Frigoriferi dei supermercati manomessi da remoto: allerta ACN in Italia

L'Agenzia per la cybersicurezza nazionale (ACN) ha diramato un'allerta agli operatori della grande distribuzione, della logistica alimentare, della refrigerazione industriale e della manutenzione degli impianti, dopo che gli attacchi informatici ai sistemi di refrigerazione commerciale iniziati in Francia a ottobre sono arrivati anche in Italia. Nel bollettino sulle misure urgenti per la distribuzione alimentare e la filiera del freddo l'Agenzia riferisce di aver ricevuto la notifica di incidente di un'azienda toscana della ristorazione collettiva e di aver individuato, senza che fosse ancora stato notificato, un attacco a un'impresa emiliana che produce surgelati.

Il caso più visibile è in Sicilia. Il gruppo Radenza, che gestisce supermercati a marchio Coop nell'isola, ha comunicato all'ANSA che verso le 4 del mattino del 2 novembre sono stati alterati i parametri di temperatura dei banchi refrigerati in almeno tre punti vendita di Catania e uno di Palermo, con il deterioramento di parte degli alimenti. In una nota del 3 novembre Palazzo Chigi definisce l'impatto sul territorio italiano "fortemente limitato", con poche unità commerciali coinvolte su migliaia, e afferma che non è emerso alcun rischio per la salute legato a scongelamenti.

Come gli attaccanti arrivano ai termostati dei banchi frigo

Il bersaglio sono i controller di refrigerazione, apparecchi che regolano temperature, allarmi e cicli di sbrinamento, cioè il riscaldamento periodico degli evaporatori per eliminare il ghiaccio. Molti sono collegati a Internet per consentire la teleassistenza dei manutentori. Secondo l'ACN gli attacchi hanno sfruttato installazioni obsolete, interfacce di amministrazione esposte direttamente in rete e autenticazione debole, e hanno permesso di avviare da remoto lo sbrinamento o di modificare i parametri operativi degli impianti. In entrambi i casi la catena del freddo si interrompe.

Nella prima ondata di attacchi ai supermercati francesi, nella notte tra l'11 e il 12 ottobre, sono stati colpiti centinaia di punti vendita. L'agenzia francese per la sicurezza informatica ANSSI ha ricondotto gli incidenti a due serie di regolatori del produttore danese Danfoss, AK-SC e AK-SM, e l'azienda ha dichiarato che gran parte degli apparecchi coinvolti erano modelli datati, non più aggiornati o con firmware obsoleto. La seconda ondata, nella notte tra il 1° e il 2 novembre, ha toccato tra gli altri Belgio, Svezia, Irlanda, Paesi Bassi ed Estonia, dove secondo l'emittente pubblica ERR un congelatore è stato portato fino a 50 °C. Per i casi italiani nessuna fonte istituzionale ha indicato il marchio dei dispositivi. L'amministratore delegato di Coop Radenza, Danilo Radenza, parla di un attacco al sistema di telecontrollo dei banchi surgelati.

Le misure chieste alle aziende e cosa resta da chiarire

L'ACN chiede di verificare con la massima urgenza se i sistemi di controllo e teleassistenza sono raggiungibili da Internet e di isolarli dalle reti informatiche aziendali. Le altre indicazioni del bollettino sono l'accesso remoto solo tramite VPN e autenticazione a più fattori, la revisione degli account con privilegi amministrativi e l'aggiornamento o la sostituzione dei dispositivi che il produttore non supporta più. La notifica arrivata dalla Toscana rientra negli obblighi previsti dalla direttiva europea NIS2 per le imprese della filiera alimentare, recepita in Italia con il decreto legislativo 138 del 2024.

Sul fronte del governo, a Palazzo Chigi si è riunito un tavolo con il sottosegretario Alfredo Mantovano, il ministro dell'Agricoltura Francesco Lollobrigida, il direttore dell'ACN e i vertici dell'intelligence. La nota indica quattro linee di intervento, cioè monitoraggio della minaccia, dialogo con fornitori e venditori degli impianti, individuazione e avviso dei soggetti esposti, comunicazioni preventive. Ogni anomalia segnalata viene trasmessa ai NAS dei Carabinieri. L'ACN ha convocato inoltre le federazioni di settore e le principali catene della distribuzione per un incontro sulle contromisure da adottare negli impianti.

All'ultimo aggiornamento, alle 16.00 del 3 novembre, restano senza conferma l'identità degli autori, il collegamento tecnico tra i casi italiani e quelli europei e il produttore dei sistemi violati in Italia. La polizia postale sta ricostruendo provenienza ed entità delle intrusioni in Sicilia. Anche il perimetro siciliano va precisato: il direttore generale Giuseppe Spadaro ha parlato di quattro punti vendita, l'amministratore delegato di almeno due, e la stima dei danni è ancora in corso.