11/11/2026

digital

Attacchi ai supermercati europei: vulnerabilità dei sistemi di refrigerazione

Singha (Acronis TRU): le catene hanno subito danni fisici e perdite economiche per la manipolazione dei controller Danfoss

Gli attacchi ai supermercati europei dimostrano come la compromissione della tecnologia operativa possa causare danni fisici ed economici rilevanti. In Francia, gli aggressori avrebbero manipolato i controllori di refrigerazione *Danfoss per forzare cicli di sbrinamento continui, con temperature che in alcuni punti vendita hanno raggiunto i 50°C. Centinaia di negozi sono stati colpiti, le scorte alimentari sono andate distrutte e in alcuni casi sono stati segnalati piccoli incendi. Intermarché ha stimato perdite nell’ordine di decine di milioni di euro in un solo giorno, senza che sia stata resa pubblica alcuna richiesta di riscatto legata agli attacchi ai sistemi di refrigerazione.*

L’attività segnalata si è estesa oltre la Francia: Félix Aimé di Sekoia ha individuato impatti in altri Paesi europei come Spagna, Portogallo e Polonia. Nello stesso periodo, Ahold Delhaize ha subito un distinto incidente di sicurezza informatica, mettendo offline i sistemi in Europa e negli Stati Uniti. I disservizi sono proseguiti anche nella seconda settimana, con ripercussioni su e-commerce, accesso ai programmi fedeltà e altri servizi. Questi episodi mostrano quante dipendenze operative possano essere colpite dagli attaccanti all’interno dello stesso settore.

Dal punto di vista della threat intelligence, l’esposizione delle interfacce di gestione della refrigerazione è particolarmente rilevante. Claroty Team82 aveva pubblicato in agosto, due mesi prima degli attacchi, un’analisi tecnica sulle vulnerabilità dei controllori Danfoss AK‑SM 800A. La CVE-2025-41450 interessa il firmware precedente alla versione R4.2 e consente di aggirare la normale autenticazione tramite un meccanismo di “code‑of‑the‑day”. In combinazione con la CVE-2025-41451, una vulnerabilità di command injection legata a un campo password SMTP non sanificato, può offrire un percorso verso l’esecuzione di codice da remoto senza conoscere le credenziali dell’amministratore. Claroty ha individuato, tramite Censys, oltre 2.700 interfacce accessibili pubblicamente, mentre altre fonti hanno citato più di 4.500 interfacce Danfoss visibili su Shodan. Questi dati delineano un possibile percorso di attacco, ma non confermano con quali modalità siano stati compromessi i negozi colpiti.

Gli incidenti sollevano inoltre interrogativi sulla attribuzione delle responsabilità delle apparecchiature connesse fra retailer, installatori di impianti frigoriferi e produttori. Danfoss ha dichiarato che tra i dispositivi interessati figuravano prodotti legacy non più soggetti ad aggiornamenti di sicurezza, oltre a prodotti supportati con firmware obsoleto. Per i sistemi supportati erano disponibili aggiornamenti, mentre le apparecchiature più datate richiedevano una migrazione o altre misure di protezione. Le organizzazioni devono individuare un responsabile chiaro per monitorare questi requisiti e fare in modo che le apparecchiature gestite da un fornitore esterno rientrino nel perimetro di controllo della sicurezza.

L’applicazione delle patch deve essere accompagnata da controlli sull’esposizione di rete e sugli accessi remoti. Le interfacce di gestione della refrigerazione non dovrebbero essere raggiungibili direttamente da Internet, nemmeno quando i fornitori hanno bisogno di accesso remoto per la manutenzione. Una regola di port forwarding introdotta per un intervento di assistenza può restare attiva a tempo indeterminato se nessuno ha il compito di verificarla. Le indicazioni del CERT‑FR danno priorità alla rimozione dell’esposizione diretta a Internet, alla verifica delle configurazioni dei dispositivi e al ripristino dell’accesso tramite VPN sicura o rete protetta, insieme agli aggiornamenti del firmware e alle impostazioni di sicurezza appropriate.

Anche la pianificazione della business continuity deve tenere conto dei processi fisici controllati da questi sistemi. I piani incentrati sul ripristino dei servizi IT e dei dati possono lasciare lacune quando un attaccante modifica le impostazioni di refrigerazione e le scorte iniziano a deteriorarsi. Le organizzazioni dovrebbero definire procedure per isolare in sicurezza le apparecchiature coinvolte, verificare le impostazioni di controllo e mantenere il monitoraggio della temperatura quando la gestione remota non è disponibile. Il personale e i fornitori di impianti frigoriferi devono conoscere tali procedure ed essere in grado di applicarle durante un incidente.
Per i retailer che utilizzano sistemi connessi di refrigerazione, HVAC, building management o controllo industriale, la priorità immediata è stabilire se questi asset siano presenti nell’inventario, chi li gestisce e come sia possibile accedervi da remoto. Un processo di patching può proteggere, infatti, solo le apparecchiature che rientrano nel proprio perimetro, senza contare che i piani di continuità devono considerare le conseguenze operative in caso di compromissione di tali apparecchiature.

Subhajeet Singha, Researcher di Acronis TRU