In sintesi
- Due ondate di attacchi hanno manomesso da remoto i frigoriferi di centinaia di supermercati europei: 11-12 ottobre in Francia, notte tra l’1 e il 2 novembre in altri Paesi.
- In Francia le temperature sono salite fino a 50 °C, con merce da buttare e danni per decine di milioni di euro.
- Nel mirino i controllori Danfoss AK-SM e AK-SC e i supervisori Copeland e Dixell xweb, in gran parte modelli a fine vita.
- In Italia l’ACN ha allertato la grande distribuzione e segue due casi: un’azienda toscana e un’impresa emiliana.
- Non è noto come siano entrati gli attaccanti né chi ci sia dietro.
- Cosa fare subito: togliere i controllori da Internet, controllare i parametri, riaprire l’accesso solo con VPN e MFA, pianificare la sostituzione dei modelli obsoleti.
Attacco hacker ai supermercati: frigoriferi manomessi in Europa, allerta anche in Italia
Aggiornato al 3 novembre 2026
Attacco alla catena del freddo: cosa è successo
Due ondate di attacchi hacker in tre settimane hanno manomesso da remoto i controllori di refrigerazione di centinaia di supermercati europei. Il bersaglio non erano i dati, ma la temperatura.
La prima è dell'11-12 ottobre, in Francia. Intermarché, Netto, Coopérative U, Leclerc, Carrefour e Monoprix hanno trovato i banchi frigo in sbrinamento forzato, con temperature fino a 50 °C. Il lunedì mattina c'erano tonnellate di merce da buttare e danni di decine di milioni di euro. Il ministro delle Finanze Roland Lescure ha parlato di circa 700 supermercati su 10.000, secondo AP; Open ne contava circa cinquecento.
La seconda è della notte tra l'1 e il 2 novembre. Secondo l'ACN gli attacchi ai sistemi della catena del freddo riguardano operatori di Belgio, Lussemburgo, Irlanda, Paesi Bassi, Lettonia, Finlandia e Svezia; altre fonti aggiungono l'Estonia.
Il filo comune sono i controllori di refrigerazione. Il CERT-FR, il centro di risposta agli incidenti dell'agenzia francese ANSSI, ha confermato numerose compromissioni dei Danfoss AK-SM e AK-SC e dei supervisori Copeland e Dixell xweb. Danfoss precisa che la maggior parte delle unità colpite in Francia era a fine vita e non riceveva più aggiornamenti.
In Italia
Il quadro italiano, per ora, è limitato ma reale. Il 2 novembre l'ACN ha richiamato gli operatori di grande distribuzione, logistica alimentare, refrigerazione industriale e manutenzione alle misure già indicate dopo gli incidenti in Francia. L'Agenzia ha ricevuto la notifica di un incidente da un'azienda toscana della ristorazione collettiva e ha rilevato, senza notifica, un attacco a un'impresa emiliana dei surgelati.
Il monitoraggio è stato intensificato e per il 3 novembre è previsto un incontro con le federazioni di settore e le principali aziende della grande distribuzione. Le indicazioni tecniche sono nel bollettino «Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo», pubblicato il 13 ottobre.
Il direttore generale del gruppo Radenza, che gestisce supermercati a marchio Coop, ha segnalato attacchi ai sistemi di refrigerazione in almeno tre punti vendita a Catania e uno a Palermo, secondo La Nazione. Non compaiono nel comunicato dell'ACN. La polizia postale sta ricostruendo origine ed entità degli episodi, e Palazzo Chigi ha convocato una riunione con il direttore dell'ACN e i vertici dell'intelligence.
Cosa si sa della vulnerabilità, e cosa no
Le falle note sono state corrette. Il modo in cui gli attaccanti sono entrati non è stato reso pubblico.
Ad agosto i ricercatori di Claroty (Team82) hanno descritto tre vulnerabilità del controllore AK-SM 800A: un bypass dell'autenticazione (CVE-2025-41450, corretto dalla build 4.2), un'esecuzione di comandi dopo l'autenticazione (CVE-2025-41451) e un blocco del servizio web (CVE-2025-41452). Le ultime due sono corrette dal firmware R4.3.1. La stessa ricerca contava 2.765 interfacce di gestione raggiungibili da Internet in una scansione Censys.
Il CERT-FR non indica una vulnerabilità: parla di numerose compromissioni e ricorda che esporre un'interfaccia di gestione su Internet è contrario alle buone pratiche. Danfoss, dal canto suo, dice che le unità colpite erano per lo più prodotti a fine vita, senza più aggiornamenti.
Restano aperti tre punti: quale falla o credenziale sia stata usata, chi ci sia dietro e se le due ondate siano collegate. Non risultano rivendicazioni né richieste di riscatto, secondo una fonte di Reuters citata da Euronews. L'agenzia olandese NCSC, inoltre, non vedeva legami tra l'incidente di Ahold Delhaize e l'attacco francese di ottobre.
Cosa fare subito
Cinque azioni, in quest'ordine, valgono per ogni impianto di refrigerazione o climatizzazione gestito da remoto.
- Censire. Elenca i controllori (AK-SM, AK-SC, xweb e simili), il modello, il firmware e il modo in cui sono raggiunti da remoto.
- Togliere l'esposizione. Nessuna interfaccia di gestione su un IP pubblico. Il CERT-FR chiede di controllare le condizioni dell'assicurazione prima di interrompere il collegamento dati con il frigorista.
- Controllare la configurazione. Verifica tutti i parametri, in particolare le fasce di sbrinamento.
- Riaprire l'accesso solo in modo protetto. VPN sicura o rete protetta; in emergenza, il filtro sugli IP dei frigoristi, ma mai come soluzione stabile. Poi firmware aggiornato, livello di sicurezza «Strict» e password predefinite cambiate.
- Pianificare la sostituzione dei modelli a fine vita. Per il CERT-FR, lasciare in rete un apparato senza correzioni gli dà una probabilità molto alta di essere compromesso, e un ripristino di fabbrica da solo non basta.
In caso di sospetta compromissione, conserva i log e segnala l'incidente al CSIRT Italia.
Per andare oltre il primo intervento c'è la guida pratica sulla separazione degli ambienti, da scaricare: [Guida: separare gli ambienti per ridurre l'esposizione in rete](Guida in allegato).
Il punto di vista del CISO
Il danno è stato fisico, la causa è di perimetro.
Un controllore raggiungibile da Internet fa il lavoro di un boccaporto lasciato aperto: finché il mare è calmo nessuno si ricorda che c'è. Stavolta a pagare è stata la merce, non i dati, e Open segnala che il nodo delle assicurazioni sarà tra i più delicati, perché non coprono questo tipo di incidente.
Tre cose lasciano il segno.
La prima: l'impianto non è «solo tecnico». Un controllore a fine vita, senza più aggiornamenti, è un rischio da registrare, con un responsabile e una data di sostituzione, come qualunque altro asset critico.
La seconda: i fornitori. Il frigorista che assiste l'impianto da remoto ha le chiavi di casa. Chi non sa dire chi può entrare, da dove e quando, non ha ancora un perimetro.
La terza: per i soggetti NIS la scadenza del 31 ottobre sulle misure di base è appena passata. Quelle misure (Determinazione ACN 379907/2025) comprendono inventario dei beni, controllo degli accessi e sicurezza dei fornitori, e valgono anche per gli impianti.
Una domanda da portare in riunione: quanti dei nostri impianti si possono raggiungere da Internet, e chi lo sa con certezza?
Fonti
- ANSA, «Attacchi hacker ai supermercati, alert Agenzia cyber in Italia», 2 novembre 2026
- Open, «L'attacco hacker ai frigoriferi dei supermercati francesi», 13 ottobre 2026
- CERT-FR, alert CERTFR-2026-ALE-012, 12-16 ottobre 2026
- Claroty Team82, «Freeze the Controller, Defrost the Food», 9 agosto 2026
- Studio Quality, sintesi del bollettino ACN AL04/261013/CSIRT-ITA
- Euronews, 14 ottobre 2026
- AP, «Cyberattack targeting refrigeration systems hits 700 supermarkets», 13 ottobre 2026
- La Nazione, segnalazioni a Catania e Palermo, 2 novembre 2026
Materiali da scaricare
Domande frequenti
Come hanno attaccato i frigoriferi dei supermercati?
Gli attaccanti hanno manomesso da remoto i controllori di refrigerazione, avviando lo sbrinamento forzato dei banchi frigo e portando le temperature fino a 50 °C. In Francia, l’11-12 ottobre, centinaia di supermercati hanno dovuto buttare la merce. Il modo in cui sono entrati non è stato reso pubblico.
L’attacco ai frigoriferi dei supermercati ha colpito anche l’Italia?
Sì, in misura limitata. Il 2 novembre l’ACN ha ricevuto la notifica di un incidente da un’azienda toscana della ristorazione collettiva e ha rilevato un attacco a un’impresa emiliana dei surgelati. L’Agenzia ha allertato la grande distribuzione e ha intensificato il monitoraggio. Segnalazioni in Sicilia, non presenti nel comunicato ACN, sono in verifica.
Cosa deve fare chi gestisce impianti di refrigerazione connessi a Internet?
Per prima cosa elencare i controllori e togliere ogni interfaccia di gestione da Internet. Poi controllare i parametri, in particolare le fasce di sbrinamento, e riaprire l’accesso solo tramite VPN sicura con autenticazione a più fattori. Infine pianificare la sostituzione dei modelli a fine vita, che non ricevono più aggiornamenti di sicurezza.