Frigo dei supermercati hackerati: due gruppi filorussi rivendicano

Due gruppi di hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato gli attacchi informatici che dal 12 ottobre manomettono i sistemi di refrigerazione di supermercati e magazzini in mezza Europa, Italia compresa. La rivendicazione è arrivata il 4 novembre con un video diffuso sui social e anticipato dal Tg1. Nel video i due collettivi sostengono di aver colpito centraline Danfoss e piattaforme Dixell XWEB sfruttando funzioni già presenti negli impianti, senza bisogno di malware.

Nessuna autorità ha confermato che i due gruppi siano responsabili degli episodi. Tra chi indaga prevale lo scetticismo perché il testo contiene elementi reperibili su fonti aperte, come ha riferito l'agenzia ANSA. I messaggi originali erano comparsi sui canali Telegram dei due gruppi, che sono stati poi cancellati, e per questo le affermazioni non sono verificabili in modo indipendente secondo Cybernews.

Come si scalda un congelatore da remoto

Lo schema è quello già visto in Francia nella notte tra l'11 e il 12 ottobre. Secondo il ministro dell'Economia Roland Lescure, circa 700 supermercati su 10.000 si sono ritrovati allora con banchi frigo e congelatori fuori uso. Il sistema di gestione della refrigerazione è la centralina che regola temperature e allarmi di un intero punto vendita, e il manutentore la consulta a distanza. Chi riesce a entrarci può attivare il ciclo di sbrinamento e lasciarlo acceso. Nei casi documentati i banchi hanno toccato i 50 °C. La società belga Sabcobel, che gestisce gli impianti dei supermercati Delhaize, ha confermato che gli aggressori avevano impostato proprio la modalità di sbrinamento.

Il 12 ottobre il CERT-FR, il centro francese di risposta agli incidenti informatici, aveva segnalato numerose compromissioni delle centraline Danfoss AK-SM e AK-SC e delle piattaforme Copeland-Dixell XWEB. Aveva anche chiesto agli operatori di togliere le interfacce esposte su internet. Danfoss ha spiegato che gran parte degli apparecchi colpiti in Francia erano prodotti fuori supporto, che non ricevono più aggiornamenti di sicurezza. Copeland aveva pubblicato a febbraio 18 vulnerabilità delle unità Xweb Pro fino al firmware 1.12.1. La tecnica descritta nel video usa comandi legittimi del sistema e non introduce software malevolo, quindi lascia poche tracce da analizzare.

Z-Pentest è nato alla fine del 2024 da ex membri di NoName057(16) e di Cyber Army of Russia Reborn. Il gruppo d'origine è noto soprattutto per gli attacchi DDoS contro siti istituzionali italiani, che sommergono un sito di traffico artificiale fino a renderlo irraggiungibile. Z-Pentest cerca invece pannelli di controllo industriali esposti in rete o protetti da password deboli. Secondo i ricercatori di Forescout, dal gennaio 2026 i due gruppi hanno rivendicato oltre 20 attacchi a impianti di refrigerazione, compresi magazzini ortofrutticoli e cantine.

Cosa resta da verificare, in Europa e in Italia

In Italia l'Agenzia per la cybersicurezza nazionale (ACN) ha ricevuto il 2 novembre la notifica di un'azienda toscana della ristorazione collettiva e ha rilevato un attacco a un produttore emiliano di surgelati. In Sicilia il gruppo Radenza ha segnalato manomissioni avvenute alle 4 del mattino in almeno quattro supermercati Coop in franchising, tre a Catania e uno a Palermo. L'ACN ha richiamato la grande distribuzione organizzata, la logistica alimentare e le ditte di manutenzione alle misure del bollettino pubblicato il 13 ottobre. Federdistribuzione ha riferito il 3 novembre di non aver riscontrato criticità nelle reti dei propri associati.

Il 3 novembre la Commissione europea ha riunito ENISA, Europol, la rete EU-CyCLONe e le autorità nazionali dei Paesi colpiti, tra cui Belgio, Paesi Bassi, Lussemburgo, Irlanda, Svezia ed Estonia. Il commissario all'Agricoltura Christophe Hansen ha parlato di un tentativo deliberato di interrompere l'approvvigionamento alimentare. Nella notte tra l'1 e il 2 novembre in Francia sono state manomesse anche tre celle dell'Établissement français du sang, portate da meno 30 a 110 °C. Secondo il ministero della Salute non ci sono state conseguenze sanitarie.

Non è confermato che gli episodi di ottobre e novembre abbiano un unico autore. Non è confermato nemmeno che NoName057(16) e Z-Pentest abbiano avuto accesso diretto agli impianti, invece di intestarsi attacchi già noti. È il dubbio espresso dal ricercatore di threat intelligence CyberKnow, che ha rilanciato per primo i messaggi. NoName057(16) dice di aver diffuso un campione di oltre 2.500 righe con credenziali di dipendenti e clienti Danfoss, e non risultano verifiche pubbliche su quel campione. Le indagini non hanno ancora collegato gli attacchi di novembre a una vulnerabilità specifica.