In sintesi
L'attacco ai frigoriferi francesi è un problema di apparecchiature legacy: controller non più supportati erano raggiungibili da Internet e nessuno era responsabile dei loro aggiornamenti. Nella notte tra l'11 e il 12 ottobre 2026 gli attaccanti hanno imposto lunghi cicli di sbrinamento ai controller di refrigerazione Danfoss, rovinando la merce in diverse centinaia di punti vendita. Indagano la Procura di Parigi e l'agenzia francese per la cybersicurezza ANSSI.
Per chi progetta o gestisce dispositivi connessi, la lezione riguarda il ciclo di vita, non la refrigerazione. Un controller venduto dieci anni fa, ancora collegato alla rete del negozio e ancora gestibile da remoto, fa parte della vostra superficie di attacco anche se nessuno tocca il suo software da anni. I team di sviluppo embedded e firmware per dispositivi connessi dovrebbero trattare accesso remoto sicuro, aggiornamenti firmati e un piano di fine vita come funzionalità di prodotto fin dal primo rilascio.
Cosa è successo nei supermercati francesi?
Arrivando lunedì mattina, il personale ha trovato banchi frigo e congelatori caldi e la merce da buttare. Secondo Reuters e TIME, gli attaccanti non hanno spento gli impianti. Hanno attivato cicli di sbrinamento continui o prolungati, che riscaldano intenzionalmente i banchi e sono progettati per durare poco senza far scattare allarmi. Allungarli per diverse ore durante la notte è bastato a rovinare freschi e surgelati prima che qualcuno se ne accorgesse.
Le insegne hanno parlato di un attacco senza precedenti. Il presidente di Coopérative U lo ha definito «una questione estremamente grave», mentre Intermarché ha spiegato che l'incidente sembrava riguardare un fornitore che gestisce la refrigerazione nei suoi negozi. Il primo ministro francese ha chiesto all'ANSSI di indagare e l'agenzia si coordina con le altre autorità cyber europee.
Lo stesso lunedì il gruppo olandese Ahold Delhaize ha messo offline parte dei suoi sistemi per un problema di sicurezza distinto, con disservizi sui siti e sugli ordini online di Albert Heijn in Europa e di Food Lion, Stop & Shop e altre catene statunitensi. Gli investigatori non hanno collegato i due casi, ma insieme mostrano quanto la distribuzione alimentare dipenda ormai da sistemi connessi.
Come hanno fatto gli attaccanti a raggiungere i frigoriferi?
Il punto d'ingresso esatto non è stato reso pubblico. Ciò che si sa indica apparecchiature vecchie ed esposte. Danfoss ha dichiarato ai media francesi che la maggior parte dei dispositivi colpiti erano modelli obsoleti che «non ricevono più aggiornamenti software né di sicurezza», e che sta aiutando i clienti con aggiornamenti firmware dove disponibili, una migliore protezione di rete e l'eliminazione dell'esposizione diretta a Internet.
I ricercatori avevano già segnalato il rischio. Nel 2025 l'agenzia statunitense CISA ha pubblicato advisory sui controller Danfoss AK-SM 800A, tra cui CVE-2025-41450, un bypass dell'autenticazione segnalato da Team82 di Claroty e corretto nel firmware R4.2. Danfoss non ha detto se sia stata usata questa o un'altra falla nota. Scansioni di Internet eseguite dopo l'attacco, citate da BleepingComputer, hanno trovato migliaia di interfacce di gestione Danfoss ancora raggiungibili, oltre la metà in Francia.
Cosa cambia per i team software negli Stati Uniti e nell'UE
Primo: il fine vita è un evento di sicurezza, non solo una comunicazione commerciale. Le apparecchiature senza aggiornamenti continuano a funzionare per anni in negozi, magazzini, studi medici e stabilimenti. Chi vende prodotti connessi dovrebbe pubblicare chiaramente i periodi di supporto, offrire ai clienti un percorso di migrazione e far sì che il dispositivo vada in sicurezza quando non può più essere aggiornato. Nell'UE gli obblighi di segnalazione del Cyber Resilience Act per le vulnerabilità attivamente sfruttate nei prodotti con elementi digitali si applicano dall'11 settembre 2026; i requisiti completi, compreso un periodo di supporto dichiarato, arriveranno a dicembre 2027.
Secondo: teleassistenza non deve significare gestione esposta su Internet. L'accesso di produttori e installatori ai dispositivi in campo deve passare da gateway autenticati o VPN con account personali e log, non da interfacce web su IP pubblici. Vale per refrigerazione, climatizzazione, building automation e per le dashboard cloud che li controllano.
Terzo: l'OT ormai segue le stesse regole dell'IT. Nell'UE i grandi operatori della distribuzione e del commercio alimentare rientrano nell'ambito della NIS2, che richiede una gestione del rischio estesa a fornitori e sistemi connessi. Negli Stati Uniti, assicuratori e clienti chiedono sempre più spesso a retailer e fornitori di apparecchiature un inventario della tecnologia operativa, non solo di laptop e server.
Cosa significa per la GDO e i produttori italiani?
Nella GDO italiana, come in Francia, i banchi frigo, le centrali frigorifere e i sistemi di telegestione dei punti vendita sono spesso installati e manutenuti da frigoristi e società di facility management esterne, con accessi remoti aperti per l'assistenza. È il punto debole emerso a Parigi: il fornitore e i controller rimasti in campo dopo la fine del supporto. Per insegne, cooperative e franchising la verifica pratica è doppia: censire gli accessi da remoto dei manutentori e confrontare le registrazioni di temperatura previste dai piani HACCP con i log dei controller, per accorgersi di setpoint manipolati prima che la merce vada persa.
Sul piano normativo la NIS2 è stata recepita con il D.Lgs. 138/2024, che include tra i settori interessati la produzione, la trasformazione e la distribuzione di alimenti. Per i soggetti nel perimetro le misure di sicurezza di base fissate dall'ACN vanno rese operative entro il 31 ottobre 2026, e tra queste rientrano l'inventario degli asset e il controllo degli accessi, comprese le catene di fornitura. Per i produttori italiani di refrigerazione commerciale, HVAC e building automation, il Cyber Resilience Act renderà periodi di supporto e aggiornamenti di sicurezza un obbligo verificabile.
Cosa controllare questa settimana?
- Cercare la propria esposizione. Elencare gli IP pubblici e verificare quali dashboard di controller, building management o dispositivi rispondono da Internet.
- Costruire un inventario OT e IoT. Per ogni dispositivo connesso che controlla un processo fisico, registrare modello, versione firmware, stato del supporto e responsabile.
- Mettere l'accesso remoto dietro un gateway. Sostituire l'accesso web diretto con VPN o accesso zero trust, account individuali, MFA dove supportata e sessioni dei fornitori registrate.
- Pianificare la sostituzione dei dispositivi fuori supporto. Se un dispositivo non può essere aggiornato, isolarlo in un segmento di rete dedicato e programmarne la dismissione.
- Generare allarmi sui comportamenti anomali del processo. Monitorare cambi di setpoint, cicli di sbrinamento o manutenzione insolitamente lunghi e accessi in orari strani, non solo i dispositivi che vanno offline.
Domande frequenti
Cosa è successo nei supermercati francesi l'11 e 12 ottobre 2026?
Nella notte tra domenica 11 e lunedì 12 ottobre, gli attaccanti hanno manipolato da remoto i controller di refrigerazione di supermercati francesi, imponendo lunghi cicli di sbrinamento che hanno portato i banchi a circa 50 °C. Catene come Intermarché, Coopérative U, Carrefour, Monoprix ed E.Leclerc hanno segnalato negozi colpiti; la merce è stata buttata e sono stati segnalati alcuni incendi.
Quanti negozi sono stati colpiti?
I numeri variano tra le fonti e sono ancora in fase di raccolta. I dati di insegne e media arrivano a diverse centinaia di negozi in Francia, con stime da circa 250 a oltre 350. Le segnalazioni indicano siti colpiti anche in altri Paesi europei.
Quali apparecchiature sono state coinvolte?
Controller di refrigerazione Danfoss. Danfoss ha dichiarato ai media francesi che la maggior parte dei dispositivi colpiti erano sistemi AK-SM800 obsoleti (fine vita dal 2021) e AK-SC355 (ritirati nel 2016), e che alcuni AK-SM800A attuali avevano firmware obsoleto. Danfoss non ha detto quale vulnerabilità, se una, sia stata sfruttata.
Chi sta indagando?
La Procura di Parigi ha aperto un'indagine penale e l'agenzia nazionale francese per la cybersicurezza ANSSI indaga con le omologhe europee. Al momento della stesura nessun gruppo aveva rivendicato l'attacco in modo credibile.
C'è un collegamento con l'incidente di Ahold Delhaize?
Nessun collegamento è stato accertato. Il 12 ottobre 2026 Ahold Delhaize ha messo offline parte dei suoi sistemi, con disservizi su siti e ordini online di catene come Albert Heijn, Stop & Shop e Food Lion, ma gli investigatori non hanno collegato i due episodi.
Fonti
NBC News / Reuters — Hackers heat French supermarket fridges, sparking fires and spoiling food
TIME — ‘Unprecedented’ cyberattack targets French supermarket fridges
CNBC — French supermarket fridges get hacked, heating to 122°F and sparking fires
BleepingComputer — Cyberattack shuts down refrigerators at French supermarkets
CISA — ICS advisory ICSA-25-140-03, Danfoss AK-SM 8xxA Series