Nelle ultime due settimane abbiamo letto di tutto: frigoriferi "impazziti", temperature a 50 gradi, hacker misteriosi, l'Italia colpita. Ci hanno propinato cifre diverse a seconda della testata e più di una volta mi è capitato di sentire in giro qualcuno chiedersi se il suo frigo di casa fosse a rischio.
Proviamo allora a mettere in fila i fatti e vediamo che cosa è successo davvero, perché sia così apparentemente facile hackerare un frigorifero e di chi è davvero la responsabilità di quello che sta succedendo — e qui il discorso non riguarda assolutamente solo i frigoriferi.
Non stanno attaccando i frigoriferi di casa
Partiamo dal punto che i titoli confondono di più. Gli apparati colpiti non sono elettrodomestici domestici, ma i controllori degli impianti frigoriferi dei supermercati. Pensate al termostato centrale di tutta la catena del freddo di un negozio: decide quando raffreddare e quando sbrinare, ovvero scaldare per sciogliere il ghiaccio.
Questi controllori hanno un pannello web, per permettere ai manutentori di intervenire da remoto. È comodo e fondamentale per la telegestione di impianti con decine di frigo, ma se quel pannello è raggiungibile da internet diventa anche una possibile porta aperta che dà direttamente sulla strada.
Quindi, da un lato possiamo tirare un sospiro di sollievo, ma dall’altro la cosa dovrebbe gettarci nel panico, visto che questo approccio riguarda un’infinita varietà di altre infrastrutture industriali, che ora dovranno necessariamente correre ai ripari.
Un avvertimento ignorato per più di un anno
Vediamo rapidamente l'ordine degli eventi di cui stiamo parlando, per capire senza troppi giri di parole il livello di sottovalutazione del problema da parte dei diretti interessati.
- 24 marzo 2025. Danfoss, il produttore danese, pubblica un avviso di sicurezza su una falla del controllore AK-SM 800A. Altre due vengono corrette ad agosto 2025, riferisce Infosecurity Magazine.
- 9 agosto 2026. La società di sicurezza Claroty pubblica una ricerca su quei dispositivi. Aveva contato 2.765 sistemi raggiungibili da internet, secondo le scansioni di Censys.
- Fine agosto. Almeno sette spacci militari americani registrano guasti alla refrigerazione. Open scrive che il Pentagono sospetta un attacco. Fortune Italia precisa che non ci sono prove di un legame con la Francia. Le fonti qui sono discordanti.
- 11-12 ottobre. In Francia i controllori di centinaia di supermercati vengono portati in sbrinamento prolungato, con temperature fino a 50 °C.
- 12-14 ottobre. Arriva l'allerta francese e si scopre che gli operatori, più che aggiornare, hanno staccato i dispositivi da internet.
- 1-2 novembre. Seconda ondata in diversi Paesi europei, Italia compresa.
Francia, 11-12 ottobre: il primo colpo
Il governo ha parlato di circa 700 punti vendita. Intermarché ne ha dichiarati 150 e Carrefour 80, riporta CTech. I danni sono stimati in decine di milioni di euro. I numeri cambiano da fonte a fonte e vanno considerati provvisori.
Il quadro, secondo la ricostruzione di Wikipedia:
- in alcuni negozi il calore ha fuso le attrezzature o provocato incendi;
- un Intermarché a Issy-les-Moulineaux ha buttato diverse tonnellate di prodotti;
- l'attacco non ha fatto scattare gli allarmi e il personale di notte era assente.
La procura di Parigi ha aperto un'indagine e il governo ha incaricato l'agenzia di sicurezza informatica ANSSI di affiancarla.
La contromisura sbagliata: staccare invece che aggiornare
Il centro di risposta francese, CERT-FR, ha emesso un bollettino il 12 ottobre e l'ha esteso il giorno dopo ai controllori Copeland e Dixell, spiega SecurityWeek. L'indicazione: togliere l'accesso diretto a internet, verificare le impostazioni dello sbrinamento e installare gli aggiornamenti.
Danfoss sostiene che la maggior parte delle unità colpite fosse vecchia e senza più patch, oppure recente ma con software interno (firmware) non aggiornato.
Il dato più eloquente è un altro: secondo Censys, in tre giorni i controllori esposti in Francia sono calati del 71%. Non perché fossero stati aggiornati, ma semplicemente perché gli operatori li hanno scollegati da internet.
Come funziona ci l’attacco in quattro passaggi
Ora vediamo come funziona il meccanismo, senza scendere troppo in dettagli operativi che potrebbero spingere qualcuno ad emulare i cybercriminali — sì, basta davvero poco per farlo, infatti quello che stupisce non è la violazionè dei frigo, ma l’attacco coordinato su vasta scala.
- La porta di servizio. Il pannello web del controllore, raggiungibile da internet: come un negozio con la saracinesca alzata e l'insegna accesa, ma nessuno alle casse.
- L'elenco telefonico. Motori di ricerca come Shodan e Censys catalogano i dispositivi connessi. Trovarli non richiede competenze avanzate.
- La chiave sotto lo zerbino. Accesso con nome fisso e password prevedibile, più una falla che riportava le credenziali ai valori iniziali anche se l'operatore le aveva cambiate, secondo CTech.
- Il danno. Non serve un programma dannoso: basta modificare lo sbrinamento, tenendo acceso il riscaldamento finché tutto si scalda.
1-2 novembre: la seconda ondata
Nella notte tra l'1 e il 2 novembre il copione si ripete. Europa Today cita Svezia, Finlandia, Belgio, Lussemburgo, Estonia e Irlanda; altre fonti contano otto Paesi o più. Anche questo dato è comunque provvisorio.
In Italia sono stati colpiti almeno una ventina di supermercati tra Palermo, Catania, Ragusa e Trapani. L'Agenzia per la cybersicurezza nazionale ha emesso un'allerta con verifiche urgenti per gli operatori. Un caso è stato segnalato anche in Baviera. Il commissario europeo all'Agricoltura Christophe Hansen ha parlato di un tentativo deliberato di colpire la filiera alimentare.
Chi è stato? Il ragazzino, lo Stato, il singolo?
Nessuno ha rivendicato né chiesto un riscatto e questo ha sorpreso enormemente gli inquirenti, secondo una fonte citata da Reuters. Le ipotesi:
- Curiosi. Ken Munro (Pen Test Partners) osserva che l'accesso era così semplice da poter essere opera di ragazzini. Ma se fosse uno Stato, si chiede, perché colpire solo una parte dei frigoriferi?
- Uno Stato. Per il Guardian, riportato da Il Post, è l'ipotesi più plausibile, perché l'effetto è creare allarme.
- Un singolo. L'esperto di Sophos Rafe Pilling considera credibile anche un individuo con motivazioni personali.
Scoprirlo sarà difficile: senza programmi dannosi restano poche tracce e secondo molti potrebbero volerci anni. Oppure restare per sempre un reato senza alcun colpevole.
Di sicuro in questa storia ci sono i danni, che molto probabilmente nessuno risarcirà mai, e i pochi fatti accertati:
- le falle erano note e corrette da mesi.
- molti apparati erano fuori supporto o non aggiornati.
- i pannelli erano raggiungibili da internet.
Le domande a cui ora abbiamo il compito di trovare una risposta sono queste:
- chi ha attaccato e perché lo ha fatto
- il numero esatto dei negozi colpiti
- il percorso preciso d'ingresso
- il legame con i guasti negli spacci militari USA
Una considerazione, a margine dei fatti: nel 2026 lasciare online un apparato senza aggiornarlo non è più una svista, è una scelta di non fare manutenzione. Per i modelli a fine vita, l'unica manutenzione sensata era e resta la sostituzione, ma per il parco macchine dei frigoriferi aggiornati, perseverare in questo tipo di comportamenti completamente contrari alle logiche di sicurezza più elementari diventerà presto oggetto di sanzioni pesanti, in ambito penale e non solo civile.
