Indice
- Cosa è successo: l’attacco ai supermercati europei
- Anche l’Italia: Sicilia e allerta ACN
- Come hanno fatto a entrare nei frigoriferi?
- Le vulnerabilità del Danfoss AK-SM 800A
- Perché i frigoriferi si sono “cucinati”: l’abuso dello sbrinamento
- Chi c’è dietro? Per ora nessuno lo sa
- Il vero problema non è tecnico
- Cosa dovrebbero fare adesso supermercati e catene
- Non solo frigoriferi
- Cosa sappiamo / Cosa non sappiamo
- Domande frequenti sui frigoriferi hackerati
In decine di supermercati tra Anversa, Malmö e Catania il personale ha aperto i congelatori e ha trovato aria calda, non fredda. Niente guasto, niente blackout: qualcuno da remoto aveva deciso che quella notte i frigoriferi dovevano scaldare.
La sintesi migliore l’ha data Davide Casalini nella sua analisi pubblicata online ([nome della pubblicazione]): nessuno ha “hackerato un frigorifero”. Hanno fatto login. Ed è esattamente questo che rende la storia più inquietante di un film con gli hacker incappucciati.
Cosa è successo: l’attacco ai supermercati europei
L’ondata è esplosa nella notte tra domenica 1 e lunedì 2 novembre 2026 e ha attraversato Svezia, Belgio, Lussemburgo, Irlanda, Paesi Bassi, Finlandia ed Estonia. Le temperature di frigoriferi e congelatori sono state alzate di colpo, in certi casi fino a 50 °C, e la merce è andata a male.
Sono stati coinvolti più di 100 punti vendita. In Belgio hanno avuto problemi punti vendita Delhaize, circa 15 Carrefour e cinque Spar del gruppo Colruyt; in Irlanda 13 SuperValu; in Svezia ICA e Coop; in Finlandia alcuni negozi K-Group. Una macelleria nei pressi di Anversa ha buttato carne per circa 15.000 euro.
Anche l’Italia: Sicilia e allerta ACN
Tra Palermo, Catania e Ragusa gli episodi sarebbero almeno 12, con attacchi confermati su supermercati affiliati Coop. L’Agenzia per la cybersicurezza nazionale ha diramato un’allerta alla grande distribuzione.
Non è nemmeno la prima volta. L’11 ottobre 2026 qualcuno era entrato nei controller di refrigerazione di circa 700 supermercati francesi (tra i marchi coinvolti Intermarché, Netto, Coopérative U, Carrefour, Monoprix e Leclerc), con perdite di cibo e, in alcuni casi, principi di incendio. Il Pentagono, intanto, verifica sospetti attacchi simili a sei spacci militari statunitensi.
Come hanno fatto a entrare nei frigoriferi?
Ogni banco frigo o cella ha un proprio regolatore. Sopra di loro c’è il system manager, una scatoletta con un piccolo server web integrato che coordina tutti i regolatori del negozio, programma lo sbrinamento, raccoglie misure e allarmi e li inoltra. Serve al manutentore per intervenire da remoto, senza mandare un tecnico alle quattro del mattino.
Nei casi finora documentati si parla di apparati Danfoss delle serie AK-SM 800, AK-SM 800A e dei più vecchi AK-SC255/355. Il CERT francese ha confermato compromissioni anche su sistemi Copeland XWEB e Dixell XWEB.
Il problema è che migliaia di questi apparati erano raggiungibili direttamente da internet, senza VPN né segmentazione di rete. Secondo Censys, 2.765 AK-SM 800A risultavano esposti, e per trovarli bastava una ricerca su Shodan o Censys. Più che un colpo di genio, è un giro di citofono.
Le vulnerabilità del Danfoss AK-SM 800A
I ricercatori di Claroty Team82 hanno individuato tre vulnerabilità nell’interfaccia web dell’AK-SM 800A. La più curiosa è la CVE-2025-41450: un meccanismo nascosto di autenticazione “code-of-the-day”, in cui il controller genera ogni giorno una password legata alla data. I ricercatori ne hanno ricostruito l’algoritmo.
Le altre due falle sono una command injection e un controllo esterno della configurazione. Concatenate, permettono un accesso amministrativo completo da remoto senza conoscere nessuna password.
Le patch esistono dal 2025 (firmware R4.2 e R4.3.1), ma coprono solo l’AK-SM 800A. Il vecchio AK-SM 800 è stato dichiarato a fine vita nel 2021 e non riceve più correzioni. Danfoss, non a caso, ha spiegato che i sistemi colpiti avevano firmware obsoleto o erano fuori supporto.
Una precisazione di onestà: il vettore d’ingresso preciso non è stato pubblicato ufficialmente. I “report tecnici” che parlano di credenziali admin/admin o di registri Modbus sono, per ora, ipotesi non confermate.
Perché i frigoriferi si sono “cucinati”: l’abuso dello sbrinamento
Una volta dentro con privilegi da amministratore, gli aggressori non hanno dovuto inventare nulla. Hanno riconfigurato il ciclo di sbrinamento, la funzione che scioglie il ghiaccio sull’evaporatore con resistenze o gas caldo per pochi minuti. Invece di brevi cicli, hanno imposto uno sbrinamento continuo per ore, portando le unità fino a 50 °C. Un frigo che si comporta da forno, con gli incendi francesi come conseguenza estrema.
Secondo le ricostruzioni hanno anche allungato i tempi dopo i quali gli allarmi sarebbero scattati. In alcuni impianti la temperatura è salita per sei ore prima che qualcuno se ne accorgesse. Il tutto verso le 4 di notte, a negozi chiusi.
Chi entra da un pannello esposto con credenziali valide lascia pochissime tracce nei log, e uno sbrinamento anomalo è quasi indistinguibile da un guasto. Aggiungiamo che la responsabilità è spezzettata tra catena, installatore e produttore, e si capisce perché sei giorni dopo l’attacco francese i controller coinvolti comparivano ancora sulla rete pubblica.
Chi c’è dietro? Per ora nessuno lo sa
Non ci sono rivendicazioni. La portavoce del Centro belga per la cybersicurezza ha detto che il responsabile non è noto e potrebbe non essere mai identificato. Un ricercatore di SentinelOne ha ricordato che attacchi simili sono tipicamente legati a estorsione, motivi politici o attori statali. Svezia e Belgio hanno aperto indagini.
Il vero problema non è tecnico
Qui l’analisi di Casalini è quella che resta in testa: il punto debole non era un bug, era che nessuno aveva il compito di chiuderlo. Nella GDO la refrigerazione è quasi sempre in mano a terzi. L’installatore monta la centralina, il produttore pubblica gli aggiornamenti, la catena paga il canone.
Chi controlla che il pannello non sia visibile da internet? Spesso nessuno, perché la refrigerazione è “impianti”, non “IT”, e sfugge ai controlli che si applicano a casse e gestionali.
Ne esce un parco macchine pensato quindici anni fa per lavorare isolato, collegato alla rete per comodità e mai più ripensato. Con una conseguenza concreta: la direttiva NIS2, recepita in Italia nel 2024, include la distribuzione alimentare tra i settori con obblighi di sicurezza. Non è più soltanto buon senso.
Cosa dovrebbero fare adesso supermercati e catene
Le indicazioni pratiche sono cinque e nessuna richiede tecnologia nuova.
La prima è l’inventario: sapere quali apparati dei punti vendita hanno un indirizzo IP (refrigerazione, climatizzazione, controllo accessi, BMS, insegne). Se la lista non esiste, si parte da lì.
La seconda è la verifica dell’esposizione: controllare su Shodan o Censys quali apparati sono raggiungibili da internet richiede poche ore. Tutto ciò che serve al manutentore deve passare da VPN o da un accesso segmentato, mai da un pannello aperto.
Terza voce, aggiornamenti e fine vita: chi applica le patch, entro quanto tempo, e chi controlla? Un apparato fuori supporto non è un risparmio, è un rischio da mettere a bilancio.
Quarta, i contratti. Il capitolato con il manutentore deve prevedere obblighi di sicurezza, tempi di aggiornamento e responsabilità in caso di incidente. Se non lo fa, il prossimo rinnovo è l’occasione.
Quinta, allarmi indipendenti e piano di risposta: sonde di temperatura con allerta notturna che non passino dalla stessa centralina, e una procedura chiara su chi chiamare alle 4 del mattino, dove trovare camion frigo e come documentare lo smaltimento ai fini HACCP e assicurativi.
Non solo frigoriferi
Lo stesso schema (una centralina raggiungibile da internet, installata da un fornitore esterno e mai più aggiornata) governa magazzini del freddo, frigo dei farmaci, climatizzazione delle sale operatorie, raffreddamento dei data center, impianti di hotel e aeroporti, piccoli acquedotti comunali, inverter fotovoltaici, colonnine di ricarica, ventilazione di stalle e serre, fino alle sonde dei serbatoi dei distributori di carburante.
Un comando sbagliato qui non cancella dati: ferma un servizio, distrugge un prodotto o mette a rischio persone e animali. E più l’impianto è piccolo e diffuso, meno è probabile che qualcuno lo stia guardando.
La domanda per chi gestisce punti vendita, dunque, non è “potrebbe succedere a noi?”, ma “chi, da noi, saprebbe rispondere entro un’ora a queste cinque domande?”.
Cosa sappiamo / Cosa non sappiamo
Cosa sappiamo
- Attacco nella notte tra l’1 e il 2 novembre 2026, con più di 100 supermercati colpiti in cinque Paesi europei
- Temperature portate fino a 50 °C abusando del ciclo di sbrinamento
- Casi anche in Sicilia, con almeno 12 punti vendita (supermercati affiliati Coop); ACN ha emesso un’allerta
- Controller Danfoss coinvolti anche nell’attacco francese di ottobre, con firmware obsoleto o fuori supporto
- 2.765 AK-SM 800A risultavano esposti su internet secondo Censys
- Tre vulnerabilità documentate da Claroty Team82, tra cui CVE-2025-41450; patch disponibili dal 2025 solo per l’AK-SM 800A
Cosa non sappiamo
- Chi ha organizzato l’attacco e con quale obiettivo
- Il vettore d’ingresso esatto: non è stato pubblicato ufficialmente
- Se gli attacchi di ottobre e novembre siano opera dello stesso attore
- Quanti altri apparati restino esposti in Italia
Domande frequenti sui frigoriferi hackerati
Sono entrati nei controller di refrigerazione collegati a internet, in molti casi con firmware vecchio, e hanno imposto un ciclo di sbrinamento continuo che ha scaldato le unità fino a 50 °C.
Soprattutto controller Danfoss (serie AK-SM e AK-SC), ma il CERT francese ha confermato compromissioni anche su sistemi Copeland XWEB e Dixell XWEB.
Sì: almeno 12 punti vendita tra Palermo, Catania e Ragusa, con attacchi confermati su supermercati affiliati Coop. L’Agenzia per la cybersicurezza nazionale ha emesso un’allerta alla GDO.
Con un inventario degli apparati connessi, accessi remoti solo via VPN, aggiornamenti verificati, contratti con obblighi di sicurezza e allarmi di temperatura indipendenti dalla centralina.
