Quello che è accaduto la notte del 12 ottobre in Francia, con l’attacco al sistema di sbrinamento dei frigo di diverse catene di supermercati, apre un nuovo fronte sulla lotta agli attacchi informatici.

È un passaggio simbolico: violazioni di sistema hanno prodotto effetti fisici su scala nazionale passando dalle centraline che regolano la temperatura dei banchi frigo. Lo stesso schema vale per le pompe di un acquedotto, impianti ospedalieri, semafori, cancelli di un magazzino: qualsiasi oggetto fisico governato da un controller raggiungibile in rete è potenzialmente esposto.

I controller colpiti in Francia sono esattamente questo: dispositivi OT, ovvero interfacce del mondo fisico amministrati a distanza dai tecnici attraverso pannelli di controllo web. Danfoss i più attaccati ma anche Copeland e Dixell secondo l’aggiornamento del CERT-FR, queste ultime tecnologie di progettate in Italia e di proprietà italiana.

Non sorprende dunque che in seguito all’aggiornamento del Cert-FR sia arrivata l’allerta dell’ Agenzia della Cybersicurezza Nazionale nel bollettino CSIRT del 13 ottobre che invita GDO, logistica alimentare e manutentori a verificare lo stato di sicurezza dei propri sistemi.

Per una volta si sposta il focus dall’IT all’OT

Quest’evento impone una importante riflessione e per una volta sposta il focus dall’IT all’OT, che ancora diffusamente vivono in reti separate e in mano ai tecnici degli impianti.

L’avvento dell’IoT aveva già cambiato di diversi ordini di grandezza il rischio associato a questi dispositivi, esponendo su internet sensori e centraline per comodità di gestione e manutenzione.

Ma a fronte di questo nuovo contesto il rischio reale è ancora largamente sottostimato, e il caso francese parla da sé.

I dettagli tecnici erano infatti pubblici da mesi. Ad agosto esperti di sicurezza avevano descritto vulnerabilità sui Danfoss AK-SM 800A un accesso di servizio nascosto che accetta un “codice del giorno” calcolato dalla sola data (CVE-2025-41450) e una command injection nella configurazione delle mail di allarme (CVE-2025-41451). Sui supervisori Copeland XWEB Pro erano state trovate 23 vulnerabilità, compresa una password di amministratore derivata da data e indirizzo MAC, e aveva mostrato un frigorifero con le ventole spente e il display fermo su una temperatura normale.

Molti dei dispositivi colpiti sono fuori supporto da anni e restano raggiungibili da Internet: il 13 ottobre una ricerca su Shodan, il motore di ricerca dei dispositivi connessi, ne contava quasi 5.000 nel mondo, 2.911 in Francia. Per quei modelli, ha osservato Denis Calderone di Suzu Lab, non esiste una patch da installare: monitoraggio, segregazione e infine sostituzione.

Se la soglia d’ingresso è bassa l’emulazione è un rischio concreto

Kevin Beaumont, tra le voci più seguite su Mastodon, nelle prime ore ha scritto che l’attacco era con molta probabilità opera di ragazzini annoiati piuttosto che manifestazione di guerra ibrida, criticando le ricostruzioni che imputavano l’evento a  sciami di agenti AI. Il giorno dopo ha ammesso di essere stato forse troppo sbrigativo, che per portare a compimento operazioni di questa portata qualche competenza serve. Resta il fatto che la soglia d’ingresso è bassa, e questo rende l’emulazione un rischio concreto.

Su Hacker News, quasi un migliaio di commenti, i contributi più interessanti vengono da chi questi impianti li gestisce. Il direttore IT di una catena di alimentari ha raccontato di aver ereditato controller con IP statici nella stessa rete degli uffici, perché il predecessore “pensava che le VLAN fossero spaventose”. Un tecnico ha spiegato che scollegare tutto risolve poco: i cicli di sbrinamento vanno coordinati in rete per non sovraccaricare i compressori. La proposta più concreta è limitare i parametri modificabili da remoto e legare le operazioni pericolose a una “mediazione” fisica sul posto. Qualcuno ha anche richiamato il Cyber Resilience Act, che sposterà sui produttori la responsabilità degli aggiornamenti di sicurezza mancati.

L’allerta di ACN fornisce chiare indicazioni per la mitigazione di questi rischi. Il bollettino ricorda che una pagina di login o un certificato HTTPS non bastano a rendere sicuro un sistema esposto, che le VLAN senza filtraggio non separano nulla, che vanno cercati i router cellulari e le connessioni installate dai manutentori. E chiede di includere refrigerazione, climatizzazione e building management nei programmi di gestione delle vulnerabilità, da cui oggi restano quasi sempre fuori.

La nuova frontiera

Qui sta la nuova frontiera. Le infrastrutture di un Paese comprendono ormai migliaia di oggetti fisici governati da centraline: celle frigorifere, impianti di climatizzazione, pompe, contatori, sistemi di accesso. Spesso sfuggono all’inventario IT e nessuno li aggiorna per decenni.

Per cominciare servono poche cose, fatte bene e con costanza: sapere quali controller ci sono e con quale firmware, togliere da Internet ciò che non deve starci, governare gli accessi remoti dei fornitori.

Vulnerability assessment per capire cosa proteggere e di cosa preoccuparsi. L’immancabile formazione cyber di base ai dipendenti e collaboratori, per aumentare la consapevolezza e tutelare il business. I costi per implementare misure di base sono abbordabili e anche un investimento a budget limitato può abbattere sensibilmente il rischio e tutelare il business aziendale.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo Dai frigoriferi francesi una nuova frontiera dell'(in)sicurezza informatica sembra essere il primo su CyberSecurity Italia.