Dopo la Francia, nella notte del 2 novembre gli impianti di refrigerazione dei supermercati sono stati colpiti in otto Paesi europei, Italia compresa. È un campanello d’allarme per GDO, sanità, trasporti e per chiunque gestisca dispositivi OT e IoT. Questi attacchi si possono anticipare, con AI, threat intelligence e monitoraggio continuo degli impianti.

Nella notte tra l’1 e il 2 novembre 2026 decine di supermercati in otto Paesi europei, Italia compresa, hanno subito attacchi agli impianti di refrigerazione. Banchi frigo e congelatori sono stati portati fino a 50 °C forzando lo sbrinamento, e all’alba la merce era da buttare. Nessuno ha rivendicato gli attacchi né chiesto un riscatto. Manca un movente economico, mentre il danno è fisico e si misura in tonnellate di cibo distrutto.

Questa ondata replica su scala europea l’attacco subito dalla Francia tre settimane prima, ma i segnali erano già presenti: ad agosto si erano guastati i congelatori di sei basi militari americane, mentre a ottobre Ahold Delhaize aveva segnalato attività sospette alla polizia olandese. Indizi che, letti insieme, fanno pensare a una campagna preparata da mesi.

Impianti frigoriferi connessi: le vulnerabilità di OT e IoT

In un supermercato moderno, banchi frigo e celle sono gestiti da controller connessi, accessibili da remoto ai manutentori, ma spesso privi di protezioni informatiche e fuori dagli inventari IT. Il problema è tutt’altro che marginale: a fine ottobre risultavano esposti su Internet 12.976 servizi di gestione della refrigerazione, distribuiti su 6.017 indirizzi IP in 99 Paesi. L’80% dei servizi Danfoss StoreView censiti utilizzava firmware non aggiornati.

L’analisi evidenzia cinque vulnerabilità ricorrenti negli ambienti OT e IoT: interfacce accessibili da Internet senza autenticazione forte; impianti con una vita utile di 15-20 anni, molto più lunga del supporto software; accessi remoti gestiti da manutentori esterni; responsabilità poco chiare tra retailer, installatori e produttori; e sistemi di monitoraggio insufficienti. L’aspetto che rende questi attacchi insidiosi è che non serve un malware, ma basta usare una funzione legittima, lo sbrinamento, nel momento e nel modo sbagliato: per un sistema di difesa basico è un’operazione indistinguibile dalla manutenzione ordinaria.

Non solo supermercati: i rischi per sanità, logistica e infrastrutture critiche

Il problema non riguarda solo i supermercati, ma tutte le strutture che utilizzano sistemi refrigeranti: ospedali, banche del sangue, depositi di vaccini e logistica refrigerata, e la stessa minaccia riguarda tutti i settori dipendenti da sistemi OT, IoT e automazione, classificati come critici dalla direttiva NIS2, dalla filiera alimentare ai trasporti e alle utility.

Gli effetti si articolano su cinque livelli: economico, tra merce distrutta, interventi tecnici e mancati incassi; operativo, con reparti chiusi e attività ordinarie interrotte; reputazionale, per la perdita di fiducia nella catena del freddo; ambientale, per le tonnellate di cibo sprecato; e sociale, perché l’insicurezza investe persino la spesa quotidiana, erodendo la fiducia dei cittadini nella resilienza del Paese.

Sicurezza OT e IoT: le misure urgenti per proteggere gli impianti

Gli attacchi di ottobre e novembre erano stati preceduti da segnali che, considerati nel loro insieme, delineavano un’escalation durata diciotto mesi. La difesa predittiva consiste proprio nell’anticiparli, riducendo il tempo tra il primo indizio e l’intervento.

Questo approccio poggia su quattro pilastri: monitoraggio delle minacce (dark web, forum e credenziali compromesse); mappatura continua dell’esposizione di sistemi IT, OT e IoT; analisi comportamentale, per individuare anomalie negli impianti; e risposta automatizzata, capace di isolare i sistemi compromessi e bloccare gli accessi sospetti in pochi minuti, senza aspettare l’apertura del punto vendita.

Nulla indica che la campagna sia finita, e chi gestisce impianti OT e IoT deve agire subito. Il primo passo è censire controller e sistemi di automazione, poi vanno chiusi gli accessi diretti da Internet, eliminate le password di default e imposta l’autenticazione a più fattori ai manutentori.

Infine serve un presidio continuo. Servono reti segmentate, accessi Zero Trust al posto delle vecchie VPN e la sostituzione dei dispositivi fuori supporto, con il virtual patching dove non si può aggiornare. Restano da preparare un piano di crisi conforme alla NIS2 e requisiti di sicurezza chiari per i fornitori. 

Il modello Sielte: visibilità, previsione, prevenzione e risposta

Sielte propone un modello di servizi gestiti che integra le competenze di Sielte Cyber Security, il presidio H24 del GLOC (con team SOC e NOC) e soluzioni dei principali vendor internazionali, per superare la frammentazione tra sistemi IT, OT e IoT, con quattro obiettivi.

Il primo è la visibilità: una piattaforma agentless censisce e classifica tutti i dispositivi connessi, ne rileva vulnerabilità e comportamenti anomali. Sonde passive monitorano gli ambienti industriali senza interferire con i processi, mentre una console centralizzata consente di controllare centinaia di siti da un unico punto.

Il secondo è la previsione: Sielte monitora dark web, forum e canali Telegram per individuare credenziali compromesse. A questo affianca sistemi di early warning sulle vulnerabilità sfruttate, intelligence DNS e analisi del rischio IT e OT, anche attraverso gemelli digitali degli impianti.

Il terzo è la prevenzione: firewall intelligenti, architetture Zero Trust e micro-segmentazione isolano i sistemi e limitano gli accessi dei manutentori. Il virtual patching protegge inoltre i dispositivi sui quali non è possibile installare aggiornamenti.

L’ultimo, è la risposta: un SOC basato sull’AI, integrato con il NOC, correla i segnali provenienti da rete, cloud e impianti OT, riconosce gli incidenti e attiva risposte automatiche.

Dall’allarme alla risposta: come fermare un attacco in pochi minuti

In uno scenario realistico, l’intelligence individua settimane prima minacce sui canali Telegram e controller esposti; nei giorni precedenti, un sistema di early warning segnala una vulnerabilità, protetta con virtual patching.

Alle 2 di notte, il monitoraggio rileva comandi anomali su 37 negozi: il SOC li riconduce a un unico attacco e, in pochi minuti, revoca gli accessi sospetti, ripristina i parametri e allerta i responsabili.

La lezione è che la cybersecurity deve diventare resilienza operativa. La responsabilità coinvolge produttori, gestori e manutentori, mentre la NIS2 impone una governance del rischio e capacità di rilevazione e risposta tempestive. Il prossimo bersaglio potrebbe essere una farmacia ospedaliera, un hub logistico o una stazione. La sfida è riconoscere la minaccia prima che produca danni.

Vai al sito di Cybersecurity Italia.

L'articolo Attacchi agli impianti frigoriferi della GDO: perché la difesa di OT e IoT deve diventare predittiva sembra essere il primo su CyberSecurity Italia.