Il sabotatore nel banco frigo. Cosa insegna l’attacco ai supermercati francesi

Lunedì 12 ottobre, poco prima dell’apertura, il personale di un Intermarché di Névez, nel Finistère bretone, ha trovato i banchi del fresco tiepidi e silenziosi.[1] I surgelati si erano ammorbiditi nelle confezioni, la brina colava dalle pareti delle celle, la carne non era più vendibile. Nessun blackout, nessun compressore bruciato: durante la notte qualcuno, da molto lontano, aveva ordinato ai regolatori degli impianti di entrare in sbrinamento forzato e di restarci, con temperature impostate fino a 50 gradi. La stessa scena si ripeteva in centinaia di punti vendita in tutta la Francia, mentre in alcuni negozi scattavano gli allarmi antincendio e sulle vetrine comparivano i cartelli che segnalavano la “rupture de la chaîne du froid”. Per chi era uscito a comprare un minestrone surgelato, quella mattina la guerra cibernetica ha smesso di essere un’astrazione.

Una notte, settecento supermercati

Il bilancio, ancora provvisorio, è impressionante. Il ministro dell’Economia Roland Lescure ha riferito all’Assemblea nazionale che circa 700 dei 10.000 supermercati del Paese sono stati colpiti.[2] Le insegne coinvolte attraversano l’intera grande distribuzione: Intermarché e Netto, Coopérative U, E.Leclerc, Carrefour, Monoprix. Due soli negozi in Alsazia hanno dichiarato perdite per 270.000 euro; su scala nazionale si parla di milioni.[3] Il bersaglio non erano i supermercati in quanto tali, ma i controller che governano a distanza la refrigerazione, a partire dai sistemi del gruppo danese Danfoss; l’allerta si è poi estesa ai prodotti di altri costruttori, come Copeland e Dixell, con l’avvertimento che le campagne erano probabilmente ancora attive.[4] La procura di Parigi ha aperto un’inchiesta affidata all’Office anticybercriminalité. Nessuno ha rivendicato, nessuno ha chiesto un riscatto.[5]

Il dettaglio più istruttivo, però, è un altro. Due mesi prima, ad agosto, i ricercatori di Team82, l’unità di ricerca della società israelo-americana Claroty, avevano mostrato dal palco della DEF CON di Las Vegas come prendere il controllo proprio di quei sistemi, sfruttando un meccanismo di autenticazione nascosto e una vulnerabilità di command injection. Il rapporto aveva un titolo profetico: “Freeze the Controller, Defrost the Food”. Danfoss aveva rilasciato un aggiornamento correttivo già nell’agosto 2025, eppure oltre 2.700 controller risultavano ancora esposti su Internet.[6] I modelli più vecchi, quelli effettivamente colpiti, non potevano nemmeno essere aggiornati.[7] Davanti al Senato, il direttore dell’ANSSI Vincent Strubel ha tratto la conclusione più amara: l’attacco è stato reso possibile da “difetti di sicurezza elementari”, e l’Agenzia non ha strumenti per imporre ai supermercati come proteggere i propri frigoriferi.[8]

Qual è l’effettiva portata degli attacchi OT

Quando si parla di attacchi al mondo OT, la tecnologia operativa che governa macchine e processi fisici, l’immaginario corre alla centrale nucleare sabotata o alla rete elettrica spenta: Stuxnet e le centrifughe di Natanz, i blackout ucraini del 2015 e del 2016. Il caso francese mostra che il perimetro è molto più vicino a noi. Un banco frigo moderno è un sistema di controllo industriale in miniatura: sonde di temperatura, compressori, valvole, un controller di campo per ciascun banco e, sopra, un supervisore che coordina l’intero negozio, pianifica i cicli di sbrinamento e gestisce gli allarmi. Quel supervisore è raggiungibile via Internet perché il manutentore possa intervenire senza spostarsi. È esattamente questa comodità a renderlo vulnerabile.

Il punto è che oggi qualsiasi componente elettronico è con ogni probabilità connesso, o comunque raggiungibile attraverso un altro punto d’accesso meno protetto: la rete del negozio, il router del manutentore, la piattaforma di telegestione del fornitore. Non a caso E.Leclerc ha attribuito l’incidente a un attacco contro uno dei suoi fornitori di impianti frigoriferi.[9] La catena di subfornitura che tiene in vita un sistema OT è anche la sua superficie d’attacco. Siamo sempre più connessi come persone, ma lo è anche tutto ciò che ci circonda. Siamo quindi esposti non solo attraverso lo smartphone o il computer, ma attraverso i luoghi e i sistemi con cui entriamo in contatto ogni giorno, senza saperlo e senza poterli controllare. Il precedente più vicino non viene da una centrale, ma da Leopoli: nel gennaio 2024 un malware battezzato FrostyGoop ha manipolato i controller del teleriscaldamento lasciando senza calore oltre 600 condomini per quasi due giorni, in pieno inverno.[10] Anche lì l’effetto non si è fermato all’impianto, è arrivato direttamente nelle case. Gli attacchi OT possono colpire le catene di distribuzione dei beni di prima necessità e, attraverso di esse, il singolo cittadino. Basta andare a comprare il minestrone surgelato.

Chi attacca e perché

Che gli attacchi al mondo industriale siano in crescita lo dicono tutti gli indicatori. Secondo il rapporto annuale di Dragos, nel 2025 i gruppi ransomware attivi contro organizzazioni industriali sono saliti da 80 a 119 e hanno colpito circa 3.300 aziende, mentre gli avversari più sofisticati sono passati dal semplice preposizionamento alla mappatura dei cicli di controllo, per capire come manipolare i processi fisici.[11] Ma se si guarda dentro i numeri, l’unica tendenza davvero leggibile riguarda i threat actors, cioè chi colpisce e con quali obiettivi.

Nel mondo IT, corporate e finanziario le motivazioni sono varie: furto di dati, spionaggio, estorsione, profitto puro, come dimostrano le operazioni con cui la Corea del Nord sottrae criptovalute per finanziare il regime, fino al colpo da circa un miliardo e mezzo di dollari ai danni della piattaforma Bybit nel 2025. Nel mondo OT il quadro è diverso. Il ransomware colpisce le aziende industriali, ma quasi sempre passando dall’informatica gestionale: è successo con Colonial Pipeline e con il colosso della carne JBS nel 2021, quando gli impianti si sono fermati perché erano caduti i sistemi da cui dipendevano, non perché qualcuno avesse toccato le macchine. Dragos osserva che, nel secondo trimestre del 2026, nessun operatore ransomware ha manipolato un sistema di controllo.[12] Gli attacchi rivolti direttamente ai componenti OT, con richiesta di riscatto, restano rari. Chi entra davvero nei controller lo fa per fermare o danneggiare la produzione: talvolta per ragioni di concorrenza tra rivali, ma soprattutto per conto di uno Stato. È la lunga sequenza che va da Stuxnet a Triton, il malware che nel 2017 prese di mira i sistemi di sicurezza di un impianto petrolchimico saudita, dai controller idrici americani violati nel 2023 dai CyberAv3ngers legati ai Pasdaran, fino alla diga norvegese di Bremanger, dove nel 2025 hacker filorussi aprirono una valvola da remoto.[13]

L’attacco francese, senza rivendicazione né richiesta di denaro, non ha dunque i tratti del cybercrime. Le bande criminali monetizzano: cifrano i dati, li sottraggono, chiedono un riscatto, e per incassarlo devono farsi riconoscere. Qui non è accaduto nulla di tutto questo. Un esperto interpellato da Euronews ha ipotizzato l’opera di ragazzini in cerca di emozioni, osservando che uno Stato non avrebbe avuto motivo di colpire solo una parte dei frigoriferi francesi.[14] L’obiezione non convince: un’azione circoscritta è esattamente ciò che serve per mostrare una capacità senza provocare una risposta proporzionata. Il quadro più plausibile è quello della cyber warfare: dietro c’è con ogni probabilità una potenza statale, con l’intento strategico di dimostrare di poter colpire dove fa più male, per seminare sfiducia e malessere sociale.

È difficile non collocare l’episodio dentro la sequenza di decine di azioni riconducibili alla guerra ibrida russa che si sono succedute in Europa in questi mesi, tra sabotaggi, incendi, sorvoli di droni e intrusioni informatiche.[15] Sono operazioni che, per loro natura, devono restare sotto la soglia oltre la quale la Nato sarebbe chiamata a reagire. Dal vertice del Galles del 2014 l’Alleanza considera la difesa cibernetica parte della difesa collettiva e ammette che un attacco cyber possa giustificare, valutando caso per caso, il ricorso all’articolo 5 del Trattato; dal 2021 riconosce che anche un insieme di attività malevole cumulative possa equivalere a un attacco armato.[16] Proprio per questo chi conduce una campagna ibrida non rivendica mai: ogni azione deve essere plausibilmente negabile, abbastanza grave da lasciare il segno, mai abbastanza da costringere l’avversario a rispondere.

Colpire il cibo, in questo schema, significa toccare il nervo più sensibile della fiducia collettiva. È qui che l’attacco cyber incontra la guerra cognitiva: il danno materiale si misura in tonnellate di prodotti buttati, quello psicologico nella sensazione che nemmeno la spesa sia più al sicuro. In attesa che l’inchiesta dica una parola definitiva sugli autori, la lezione non cambia. Una volta interrotta la produzione, o in questo caso la catena del freddo, riprendersi è lento e costoso. La resilienza, cioè la capacità di continuare a funzionare mentre si è sotto attacco e di ripartire in fretta, va costruita prima.

La vastità dell’OT è il suo problema intrinseco

Chi pensa al mondo OT pensa istintivamente agli scenari più sensibili: impianti energetici, acquedotti, produzione di armamenti. In realtà è un universo ricchissimo ed estremamente eterogeneo. Un ospedale con apparecchi per la dialisi connessi è un sistema OT. Un supermercato con frigoriferi connessi è un sistema OT. Un casello autostradale con sbarre e Telepass è un sistema OT. Un centro logistico con macchinari per lo smistamento dei pacchi è un sistema OT. Non a caso, dopo l’attacco, l’ANSSI ha subito avviato verifiche nel settore sanitario, dove impianti di refrigerazione analoghi custodiscono farmaci indispensabili ai pazienti.[17]

Ciascuno di questi ambienti parla una lingua diversa. Ci sono protocolli industriali nati decenni fa per reti chiuse, come Modbus, che non prevede alcuna autenticazione, e accanto a essi BACnet negli edifici, Profinet nelle fabbriche, DNP3 nelle reti elettriche, collegamenti seriali, firmware proprietari, interfacce web aggiunte in un secondo momento. Lo stesso supervisore di un banco frigo dialoga con i controller di campo su una linea seriale e con il mondo esterno via Internet. Il primo problema, prima ancora della difesa, è la conoscenza: molte organizzazioni non hanno un inventario completo dei dispositivi connessi che possiedono, né sanno chi vi accede e da dove. E non si può proteggere ciò che non si sa di avere. Comprendere, mappare e difendere tutto questo richiede competenze verticali, settore per settore, che oggi scarseggiano.

IT e OT: perché divergono

Abbiamo trent’anni di esperienza nella sicurezza dei sistemi informatici: perché non applicarla anche all’OT? Perché non sono la stessa cosa. La prima differenza è temporale. I cicli di vita dell’OT possono essere dieci volte più lunghi di quelli dell’IT: un macchinario si ammortizza in vent’anni e oltre, un server raramente supera i quattro. Proteggere un impianto industriale significa spesso proteggere l’equivalente di un PC di vent’anni fa, con un sistema operativo che nessuno aggiorna più.

La seconda differenza riguarda le priorità. Nell’IT conta anzitutto la riservatezza del dato; nell’OT contano la continuità del processo e la sicurezza fisica delle persone. Un aggiornamento richiede di fermare l’impianto, e fermare un impianto costa. Su molti dispositivi non si può neppure installare un antivirus, e una patch sbagliata rischia di bloccare proprio la macchina che si voleva proteggere. Per questo, nel mondo industriale, la vulnerabilità corretta sulla carta resta spesso aperta per anni.

La terza differenza è storica. Con l’Industria 4.0 questi macchinari sono stati collegati alla rete in fretta, senza protezioni e senza sicurezza by design. In Italia l’interconnessione era addirittura una condizione per accedere agli incentivi fiscali del Piano Industria 4.0: una scelta lungimirante sul piano della produttività, che però ha moltiplicato i punti di contatto tra il mondo delle macchine e Internet senza un’analoga spinta sulla sicurezza.[18] Infine, mentre l’IT poggia su tecnologie e protocolli largamente standardizzati, l’OT pullula di soluzioni proprietarie, protocolli specifici e hardware obsoleto. Proteggerlo richiede strumenti e professionalità dedicati, non importabili dall’informatica d’ufficio. Il Cyber Resilience Act europeo imporrà requisiti di sicurezza ai prodotti connessi immessi sul mercato,[19] ma non sanerà l’enorme parco installato che resterà in servizio per decenni.

E l’Italia?

Sarebbe un errore archiviare l’episodio come un problema francese. Gli stessi controller sono diffusi in tutta Europa, e migliaia di impianti risultano vulnerabili anche in Belgio e nei Paesi Bassi. La NIS2 include il settore alimentare, ma ne copre la produzione industriale e la distribuzione all’ingrosso, lasciando in larga parte fuori il punto vendita, dove il prodotto incontra il consumatore.[20] Il caso francese dimostra che l’anello debole sta proprio lì. Servono il censimento degli impianti connessi, la separazione delle reti operative da quelle aziendali, accessi remoti dei manutentori controllati e tracciati, la sostituzione programmata dei dispositivi che non ricevono più aggiornamenti e procedure manuali di emergenza, perché un frigorifero deve poter restare freddo anche quando la rete è compromessa. Soprattutto, serve smettere di pensare alla sicurezza OT come a una faccenda da centrali nucleari. Il prossimo sabotaggio potrebbe passare, ancora una volta, dal banco dei surgelati.

[1]Didascalia AFP della fotografia scattata nell’Intermarché di Névez (Finistère) il 12 ottobre 2026, ripresa da WSB-TV, «Hackers target freezers, cold storage in cyberattacks», ottobre 2026.

[2]Dichiarazione del ministro dell’Economia Roland Lescure all’Assemblée nationale, 13 ottobre 2026, riportata da ACHR News, «Massive Cyberattack Targets Refrigeration Systems at French Supermarkets», 16 ottobre 2026.

[3]Tech Princess, «Hacker alzano la temperatura dei frigoriferi: centinaia di supermercati francesi colpiti», ottobre 2026, sulla base delle dichiarazioni di Intermarché.

[4]BleepingComputer, «Cyberattack shuts down refrigerators at French supermarkets», 12 ottobre 2026; INCIBE-CERT, «Cyberattack on Supermarket Refrigeration Systems in France», con aggiornamento ufficiale al 13 ottobre 2026; Sud Radio, «Cyberattaque des supermarchés: la vague se poursuit en France et s’étend en Europe», ottobre 2026.

[5]Le Monde Informatique, «Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés», ottobre 2026; Euronews, «Inquiétude face à la série de cyberattaques contre des supermarchés», 14 ottobre 2026.

[6]Claroty Team82, «Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers», 9 agosto 2026, presentato alla DEF CON 34; OCCRP, «Hackers Turn French Supermarket Refrigerators Into Furnaces», ottobre 2026. Lo stesso team ha documentato 23 vulnerabilità, 21 di gravità elevata, nei controller Copeland XWEB Pro.

[7]Tech Princess, cit., che riporta la posizione di Danfoss sui modelli più datati.

[8]AFP, «La cyberattaque des frigos de supermarchés en France liée à des “défauts de sécurisation élémentaire”, selon l’Anssi», in Techniques de l’Ingénieur; Mac4ever, «Cyberattaque des frigos: pour l’ANSSI, des précautions élémentaires auraient pu l’éviter».

[9]AFP, «French supermarkets suffer refrigerator shutdown after “unprecedented” cyberattack», 12 ottobre 2026, ripreso da Khaleej Times.

[10]Dragos, «FrostyGoop ICS Malware», luglio 2024, sull’attacco del gennaio 2024 al teleriscaldamento di Leopoli condotto tramite il protocollo Modbus.

[11]Dragos, 2026 OT/ICS Cybersecurity Report and Year in Review, 17 febbraio 2026.

[12]Dragos, analisi trimestrale sul ransomware industriale, Q2 2026, ripresa da Stingrai, «OT and ICS Cyberattack Statistics 2026», 16 ottobre 2026.

[13]Su Triton/Trisis si vedano le analisi di Dragos e Mandiant (2017-2018); sui CyberAv3ngers e i controller Unitronics, l’avviso congiunto CISA-FBI-NSA del dicembre 2023; sulla diga di Bremanger, l’attribuzione pubblica del servizio di sicurezza norvegese PST dell’agosto 2025.

[14]Euronews, «Migliaia di frigoriferi dei supermercati in Francia, Belgio e Paesi Bassi vulnerabili dopo l’attacco hacker», 14 ottobre 2026.

[15]Per una ricostruzione della campagna di sabotaggi e azioni ibride russe in Europa si veda S. G. Jones, «Russia’s Shadow War Against the West», CSIS, marzo 2025, che documenta la forte crescita di questi episodi a partire dal 2023.

[16]NATO, Wales Summit Declaration, 5 settembre 2014, par. 72; NATO, Brussels Summit Communiqué, 14 giugno 2021.

[17]Labomaison, «Cyberattaque des réfrigérateurs de supermarchés: l’Anssi dénonce des failles de sécurité élémentaires»; Mac4ever, cit.

[18]L’interconnessione ai sistemi di fabbrica o alla rete di fornitura era requisito per l’iperammortamento previsto dalla legge di bilancio 2017 (l. 11 dicembre 2016, n. 232) e chiarito dalla circolare Agenzia delle Entrate-MISE n. 4/E del 30 marzo 2017.

[19]Regolamento (UE) 2024/2847 (Cyber Resilience Act), i cui obblighi principali si applicano dall’11 dicembre 2027.

[20]Direttiva (UE) 2022/2555 (NIS2), recepita con il d.lgs. 4 settembre 2024, n. 138; per il settore alimentare l’ambito riguarda le imprese di produzione industriale, trasformazione e distribuzione all’ingrosso.