Frigoriferi hackerati in Francia: almeno 350 negozi, nessun riscatto

Dopo la notte tra l’11 e il 12 ottobre, nel retro di un supermercato di Parigi, il personale ha portato ai cassonetti carne ormai da buttare e pacchi di surgelati, come ha raccontato Reuters. Sono i frigoriferi hackerati di centinaia di negozi francesi. Qualcuno, da lontano, ha forzato lo sbrinamento, e a negozi chiusi i banchi si sono scaldati fino a circa 50 gradi.

Le catene coinvolte sono Intermarché (con il marchio Netto), Coopérative U, Carrefour, Monoprix ed E.Leclerc. Il numero dei negozi dipende da chi fa i conti: Reuters scrive di almeno 350 supermercati, altre ricostruzioni superano i 500. L’indagine è della procura di Parigi, che segnala anche principi d’incendio in alcuni punti vendita. Le catene parlano di milioni di euro di merce persa.

Come si scaldano da lontano i frigoriferi hackerati?

Il banco frigo di un supermercato risponde a un controller: una scatola con un piccolo computer dentro, di solito nel retrobottega, che regola la temperatura. Si collega alla rete perché la manutenzione possa guardarlo da lontano. Chi ha attaccato ha cambiato le impostazioni e ha avviato cicli di sbrinamento prolungati. Lo sbrinamento è la fase in cui il banco si scalda di proposito per sciogliere il ghiaccio, e in condizioni normali dura poco. Un congelatore sta di norma a meno 18 gradi, quindi salire fino a 50 vuol dire 68 gradi di scarto in una notte.

Il freddo di un supermercato dipende da una scatola collegata a internet.

Secondo Al Jazeera, l’agenzia francese per la sicurezza informatica (ANSSI) ha indicato come coinvolti i regolatori AK-SM 800 e AK-SC 355 dell’azienda danese Danfoss. Ha citato anche software di Copeland e Dixell: la storia ha dunque più di un fornitore dentro.

Perché quei controller erano raggiungibili da internet

Danfoss ha detto che molte delle unità colpite sono prodotti a fine vita o con firmware (il software che sta dentro l’apparecchio) non aggiornato. Aveva già consigliato di aggiornare o di passare a sistemi più recenti. Il quadro si complica con l’AK-SM 800A, un modello attuale che secondo Reuters rientra tra quelli coinvolti con firmware vecchio. I ricercatori di Claroty ne avevano documentato le falle, tra cui una password di amministrazione ricavata dalla data del giorno (CVE-2025-41450, Refindustry). Il firmware che le chiude, la versione R4.3.1, esisteva già. Quando le falle sono state rese pubbliche, una scansione di Censys aveva trovato 2.765 di questi controller esposti a internet.

Quale falla abbia usato chi ha attaccato, per ora non risulta. Secondo 3 esperti sentiti da Reuters l’operazione sembra facile da realizzare. Onyphe, società francese che scansiona la rete, calcola che solo una piccola minoranza dei dispositivi visibili da internet usa l’ultima versione del software.

Chi c’è dietro: per ora nessuno

Nessun gruppo ha rivendicato e nessuno ha chiesto un riscatto, circostanza che secondo una fonte vicina all’indagine ha sorpreso gli investigatori. Senza una firma le ipotesi sono tante. Ken Munro, di Pen Test Partners, parla di igiene informatica di base e pensa che gli autori potrebbero essere ragazzi che combinano marachelle. Poi c’è sempre la pista del “cattivone straniero”, eh: Futura Sciences ricorda che collettivi filorussi si sono vantati di accedere a telecamere di negozi francesi, senza portare prove. Nel caso, che c’entrano i frigoriferi? Vabbè. La bassa sofisticazione tecnica tiene aperta anche la pista di attori opportunisti.

Il precedente più vicino arriva dagli Stati Uniti: a fine agosto i congelatori di più di 6 spacci militari hanno avuto problemi di refrigerazione. Il Pentagono ha detto di non voler fare ipotesi sulla causa e non ha chiarito se i casi siano collegati (Military Times). Sempre secondo Futura Sciences, Danfoss aveva documentato già nel 2022 attacchi contro 16 supermercati russi e 40 negozi israeliani. Lo stesso lunedì Ahold Delhaize ha dichiarato un incidente di sicurezza informatica, e nessuna prova lo collega ai frigoriferi.

Un vettore simile lo avevamo raccontato nell’aprile 2025, in un pezzo su come dietro certi attacchi hacktivisti ci siano degli Stati. Tra gli esempi c’erano i sistemi idrici americani violati a fine 2023, probabilmente con password predefinite su controller esposti a internet.

Cosa chiede l’agenzia francese, e da quanto lo si sa

Secondo Reuters il CERT-FR, la squadra di pronto intervento informatico dello Stato, ha chiesto agli operatori di scollegare i controller AK-SM e AK-SC da internet o di filtrare con rigore chi può accedervi. Il direttore dell’ANSSI, Vincent Strubel, ha definito il passo urgente. Il 14 marzo 2023, in un nostro elenco di 5 minacce informatiche, l’internet delle cose stava al quarto posto. I rimedi indicati erano 2: aggiornare con regolarità firmware e software, e cambiare le password predefinite.

A settembre scrivevamo che prevenire un disastro lascia poche tracce nei conti. Un aggiornamento installato in tempo si perde tra le spese di manutenzione, mentre i banchi a 50 gradi di almeno 350 negozi finiscono in ogni bilancio.

I frigoriferi hackerati di Parigi hanno mandato in cassonetto carne e surgelati. Martedì 13 ottobre, intanto, Reuters ha contato almeno 4.500 interfacce di gestione Danfoss ancora visibili da internet. Come si dice? To be continued: ma è già un “cold case”, visto l’elettrodomestico coinvolto.