulla sua storia termica, sul tipo di alimento, sulle procedure applicabili e sulla valutazione dei responsabili competenti. Un singolo numero letto in un articolo non basta per decidere che cosa fare con una partita di cibo. Nel dubbio, la sicurezza degli alimenti e la tracciabilità vengono prima del desiderio di ridurre le perdite.
LA PORTA SUL RETRO: PERCHÉ QUEI SISTEMI SONO COLLEGATI
L’accesso a distanza risolve problemi reali. Una catena con decine o centinaia di punti vendita deve poter ricevere allarmi, controllare anomalie, coordinare interventi e permettere al frigorista di capire se sia necessario recarsi sul posto. Il collegamento può ridurre i tempi di risposta e aiutare a individuare guasti prima che provochino perdite. È comprensibile che gli operatori lo desiderino.
Il problema nasce quando l’interfaccia di amministrazione è raggiungibile direttamente da Internet, quando le credenziali sono deboli o predefinite, quando dispositivi non più aggiornati restano in servizio senza misure compensative, o quando l’accesso di fornitori e tecnici non viene delimitato e verificato. Nessuno di questi fattori va attribuito indistintamente a tutte le vittime: sono condizioni generali di rischio che le organizzazioni devono valutare nei propri ambienti.
Il CERT-FR ha indicato come priorità la rimozione dell’esposizione Internet dei dispositivi interessati e il ripristino degli accessi attraverso un collegamento protetto, per esempio una VPN sicura o una rete adeguatamente segregata. Ha raccomandato anche di verificare la configurazione, compresi gli intervalli di sbrinamento, e di applicare le misure del produttore. Un filtro temporaneo sugli indirizzi autorizzati può aiutare in emergenza, ma l’avviso avverte che non dovrebbe essere considerato una soluzione permanente.
Una VPN non è una bacchetta magica. Deve essere configurata, aggiornata e amministrata correttamente. Le credenziali e gli account devono essere gestiti; l’accesso deve essere concesso solo a chi ne ha bisogno; registrazioni e allarmi devono essere effettivamente esaminati. Inoltre il collegamento protetto non elimina una vulnerabilità presente nel dispositivo: riduce l’esposizione della sua interfaccia e deve essere accompagnato dalle altre misure applicabili.
UNA PATCH NON È UN PIANO DI SICUREZZA
Aggiornare il firmware quando il produttore mette a disposizione una correzione appropriata è una parte importante della difesa. Ma dire «basta aggiornare» rischia di nascondere la complessità del problema. Gli impianti industriali possono essere vecchi, installati da fornitori diversi, difficili da inventariare e inseriti in contratti di manutenzione articolati. Alcuni non possono essere fermati senza pianificazione; altri richiedono verifiche di compatibilità o interventi sul posto.
Il 13 novembre l’ufficio federale tedesco per la sicurezza informatica ha avvertito che alcuni sistemi di refrigerazione continuavano a essere vulnerabili. Ha raccomandato, quando possibile, di scollegare i sistemi interessati da Internet o di proteggere le connessioni necessarie, controllando nel contempo gli aggiornamenti disponibili. La lezione non è che aggiornare sia inutile: è che aggiornamento, isolamento della rete, credenziali e controllo operativo devono lavorare insieme.
C’è anche un problema di inventario. Una sede centrale può conoscere il numero dei propri punti vendita e ignorare quante interfacce di controllo siano esposte da ciascun fornitore. Se un’azienda non sa dove si trovano i dispositivi, chi li amministra, quali versioni eseguono e come sono collegati, fatica sia a prevenire un attacco sia a verificare l’estensione di un incidente. La domanda «quanti frigoriferi abbiamo?» è diversa da «quali controllori raggiungibili dall’esterno possono modificarne il comportamento?».
CHI HA COLPITO? L’ATTRIBUZIONE E I SUOI LIMITI
Nelle indagini informatiche un indirizzo IP è un indizio, non una carta d’identità. Gli aggressori possono utilizzare infrastrutture compromesse o prese in affitto, strumenti già noti e componenti condivisi. Un ricercatore deve considerare la combinazione di comportamenti, infrastrutture, tempistiche e altre evidenze, insieme alle possibili spiegazioni alternative. Il fatto che un gruppo parli una lingua o usi un server in un Paese non dimostra da solo che agisca per quel governo.
Nel rapporto sull’attacco di ottobre il centro francese espone un insieme di elementi che lo porta ad attribuire l’operazione all’unità Shahid Kaveh. Questa attribuzione va riferita alle autorità che l’hanno formulata e al perimetro dell’episodio trattato. È una conclusione investigativa ufficiale, non una prova che il pubblico possa verificare indipendentemente in ogni dettaglio: parte delle informazioni usate dalle agenzie può non essere pubblica.
Per gli episodi europei di novembre, invece, la ricostruzione pubblica disponibile non consente di associare automaticamente ogni attacco alla stessa operazione francese. Le rivendicazioni online vanno trattate con cautela e confrontate con evidenze indipendenti. Un post di un gruppo che afferma «siamo stati noi» può essere un punto di partenza per l’indagine; da solo non ne è la conclusione.
I numeri, inoltre, possono riferirsi a cose diverse: siti colpiti, controllori accessibili, alimenti ritirati, macchine compromesse oppure aziende coinvolte. Un’indagine sugli apparati esposti fotografa una superficie di attacco potenziale, non il numero delle vittime effettive. Senza questa distinzione si finisce per trasformare una misura tecnica in una cifra di danni che la ricerca non ha dimostrato.
IL DATO CHE NON SI VEDE: LA CATENA DEL FREDDO
La refrigerazione non comincia e non finisce nel banco del supermercato. La catena del freddo comprende produzione, trasformazione, stoccaggio, trasporto, distribuzione e vendita. Gli obblighi e le condizioni operative dipendono dal prodotto e dal contesto. Un’interruzione in un anello può generare perdite nel successivo, anche se tutte le altre parti della filiera funzionano correttamente.
Nel negozio il primo effetto visibile può essere una temperatura anomala. Poi arrivano le decisioni: isolare la merce, controllare i registri, confrontarsi con il manutentore, documentare quanto accaduto, ripristinare l’impianto e valutare l’eventuale smaltimento. Il costo complessivo include il prodotto perso, il lavoro del personale, l’intervento tecnico, l’interruzione delle vendite e, in alcuni casi, i rapporti con assicuratori e fornitori. Ogni esercizio deve fare i conti con le proprie condizioni contrattuali e operative.
Per i piccoli operatori l’impatto può essere particolarmente difficile da assorbire. Una macelleria o un negozio indipendente non dispone necessariamente di un centro operativo di sicurezza, di personale informatico dedicato o di contratti che consentano un ripristino immediato. Eppure può utilizzare apparecchiature con funzioni di gestione remota analoghe a quelle adottate in contesti più grandi. Il livello di attenzione non dovrebbe dipendere dalla dimensione del punto vendita, ma dal ruolo che quel sistema ha per la continuità dell’attività.
CHE COSA VEDREBBE UN RESPONSABILE DELLA SICUREZZA
Mettiamoci nei panni di chi deve proteggere un’organizzazione con più negozi. Il primo lavoro è mappare le responsabilità. La rete è gestita dal reparto informatico? Il controllore appartiene al negozio, a una società di manutenzione o a un fornitore? Chi possiede l’account di amministrazione? Chi può cambiare i programmi di sbrinamento? Chi riceve gli allarmi, di giorno e di notte? E che cosa accade se la persona reperibile non risponde?
La risposta non può essere «se ne occupa qualcun altro». È normale affidarsi a un partner esterno; è meno ragionevole non sapere come quel partner entra nei sistemi o come revocare un accesso. Un accordo operativo efficace chiarisce quali interventi sono ammessi, come vengono autorizzati, quali registrazioni devono essere conservate e chi viene avvisato se compare un comportamento inatteso. Non occorre esporre pubblicamente questi dettagli: occorre che chi deve agire li conosca e li abbia verificati.
Un secondo passaggio consiste nel separare ciò che è necessario da ciò che è semplicemente rimasto aperto. Un’interfaccia amministrativa pubblica può essere stata attivata anni prima per comodità, magari in occasione di un’emergenza, e poi dimenticata. Un collegamento di servizio può essere rimasto disponibile anche dopo il cambio di fornitore. Una revisione delle connessioni deve includere questi casi storici, non soltanto i progetti più recenti.
Il terzo passaggio riguarda il monitoraggio fisico. Se l’unico allarme parte dallo stesso sistema che un aggressore può modificare, l’organizzazione dovrebbe chiedersi che cosa succederebbe se anche quell’allarme fosse alterato o non recapitato. In alcuni contesti può essere opportuno valutare misure indipendenti di rilevazione o controlli organizzativi aggiuntivi. La scelta dipende dal rischio, dalle caratteristiche dell’impianto e dalle indicazioni tecniche del produttore: non esiste una configurazione universale.
RISPOSTA ALL’INCIDENTE: I PRIMI PASSAGGI
Se si sospetta una manomissione, la priorità è proteggere persone, impianti e prodotti, coinvolgendo subito i responsabili della sicurezza alimentare e il manutentore qualificato. L’azienda deve seguire le procedure applicabili al proprio ambiente e le istruzioni delle autorità competenti. L’obiettivo iniziale è fermare l’effetto dannoso e impedire ulteriori modifiche, senza improvvisare interventi che possano peggiorare la situazione o rendere pericoloso l’impianto.
In parallelo, chi coordina la risposta deve stabilire se altri dispositivi condividano gli stessi accessi, la stessa rete o lo stesso fornitore. È importante verificare anche i parametri apparentemente normali: una modifica malevola potrebbe riguardare un programma previsto per più tardi, una soglia di allarme o un account secondario. Le verifiche devono essere condotte da persone autorizzate, con attenzione alla sicurezza operativa.
La raccolta delle evidenze va coordinata con gli specialisti. Registrazioni, orari, configurazioni, eventi di accesso, notifiche e comunicazioni del fornitore possono aiutare a ricostruire il perimetro dell’incidente. Spegnere o ripristinare un dispositivo senza un piano può cancellare tracce utili; allo stesso tempo, preservare le prove non deve ritardare una misura urgente necessaria per evitare danni fisici. È una decisione da gestire caso per caso con i tecnici e, quando necessario, con le autorità.
Prima di riportare l’impianto alla normale operatività non basta constatare che la temperatura sia scesa. Servono un controllo delle impostazioni, la verifica degli accessi, l’eliminazione della causa individuata e un piano per osservare il sistema nelle ore e nei giorni successivi. Occorre inoltre capire se la stessa configurazione vulnerabile sia presente altrove. Ripristinare un singolo punto vendita lasciando aperta la stessa via d’accesso negli altri significherebbe risolvere il sintomo e conservare il problema.
LA SICUREZZA DEI FORNITORI È PARTE DELLA SICUREZZA DEL NEGOZIO
Un supermercato può non aver scritto una sola riga del software che governa i suoi banchi frigoriferi. Può aver acquistato l’impianto da un’azienda, affidato la manutenzione a un’altra e usare una connessione gestita da un terzo soggetto. Per questo la domanda «chi è responsabile?» non trova sempre una risposta in un solo ufficio. Le responsabilità vanno chiarite prima dell’incidente, quando c’è il tempo di leggere contratti e verificare processi.
Tra le domande concrete da porre ai fornitori: quali accessi remoti sono attivi? Sono personali o condivisi? Quando sono stati verificati l’ultima volta? Come vengono revocati? Quali aggiornamenti sono applicabili al modello installato? Quanto tempo richiede un intervento urgente? Chi riceve e controlla gli allarmi? Esiste una procedura per operare in sicurezza se la connettività viene interrotta?
Un buon contratto non sostituisce una verifica tecnica e un certificato non dimostra automaticamente che ogni singola installazione sia configurata correttamente. Serve un dialogo continuo tra chi conosce la rete, chi conosce l’impianto, chi gestisce il punto vendita e chi risponde della continuità. L’obiettivo non è trasformare il frigorista in un investigatore informatico, ma assicurarsi che sappia chi chiamare e che gli accessi di cui ha bisogno siano governati.
IL RUOLO DEGLI ALLARMI E DELLE PERSONE
Un sensore può rilevare una temperatura fuori soglia, ma il sistema complessivo funziona soltanto se qualcuno riceve l’avviso, lo comprende e può intervenire. Un allarme inviato a un indirizzo email non più controllato è un messaggio che esiste tecnicamente e fallisce praticamente. Una notifica che si perde tra centinaia di segnalazioni simili rischia la stessa sorte.
La progettazione degli allarmi deve tenere conto degli orari di chiusura, dei turni, delle ferie e dei canali alternativi. Può essere utile esercitarsi su uno scenario: arriva una segnalazione alle due di notte, il primo referente non risponde e il manutentore non riesce a collegarsi. Chi prende la decisione successiva? Quali informazioni servono? Dove si trovano? Una prova di questo tipo spesso rivela problemi organizzativi che nessuna scansione automatica può individuare da sola.
La formazione del personale ha un valore concreto quando aiuta a riconoscere anomalie senza chiedere a tutti di diventare esperti di sicurezza. Un addetto deve sapere che cosa fare se il display mostra valori inattesi, se un impianto si comporta in modo anomalo o se riceve una richiesta insolita di cambiare impostazioni. Deve anche sapere quali verifiche non tentare da solo e quale canale usare per contattare rapidamente chi può intervenire.
DAI SUPERMERCATI AGLI ALTRI AMBIENTI
La refrigerazione riguarda anche depositi, trasporti, laboratori e strutture sanitarie. Questo non significa che ogni frigorifero sia esposto a Internet o che tutti i sistemi possano essere colpiti nello stesso modo. Significa che, dove un processo fisico è controllato da dispositivi collegati, è ragionevole domandarsi chi possa accedervi e quali conseguenze avrebbe una modifica non autorizzata.
In un ospedale, per esempio, l’eventuale problema di una conservazione fuori specifica richiede procedure e valutazioni proprie della struttura e del materiale coinvolto. Non sarebbe corretto dedurre da un incidente nel commercio alimentare che prodotti sanitari siano stati danneggiati altrove. È corretto, invece, chiedersi se esistano inventari, allarmi, accessi sicuri e piani di continuità proporzionati all’importanza di ciò che viene conservato.
Lo stesso ragionamento vale per altri sistemi fisici: ventilazione, trattamento dell’acqua, controllo degli accessi e gestione dell’energia. Ciascun ambito ha rischi, norme e procedure propri. Il filo comune è la dipendenza da componenti digitali che per anni sono stati considerati semplicemente attrezzature tecniche, anche quando erano raggiungibili attraverso reti esterne.
CHE COSA SAPPIAMO E CHE COSA RESTA APERTO
Sappiamo che nell’ottobre 2026 numerosi sistemi di refrigerazione furono compromessi in Francia e che le autorità francesi hanno attribuito quell’attacco a un’unità affiliata ai Guardiani della rivoluzione iraniani. Sappiamo che all’inizio di novembre si verificarono ulteriori episodi in diversi Paesi europei e che alcune autorità e ricercatori hanno raccomandato di rimuovere o proteggere le interfacce esposte. Sappiamo anche che i dettagli cambiano da impianto a impianto.
Non sappiamo, sulla sola base di questi elementi, che ogni dispositivo citato nelle allerte sia stato violato. Non possiamo attribuire automaticamente tutti gli episodi di novembre allo stesso autore di ottobre. Non possiamo ricostruire la sequenza precisa di accesso di ciascuna vittima senza i rispettivi accertamenti. E non possiamo dedurre da un elenco di apparati visibili online il numero dei dispositivi effettivamente compromessi.
Queste cautele non sminuiscono la gravità dell’accaduto. Al contrario, permettono di concentrarsi su ciò che le prove mostrano e sulle misure che possono essere adottate. Una ricostruzione affidabile non ha bisogno di riempire ogni vuoto con una supposizione: può dichiarare apertamente quali domande sono ancora senza risposta.
LA DOMANDA DA PORTARE A CASA
Quando pensiamo a un attacco informatico immaginiamo spesso password rubate, documenti cifrati o siti fuori servizio. Qui la conseguenza passa da un’interfaccia di gestione a un comando, dal comando a un impianto, dall’impianto a una variazione di temperatura, e da lì al lavoro delle persone e alla merce da proteggere. Il percorso non è astratto: un errore o una manomissione possono produrre un effetto misurabile nel mondo fisico.
La domanda da porre a chi gestisce un sistema collegato è semplice, anche se la risposta richiede lavoro: sappiamo chi può modificarlo, da dove, con quali controlli e con quale possibilità di accorgercene? Nel caso dei congelatori, la risposta si misura in tempo, sicurezza e continuità del servizio. E qualche volta anche in tonnellate di cibo.
FONTI E APPROFONDIMENTI
CERT-FR, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, prima pubblicazione 12 ottobre 2026, aggiornamento 16 ottobre 2026: https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012
Centro francese di coordinamento delle crisi cyber, rapporto sull’attribuzione dell’attacco ai controllori di refrigerazione, novembre 2026: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-009.pdf
Reuters, attacchi ai sistemi di refrigerazione europei e avviso dell’autorità tedesca, 13 novembre 2026: https://www.reuters.com/world/german-watchdog-warns-some-cooling-systems-remain-vulnerable-hacking-2026-11-13/
Unit 42, analisi degli attacchi ai sistemi di refrigerazione europei: https://unit42.paloaltonetworks.com/europes-refrigeration-systems-attacks/
Censys, osservazione dell’esposizione dei controllori su Internet: https://censys.com/blog/european-refrigeration-controller-exposure-sitrep
Quadro delle informazioni verificato il 14 novembre 2026.