Nella notte tra l’11 e il 12 ottobre 2026, un attacco informatico ha compromesso il funzionamento degli impianti frigoriferi di centinaia di supermercati francesi. Intermarché, Netto, Coopérative U, Carrefour, Monoprix e punti vendita E.Leclerc figurano fra le insegne coinvolte. Le comunicazioni raccolte dalla stampa descrivono l’attivazione remota dello sbrinamento forzato e la conseguente perdita di prodotti freschi e surgelati. Il censimento delle vittime è ancora provvisorio.

Al di là delle conseguenze a venire, abbiamo passato in rassegna gli eventi e li abbiamo analizzati da un punto di vista tecnico e di conformità. 

Intanto la Procura di Parigi ha aperto un’indagine anche per accertare il collegamento tra l’attacco e i danni denunciati, comprendenti perdite alimentari e principi d’incendio. L’agenzia nazionale francese per la sicurezza informatica, ANSSI, è stata mobilitata. Il caso ha dunque assunto una rilevanza che supera l’indisponibilità di un servizio digitale: riguarda le conseguenze fisiche di comandi impartiti a distanza.

Per la refrigerazione, la domanda è immediata: quanto può modificare un soggetto che accede alla supervisione? Può soltanto leggere le temperature oppure può intervenire su sbrinamenti, allarmi e condizioni di funzionamento capaci di compromettere la conservazione delle merci e la sicurezza dell’impianto?

È su questo collegamento fra sicurezza informatica, comportamento della macchina e gestione dell’esercizio che si concentra l’approccio tecnico di CSIM, sviluppato per il settore e portato anche nel confronto professionale a Chillventa dal nostro Ing. Marco Masini, in qualità di presidente ASERCOM.

Un impianto frigorifero connesso richiede una valutazione che segua il comando dal punto di accesso remoto fino alla sua conseguenza reale.

Danfoss, rispondendo a Cooling Post, ha indicato fra i sistemi coinvolti gli AK-SM 800 e AK-SC 355, ormai fuori supporto, ma anche AK-SM 800A con firmware obsoleto. Il produttore riferisce di lavorare con i clienti su aggiornamenti disponibili, rafforzamento delle protezioni di rete e rimozione dell’esposizione diretta a Internet. Non è quindi sufficiente distinguere fra apparecchiature “vecchie” e “nuove”: contano anche versione software, configurazione e manutenzione della sicurezza.

Il meccanismo descritto negli articoli merita attenzione.

Lo sbrinamento è una funzione necessaria, concepita per rimuovere il ghiaccio dagli evaporatori. Alterarne durata, frequenza o temperatura può trasformare una normale sequenza di esercizio in un funzionamento dannoso. Le Monde riporta anche l’estensione dei cicli da un’ora a otto ore, con ritardo degli allarmi. Questo particolare, ancora da ricostruire tecnicamente per ciascun sito, suggerisce di verificare l’intera sequenza di controllo.

Occorre distinguere un limite impostato a 50 °C dalla temperatura effettivamente raggiunta dall’aria, dall’evaporatore o dagli alimenti. Sono grandezze diverse. Allo stesso modo, un parametro di fine sbrinamento non coincide necessariamente con un limite indipendente di sicurezza.

La valutazione deve quindi comprendere durata massima del ciclo, arresto del riscaldamento, gestione delle sonde, esclusioni temporanee degli allarmi e ripristino della refrigerazione. Deve inoltre chiedersi quali protezioni rimangano efficaci se la supervisione viene compromessa. Dove l’analisi individua un pericolo, una protezione modificabile attraverso lo stesso accesso che governa il processo potrebbe non offrire l’indipendenza necessaria.

Questo ragionamento interessa anche le centrali frigorifere: occorre individuare quali parametri siano scrivibili da remoto e se tale possibilità possa interferire con funzioni protettive, limiti operativi o catene di sicurezza.

Quindi, per fare danni, occorre certamente conoscere il sistema che si va ad alterare!

La connessione è parte della valutazione. Una SIM 3G o 4G, una linea dedicata o una rete separata da quella del supermercato non garantiscono, da sole, un accesso sicuro. La separazione può essere utile, ma deve essere accompagnata da controllo degli accessi e da una precisa attribuzione della gestione.

Nel caso francese, Clément Domingo (speaker di cybersicurezza internazionale) ha riportato la testimonianza di un responsabile cybersecurity della GDO secondo cui alcuni collegamenti sarebbero stati realizzati mediante SIM installate dal frigorista, fuori dal controllo della direzione IT dell’insegna. È una testimonianza riferita e non identifica l’architettura di tutti i negozi colpiti. Evidenzia però una questione concreta: un impianto può essere raggiungibile dall’esterno anche quando l’IT del committente non ne governa la connessione.

Per ogni servizio di telegestione dovrebbe essere possibile ricostruire il percorso di accesso: supervisore, router, rete dell’operatore, eventuale VPN o piattaforma del manutentore, autenticazione e autorizzazioni. Occorre sapere chi può leggere, chi può scrivere, chi approva una modifica e chi riceve un allarme. L’indisponibilità del collegamento remoto deve inoltre lasciare l’impianto in una condizione definita, con procedure locali praticabili.

Il Regolamento Macchine (UE) 2023/1230, applicabile in via generale dal 20 gennaio 2027, rende esplicito questo collegamento fra accesso digitale e sicurezza fisica. L’Allegato III, punto 1.1.9, disciplina la protezione dall’alterazione; il punto 1.2.1 riguarda sicurezza e affidabilità dei sistemi di comando, includendo le influenze esterne e i tentativi dolosi quando possono generare situazioni pericolose. Hardware, software e dati rilevanti per la sicurezza devono essere considerati nella progettazione.

Per i prodotti che rientrano nel suo campo di applicazione, questo significa integrare nell’analisi dei rischi gli effetti delle connessioni e delle modifiche ai comandi. Il regolamento non può essere utilizzato retroattivamente per dichiarare automaticamente non conforme un impianto già immesso sul mercato; offre però un riferimento preciso per progettare le nuove macchine e valutare gli interventi sull’installato.

Il Cyber Resilience Act, Regolamento (UE) 2024/2847, affronta la sicurezza dei prodotti con elementi digitali durante il loro ciclo di vita: valutazione del rischio, gestione delle vulnerabilità, aggiornamenti e informazioni agli utilizzatori. La sua applicazione generale decorre dall’11 dicembre 2027; gli obblighi di segnalazione dell’articolo 14 decorrono invece dall’11 settembre 2026.

La disciplina transitoria estende tali obblighi di segnalazione anche ai prodotti nel campo di applicazione già immessi sul mercato prima dell’applicazione generale. Occorre quindi distinguere la cessazione del supporto tecnico dagli obblighi normativi eventualmente ancora applicabili: l’etichetta “fine vita” non risolve da sola ogni questione.

Il Regolamento Macchine e il CRA hanno finalità complementari. La conformità dell’uno non sostituisce automaticamente la valutazione richiesta dall’altro.

Per tradurre questi principi in un’organizzazione verificabile, la famiglia EN IEC 62443 costituisce un riferimento particolarmente utile. Il suo approccio riconosce una responsabilità condivisa fra utilizzatore, fornitori dei prodotti, integratori e prestatori di servizi. “Condivisa” significa distribuita attraverso compiti riconoscibili, non lasciata indistinta.

Parte della famiglia 62443	Rilevanza per la refrigerazione telegestita
2-1	Programma di sicurezza dell’utilizzatore
2-4	Processi di sicurezza dei fornitori di servizi di integrazione e manutenzione
3-2	Valutazione del rischio e suddivisione in zone e collegamenti controllati
3-3	Requisiti di sicurezza del sistema
4-1 e 4-2	Sviluppo sicuro e requisiti tecnici dei componenti

La parte 2-4 riguarda espressamente i processi che il prestatore offre durante integrazione e manutenzione; la 3-2 richiede di valutare il sistema e i rischi delle sue zone e dei collegamenti. Sono riferimenti per impostare capitolati, contratti e verifiche, senza confondere una certificazione del componente con la sicurezza dell’intera installazione.

La gestione dell’obsolescenza deve entrare nello stesso processo.

Nell’ottobre 2025 (link) Danfoss aveva già pubblicato una comunicazione sulla cessazione dei servizi per prodotti fuori supporto, comprendente AK-SM 800 e AK-SC 355. Richiamava attacchi del 2022 a sedici supermercati russi e quaranta negozi israeliani; per questi ultimi segnalava l’assenza di adeguata protezione firewall o VPN. Raccomandava migrazione e installazione sicura. È una documentazione precedente all’evento francese, rilevante per valutare la conoscibilità del rischio.

La presenza di un avviso pubblico, tuttavia, non dimostra che ogni utilizzatore lo abbia ricevuto. Bisogna ricostruire come l’informazione abbia attraversato la filiera: chi seguiva gli avvisi del produttore, chi doveva informare il committente, chi proponeva la sostituzione e quali misure erano previste nell’attesa.

Qui emerge il valore di un servizio tecnico completo.

CSIM collega l’analisi dei rischi della macchina alla verifica dell’architettura di telegestione, delle funzioni protettive e della documentazione. Il risultato deve consentire al committente di conoscere l’installato, governare le modifiche e affidare la manutenzione con responsabilità definite. La preparazione a Regolamento Macchine, CRA e serie 62443 diventa così una parte concreta della continuità operativa.

La conclusione riguarda proprio la catena di fornitura del servizio.

L’utilizzatore deve poter dimostrare come ha governato la conservazione dei prodotti e i rischi dell’esercizio. Il manutentore che offre telegestione deve chiarire l’ambito della prestazione: gestione della connessione, credenziali, aggiornamenti, controllo degli allarmi, risposta agli incidenti e segnalazione dell’obsolescenza. Il costruttore deve essere valutato rispetto ai propri obblighi di prodotto, supporto e informazione. Le rispettive posizioni dipendono anche dai poteri effettivamente esercitati.

L’attacco di un terzo non costituisce automaticamente una causa di esonero. Nel contesto italiano, la responsabilità contrattuale va esaminata alla luce della prestazione dovuta e della diligenza professionale, richiamate dagli articoli 1218 e 1176 del Codice civile. Un servizio che comprende la gestione degli accessi può porre questioni diverse da una manutenzione limitata a interventi meccanici; anche gli obblighi di informazione devono essere valutati concretamente.

La responsabilità oggettiva ha invece un significato specifico. Per i danni cagionati da una cosa in custodia può rilevare l’articolo 2051, che prevede la prova liberatoria del caso fortuito. La sua applicazione richiede di individuare la custodia e il nesso causale: non può essere estesa automaticamente a ogni soggetto della filiera né usata come sinonimo di responsabilità contrattuale.

Questi richiami riguardano la valutazione di situazioni analoghe in Italia; non anticipano l’esito delle indagini francesi.

Gli avvisi del costruttore non esonerano automaticamente il produttore, ma possono assumere un peso significativo nella valutazione delle condotte successive. Se un rischio era conosciuto o conoscibile e il servizio è proseguito senza aggiornamenti, protezioni o una gestione documentata dell’obsolescenza, diventa più difficile sostenere che ogni conseguenza fosse inevitabile. Viceversa, chi propone un intervento deve documentarne urgenza, alternative e rischio residuo; chi lo rinvia deve comprenderne le conseguenze. Neppure una firma di “accettazione del rischio” sostituisce gli obblighi applicabili.

La domanda decisiva sarà quindi chi aveva il potere e il dovere di intervenire, quali informazioni possedeva e quali misure ha effettivamente adottato. Una telegestione affidabile deve lasciare risposte verificabili a queste domande prima dell’incidente.

La Redazione

 

Fonti:

- Cyberattack shuts down refrigerators at French supermarkets

- Danfoss keeps the focus on IT Security | Danfoss

-