Cyril Scheubel dirige un Intermarché vicino a Digione e sostiene che i dati del suo negozio fossero ben protetti. L’attacco hacker ai frigoriferi della notte tra l’11 e il 12 ottobre ha colpito, parole sue, l’unico punto vulnerabile che avevano. Quel punto era un regolatore di temperatura collegato a internet. Nel giro di poche ore ha spinto i congelatori fino a 50 gradi, in circa 700 supermercati francesi su 10.000. Da allora ne sono arrivati altri, in mezza Europa, e a leggere buona parte dei titoli la parola scelta è già una sola: guerra.
Provo a fare ciò che di solito nessuno ha il tempo di fare: mettere in fila i fatti accertati, quelli che dipendono da una fonte sola e quelli che ancora non esistono, per vedere se l’etichetta di guerra ibrida regge. Le stime a range sono mie e le trovate più sotto. La premessa è semplice: l’attacco hacker ai frigoriferi è reale e ripetuto, e tutto il dibattito riguarda il chi.
Cosa è successo ai frigoriferi di Intermarché e Coopérative U
Il 13 ottobre il ministro delle Finanze Roland Lescure ha detto al Parlamento che circa 700 dei 10.000 supermercati francesi erano stati toccati. Facciamo due conti: è il 7% della rete. I numeri delle singole catene non combaciano del tutto. Les Mousquetaires (Intermarché e Netto) ha parlato di 300 negozi secondo l’AFP e di circa 150 secondo Reuters. Coopérative U ne ha contati 80 su 2.000, Carrefour altrettanti.
In questo attacco hacker ai frigoriferi gli aggressori hanno usato funzioni legittime dei regolatori, a cominciare dallo sbrinamento. Hanno alzato le temperature fino a 50 gradi per circa sei ore, di notte, quando i tecnici non c’erano (dato di Intermarché). I frigoriferi hanno obbedito. Il cibo è stato buttato in blocco, perché una catena del freddo interrotta non si rimette insieme. Secondo The Hacker News il capo di Les Mousquetaires prevede perdite per decine di milioni di euro in tutta la Francia.
La seconda ondata, tra fine ottobre e il 2 novembre, ha riguardato oltre 100 negozi tra Belgio, Estonia, Irlanda, Lussemburgo, Paesi Bassi e Svezia. Ci sono segnalazioni anche da Finlandia, Italia e Portogallo: in tutto almeno nove Paesi dell’Unione, secondo SecurityWeek. A Parigi, riferisce l’ANSA, sono state alterate anche tre celle dell’Établissement français du sang, con la temperatura indicata da -30 a +110 gradi. Ministero e istituto escludono conseguenze sanitarie e dicono che le scorte non sono compromesse.
In Italia l’ACN ha diffuso un’allerta per la filiera alimentare e del freddo. Richiama la grande distribuzione e la logistica alle misure già indicate dopo gli incidenti in Francia.
Danfoss e Copeland: controller fuori produzione e falle già pubbliche
I regolatori coinvolti sono soprattutto i Danfoss AK-SM 800 e AK-SC355 e, il giorno dopo, anche i Copeland/Dixell XWEB. Danfoss dice che la maggior parte delle unità colpite era roba vecchia. L’AK-SM 800 è fuori produzione dal 2021, l’AK-SC355 è uscito dal catalogo nel 2016, e per entrambi non ci sono più aggiornamenti di sicurezza regolari. In alcune AK-SM 800A, che invece sono ancora supportate, il firmware non era stato aggiornato (lo riporta PC Games Hardware).
Le falle erano note da mesi. Ad agosto il team Team82 di Claroty ha pubblicato la ricerca sul Copeland XWEB Pro, con 23 vulnerabilità (21 gravi) corrette dal firmware 1.13. Aveva segnalato anche l’AK-SM 800A, con numerosi controller raggiungibili da internet. Danfoss e Copeland avevano già rilasciato gli aggiornamenti, e Copeland ha ammesso che la vulnerabilità di questa volta riguardava una generazione di controller dismessa. A conti fatti, l’attacco hacker ai frigoriferi è passato da porte di cui si sapeva già molto.
Su chi dovesse aggiornare, le versioni divergono. Il presidente di Coopérative U, Dominique Schelcher, ha fatto notare che i suoi supermercati non sono clienti di Danfoss, perché in mezzo ci sono i frigoristi che installano e mantengono gli impianti. Forescout aggiunge che la connessione a internet era un’opzione prevista dalla documentazione di alcuni produttori. Senza compiti assegnati, nessuno ha il quadro completo di rete, tecnici e ciclo di vita del controller. Secondo Open, per di più, le assicurazioni non coprono questo tipo di incidente.
L’attacco hacker ai frigoriferi e la pista russa
I sospetti hanno un contesto. Il mese prima Emmanuel Macron aveva ordinato misure per proteggere le infrastrutture critiche francesi dagli attacchi ibridi russi (lo ricordano AFP ed Euronews). I frigoriferi sono arrivati in un clima in cui una smentita faticherebbe a farsi sentire. Forescout conta dall’inizio del 2026 oltre 20 attacchi rivendicati contro impianti di refrigerazione da gruppi filorussi, soprattutto Z-Pentest Alliance e NoName057(16). Il 26 aprile Z-Pentest ne ha rivendicati 10 in un giorno solo.
Alcuni esperti privati ritengono probabile un attore sponsorizzato dalla Russia. Politico cita honeypot, server riutilizzati e competenze sui sistemi di controllo industriale. La distanza tra un indizio e una prova è però ancora tutta da percorrere: nessun governo ha attribuito l’attacco hacker ai frigoriferi, nessun gruppo ha rivendicato le ondate recenti e non è arrivata una richiesta di riscatto. A collegare i frigoriferi alle prossime elezioni francesi, in un’intervista alla radio americana NPR, è stato un gestore di fondi tecnologici, che di mestiere non fa l’investigatore.
Su queste pagine avevamo scritto che dietro molte sigle hacktivist c’è uno Stato (Hacktivismo 2.0, 14 aprile 2025). L’idea che i filorussi di oggi siano una maschera di Mosca ha dunque un precedente serio, e porta la mia firma. Lo stesso pezzo racconta, citando Dragos, che nell’aprile 2024 il gruppo filoucraino BlackJack ha colpito con un malware per sistemi di controllo un ente municipale di Mosca. L’ente gestisce le comunicazioni delle reti di gas, acqua e fognature. Gli attacchi ai sistemi industriali vanno in tutte e due le direzioni.
Il quadro bellico, poi, esiste davvero: il 4 ottobre ho raccontato le esercitazioni con i droni a Chebarkul e a Yonaguni. Se questi frigoriferi ne facciano parte è tutto da verificare.
Russia e Israele colpite nel 2022: gli stessi controller sotto attacco
Nel 2022, ben prima di questo attacco hacker ai frigoriferi, sono stati attaccati 16 supermercati russi con controller AK-SM 800 e 40 negozi israeliani. A questi ultimi mancava una protezione adeguata con firewall o VPN. Lo dice la newsletter Danfoss dell’ottobre 2025, e la fonte è una sola: l’azienda produttrice. Il regolatore che i giornali europei associano oggi a Mosca come strumento d’attacco, in Russia era già stato un bersaglio, con supermercati colpiti proprio mentre il Paese era sotto sanzioni e sotto i riflettori della cronaca cibernetica. Nessuna delle fonti che ho letto dice chi lo abbia colpito allora.
A fine agosto, secondo Reuters, circa una dozzina di spacci militari statunitensi hanno perso cibo per frigoriferi in tilt. Secondo Open gli investigatori militari sono in contatto con i colleghi francesi. Nessuna delle fonti che ho letto lega i due episodi a un mandante. Per trovare quelle porte bastava un motore di ricerca. Forescout ha contato 12.976 servizi di refrigerazione esposti su 6.017 indirizzi IP in 99 paesi, e 7.075 sono pannelli Copeland/Dixell XWEB.
Un attaccante qualsiasi, con pannelli esposti e password di fabbrica pubbliche, può operare con poche tracce (Lupovis ha osservato tentativi di accesso proprio così). L’ipotesi di altri attori che sfruttano le stesse falle resta in piedi accanto a quella filorussa. Questo non esclude un coordinamento.
Le mie stime: quanto pesa davvero l’ipotesi della guerra ibrida
Ora le stime, che sono mie e vanno lette come tali: soggettive e a range, senza l’obbligo di fare 100, perché gli scenari si sovrappongono. Nessuna di queste cifre viene da una perizia forense. Sono il modo in cui do un peso a ciò che sappiamo oggi sull’attacco hacker ai frigoriferi.
Il numero più alto è l’80%: l’attacco è stato intenzionale ed è passato da una vulnerabilità o da credenziali deboli. Le modifiche ripetute e simultanee in più Paesi puntano in quella direzione, come l’uso di funzioni legittime e l’assenza di riscatto. Che dietro ci sia un gruppo filorusso lo metto al 45-55%. La coerenza con i 20 e più attacchi rivendicati nel 2026 è alta, ma la prova diretta ancora non c’è.
Che lo Stato russo li abbia ordinati o eseguiti lo stimo al 10-20%. L’ipotesi geopolitica è plausibile e indimostrata, e un gruppo che si dice filorusso può agire senza ricevere ordini dal Cremlino. Un bug sfruttato da un attore non statale e non filorusso sta al 20-30%. Il guasto spontaneo come causa unica vale il 5%, perché spiega male la simultaneità e la natura delle modifiche. La propaganda inventata senza incidenti reali sta sotto il 2%, perché eventi fisici, richiami dei prodotti e indagini ufficiali la rendono molto debole.
Cosa torna e cosa non torna con la lettura di guerra
Con la lettura bellica tornano la simultaneità tra Paesi, il silenzio di chi agisce, il precedente delle sigle filorusse sui frigoriferi e il clima politico di Parigi. Una destabilizzazione a basso costo (colpire un servizio quotidiano senza assumersene la paternità) è un’ipotesi coerente con questi indizi. Chi la sostiene ha argomenti seri, e li ascolto volentieri, perché un’ipotesi che regge nei dettagli merita di essere discussa fino in fondo.
Per chiamarla guerra ibrida servirebbe un mandante statale, cioè un governo che dia gli ordini, paghi chi li esegue e risponda delle conseguenze davanti ad alleati e avversari, e quel pezzo per ora manca. Senza di lui l’attacco hacker ai frigoriferi resta un sabotaggio con autore ignoto. L’etichetta può arrivare dopo, se l’inchiesta la giustifica.
Altri fatti tirano dalla parte opposta. Mancano un’attribuzione ufficiale e un riscatto, e nessun dato risulta rubato: per Christopher Whyte, della Virginia Commonwealth University, la scala è insolita proprio per questo, e i controlli erano quasi certamente aperti alla rete più ampia del supermercato. Il danno ha colpito merce deperibile, con conseguenze sanitarie escluse. La Commissione europea dice che la sicurezza alimentare per ora non è minacciata e riconosce sprechi e danni economici. Un esperto citato da T2 Online ricorda che gli attori noti per questo genere di sabotaggi sono due, Iran e Russia.
Forescout e i 12.976 servizi di refrigerazione lasciati aperti
Pubblicazione: Vedere Labs di Forescout, “Cold Chain, Open Control: Exposed Refrigeration Systems Reveal Global Risk”, pubblicato sul blog di Forescout (22 ottobre 2026).
Dati chiave: 12.976 servizi esposti su 6.017 indirizzi IP in 99 paesi e territori, in 10 famiglie di prodotti, con 7.075 pannelli Copeland/Dixell XWEB. Da gennaio 2026, oltre 20 attacchi rivendicati contro impianti di refrigerazione. Le versioni del firmware non sono sempre visibili, quindi Forescout non può dire quali falle riguardino ogni servizio.
Cosa chiedono ACN e CERT belga a chi gestisce impianti del freddo
Subito: togliere l’accesso diretto da internet (da remoto solo con VPN o gateway sicuro), aggiornare il firmware (per l’AK-SM 800A almeno la 4.3.1), cambiare le password di fabbrica, sostituire o isolare i controller a fine vita. Il CERT belga indica anche la modalità di sicurezza “Strict” sui dispositivi Danfoss.
Poi: separare la rete degli impianti da casse, Wi-Fi dei clienti e videosorveglianza, installare sensori di temperatura indipendenti dal controller con allarmi al personale, e preparare una procedura su chi interviene e chi avvisa l’ACN. Le misure urgenti dell’ACN indicano come fattori critici le installazioni obsolete, le interfacce esposte e l’autenticazione insufficiente.
Il punto vulnerabile di cui parlava Cyril Scheubel esiste ancora in migliaia di retrobottega: Forescout ne ha contati 12.976 in 99 paesi, tutti raggiungibili da internet. Chi abbia girato la manopola in questo attacco hacker ai frigoriferi lo dirà un’inchiesta (a Parigi indaga la procura), comunque con frasi più caute di quelle dei titoli di oggi.
