Un attacco informatico ha colpito i sistemi di refrigerazione di centinaia di supermercati francesi, causando ingenti perdite di prodotti. L'indagine rivela una vulnerabilità diffusa nei dispositivi OT obsoleti e connessi a Internet, con implicazioni per l'intera catena del freddo.
Una vasta ondata di disagi ha investito il settore della grande distribuzione francese a seguito di un attacco informatico mirato ai controller di refrigerazione, verificatosi l'11 ottobre. Le indagini più recenti hanno ampliato la portata dell'incidente, confermando che non si è trattato solo di dispositivi Danfoss, ma anche di apparecchiature Dixell Electronics (ora parte di Copeland), un marchio italiano. Questa estensione suggerisce una vulnerabilità più pervasiva nei sistemi di controllo industriale (OT) utilizzati in contesti critici.
Dettagli dell'attacco e impatto sui supermercati
I resoconti mediatici francesi hanno documentato casi specifici, come quello di un supermercato E.Leclerc nel Tarn, che ha subito interruzioni nei propri sistemi di refrigerazione nonostante utilizzasse apparecchiature Dixell. Un altro caso, riportato da Le Monde, ha evidenziato come in un punto vendita vicino a Bordeaux, gli aggressori abbiano manipolato le impostazioni dei congelatori, portandole da -22°C a 150°C. La rapidità con cui venivano modificate le impostazioni, diverse al secondo, indica un'azione automatizzata e deliberata. L'attacco ha colpito cinque dei principali gruppi della distribuzione francese: E.Leclerc, Intermarché, Carrefour, Monoprix e Coopérative U. Almeno 300 negozi Intermarché e Netto sono stati interessati, oltre 100 da Coopérative U, 80 da Carrefour e circa il 5% dei circa 490 negozi Monoprix. Le stime attuali indicano circa 400 negozi colpiti, con perdite che per alcune singole filiali potrebbero raggiungere i 250.000 euro, per un totale di milioni di euro di prodotti alimentari andati persi.
Il CERT-FR (Computer Emergency Response Team francese) ha emesso un avviso di sicurezza il 12 ottobre, identificando chiaramente le serie Danfoss AK-SC e AK-SM, insieme ai sistemi Dixell xweb e Copeland xweb, come "sistemi interessati" dall'attacco. L'agenzia di cybersicurezza del governo francese, ANSSI, ha identificato i sistemi presi di mira come controller di refrigerazione Danfoss, inclusi i modelli AK-SM800 e AK-SC355. Il produttore danese ha dichiarato che la maggior parte delle unità colpite erano prodotti legacy con firmware obsoleto, e che aveva precedentemente consigliato ai supermercati di aggiornarli.
Sabotaggio industriale e vulnerabilità dei sistemi OT
Esperti di sicurezza industriale, come Amir Preminger, CTO di Claroty, hanno sottolineato come i controller di refrigerazione siano bersagli attraenti per attacchi mirati, non solo nei supermercati ma anche in magazzini frigoriferi, aziende farmaceutiche e manifatturiere. Questi sistemi, definiti Operational Technology (OT), sono talvolta trascurati dai team di sicurezza IT. Per facilitare la manutenzione remota, possono essere esposti direttamente a Internet, abbassando significativamente la barriera d'ingresso per gli attaccanti.
Neil Carter, Managing Director di CRAReady.co.uk, ha spiegato che molti di questi dispositivi non sono mai stati progettati per essere aggiornati sul campo. Vengono installati da appaltatori, commissionati una volta e poi lasciati in funzione per anni, senza che nessuno li monitori per rilasci di firmware. Esiste anche una discrepanza tra la durata dell'hardware e il supporto del fornitore: Danfoss ha terminato il supporto per l'AK-SM 800 nel 2021 e per l'AK-SC 355 nel 2016, ma questi dispositivi erano ancora operativi. Inoltre, l'accesso remoto viene spesso lasciato aperto su Internet per comodità della manutenzione, e l'aggiornamento del firmware comporta rischi (un fallimento potrebbe causare la perdita dello stock), spingendo alla scelta di "lasciare tutto così com'è".
Preminger ha evidenziato che l'attacco, pur non richiedendo necessariamente competenze estremamente sofisticate, denota un intento malevolo. "Non credo che sia sofisticato," ha affermato, "tuttavia, non si può causare uno sbrinamento per errore digitando un parametro sbagliato. Bisogna avviare lo sbrinamento. Qualcuno ha dovuto guidare lo sfruttamento, la campagna, per ottenere quell'impatto." Ha paragonato la tattica a un incidente avvenuto in un impianto di trasformazione alimentare in Israele nel 2025, dove un attaccante manipolò un compressore di refrigerazione.
L'attacco è avvenuto di notte, quando i negozi erano chiusi, trasformando una violazione tecnica in un grave guasto della catena del freddo. Mark Eccleston, Senior Software Engineer presso OxBlue, ha fatto notare che un frigorifero può resistere circa quattro ore senza alimentazione prima che il cibo sia a rischio; gli hacker hanno avuto un'intera notte a disposizione per centinaia di unità.
Esposizione a Internet e nuove preoccupazioni sulla gestione dei dati
La preoccupazione principale rimane l'esposizione dei controller di refrigerazione a Internet. Dispositivi Danfoss esposti sono stati individuati anche al di fuori della Francia, in paesi come Israele e Stati Uniti, sebbene non sia ancora chiaro se le loro versioni software fossero vulnerabili. Preminger ha avvertito che la semplice applicazione di patch non è sufficiente a garantire la sicurezza quando i dispositivi sono esposti online. Le raccomandazioni includono il mantenimento dei dispositivi critici scollegati da Internet e la limitazione dell'accesso tramite VPN aziendali o gateway APN, oltre alla segmentazione delle reti, all'inventario delle apparecchiature e al monitoraggio degli accessi.
L'ANSSI ha esortato le aziende che utilizzano i modelli interessati a disconnetterli da Internet o a limitarne l'accesso, e a installare immediatamente gli aggiornamenti software. Le autorità hanno aperto un'indagine e stanno collaborando con altri paesi europei che potrebbero essere stati colpiti. Non è ancora chiaro chi abbia condotto l'attacco. L'incidente segue l'ordine del Presidente Emmanuel Macron di proteggere le infrastrutture critiche francesi dagli "attacchi ibridi" russi, ma i funzionari non hanno collegato l'attacco ai supermercati a nessun gruppo o paese specifico.
Risposte e misure preventive
Per mitigare i rischi, le aziende dovrebbero adottare diversi passaggi. Innanzitutto, è fondamentale conoscere il proprio patrimonio tecnologico, trattando i controller di edificio e di impianto come parte della propria superficie di attacco e mantenendo un inventario con le date di fine supporto. In secondo luogo, nessun sistema operativo dovrebbe essere direttamente raggiungibile da Internet; la manutenzione remota dovrebbe avvenire tramite VPN o essere limitata agli indirizzi del contractor. Infine, è necessario informarsi sul ciclo di vita del prodotto al momento dell'acquisto. Secondo l'EU Cyber Resilience Act, i produttori dovranno dichiarare un periodo di supporto commisurato alla durata realistica dei prodotti, e gli acquirenti dovrebbero già richiederlo per iscritto. Questo attacco non ha richiesto un exploit zero-day, ma l'uso di apparecchiature vecchie e dimenticate, esposte pubblicamente, una situazione purtroppo diffusa.
La necessità di connettere i frigoriferi dei supermercati a Internet è spesso legata alla conformità normativa europea sulla sicurezza alimentare, che richiede il monitoraggio delle temperature con marcatura temporale e sistemi di allarme. Questa connettività facilita anche la manutenzione remota, un aspetto cruciale per la conservazione dei prodotti alimentari, come sottolineato da Dominique Schelcher, CEO di Coopérative U. Tuttavia, la combinazione di questi attacchi sottolinea la crescente necessità di una robusta strategia di sicurezza informatica che abbracci sia i sistemi OT che la gestione dei dati aziendali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
