Attacchi hacker ai supermercati: a rischio la catena del freddo. Frigoriferi e banchi surgelati manomessi a distanza, temperature alterate e alimenti deteriorati. Il 2 novembre una massiccia ondata di attacchi informatici ha colpito i sistemi di refrigerazione di supermercati e imprese alimentari in diversi Paesi europei, coinvolgendo, se pure in misura marginale, anche l’Italia. Nel mirino ci sono i sistemi di telecontrollo, che permettono ai tecnici di sorvegliare gli impianti e regolarne il funzionamento da remoto: ottenendo un accesso abusivo, gli attaccanti possono modificare le temperature o attivare i cicli di sbrinamento, compromettendo la conservazione delle merci. Dopo gli attacchi registrati in Francia due settimane fa, ieri nuovi episodi hanno interessato i sistemi di refrigerazione di supermercati e operatori alimentari in Belgio, Lussemburgo, Irlanda, Paesi Bassi, Lettonia, Finlandia e Svezia. In Italia al momento sono emersi alcuni casi in Sicilia, Toscana ed Emilia-Romagna. Di fronte all’estensione degli attacchi in Europa, l’Agenzia per la cybersicurezza nazionale ha richiamato gli operatori italiani della distribuzione, della logistica alimentare e della manutenzione all’adozione urgente delle misure di protezione già indicate dopo gli incidenti francesi.
Il nodo tecnico è l’abuso delle funzioni di controllo: una volta ottenuto l’accesso, l’attaccante può compromettere la refrigerazione usando comandi previsti per la manutenzione, senza necessariamente introdurre malware. La difesa deve quindi riconoscere anche operazioni formalmente ammesse ma incompatibili con il normale funzionamento dell’impianto, come uno sbrinamento prolungato o una modifica anomala delle temperature impostate. Servono informazioni che i team di sicurezza devono ricostruire insieme a chi gestisce gli impianti e gli accessi dei manutentori.
Attacchi hacker ai supermercati: cosa sta succedendo in Italia
In Italia i casi finora emersi riguardano alcuni supermercati Coop gestiti dal gruppo Radenza in Sicilia, un’azienda toscana della ristorazione collettiva e un produttore emiliano di surgelati. Nei punti vendita siciliani, secondo quanto riferito dal gruppo, la manomissione delle temperature ha causato il deterioramento degli alimenti.
In una nota pubblicata nella mattinata di oggi, ACN comunica di aver ricevuto la notifica NIS dell’azienda toscana e individuato l’attacco al produttore di surgelati, ancora non notificato al momento della comunicazione. Sono in corso accertamenti sui possibili legami con gli episodi europei.
L’estensione degli attacchi ha spinto l’Agenzia a intensificare il monitoraggio e a sollecitare l’applicazione delle misure già indicate dopo i casi francesi di ottobre. Il richiamo coinvolge l’intera filiera: grande distribuzione, logistica alimentare, refrigerazione industriale e manutentori. ACN ha inoltre programmato un incontro con le associazioni di settore e le principali aziende della GDO; secondo quanto riportato da Repubblica e da altre fonti di agenzia, il confronto coinvolgerà direttamente gli amministratori delegati e sarà affiancato da una riunione a Palazzo Chigi.
Restano da chiarire le modalità di accesso ai sistemi e l’eventuale regia comune degli attacchi. Al momento, nonostante anche le autorità europee avanzino ipotesi che ricondurrebbero questi episodi a forme di “guerra ibrida”, non ci sono elementi sufficienti per attribuirli a uno specifico gruppo o a un’operazione geopolitica.
Il rischio passa dal telecontrollo degli impianti
Nelle scorse settimane, gli attacchi registrati da centinaia di punti vendita francesi avevano già fatto emergere il problema. Il CERT-FR, il centro nazionale francese che si occupa di prevenire e gestire gli incidenti informatici, aveva pubblicato il 12 ottobre un avviso sulle compromissioni dei controller remoti per la refrigerazione, indicando dispositivi Danfoss delle serie AK-SM e AK-SC, Copeland xweb e Dixell xweb. La segnalazione riguarda dunque più famiglie di prodotti e richiama il rischio delle interfacce di gestione esposte su Internet, che permettono ai tecnici di controllare gli impianti e modificarne il funzionamento da remoto. È evidente che accessi abusivi possono mettere le stesse capacità nelle mani di un attaccante.
Secondo Rafe Pilling, Director of Threat Intelligence di Sophos, è improbabile che gli attaccanti stiano ricorrendo a tecniche particolarmente sofisticate: le interfacce di amministrazione esposte su Internet, spesso poco protette e soggette a vulnerabilità note, offrono già possibili punti di accesso agli impianti. “L’ipotesi più probabile è che gli attaccanti stiano sfruttando le funzionalità legittime dei sistemi per scopi malevoli”, osserva. Una volta entrati, possono usare i comandi riservati ai manutentori per attivare lo sbrinamento e aumentare le temperature, agendo anche di notte per ridurre la probabilità che qualcuno rilevi subito l’anomalia.
Sophos dichiara di aver raccolto elementi compatibili con questa dinamica. Pilling non esclude un’altra possibilità, la compromissione delle società che monitorano e gestiscono gli apparati per conto dei retailer, ma precisa che al momento non ha riscontrato evidenze a sostegno di questa ipotesi.
La distinzione conta: l’abuso di una funzione di manutenzione e l’intrusione attraverso un fornitore sono percorsi diversi. Possono produrre effetti simili, ma richiedono indagini per ricostruire come sia stato ottenuto l’accesso.
Attacchi hacker ai supermercati: un comando autorizzato può essere usato per provocare un danno
La stessa visione è condivisa da NAIS, che sottolinea un aspetto decisivo per la difesa: un’azione dannosa può essere eseguita senza introdurre necessariamente malware. “Le analisi condotte dal nostro team di Threat Intelligence su incidenti analoghi hanno evidenziato come gli attaccanti possano sfruttare funzionalità legittime degli impianti”, spiega Carlo Testa, CEO e General Manager della società.
Per riconoscere l’attacco occorre quindi valutare anche il significato operativo dei comandi. Uno sbrinamento è una funzione prevista. La sua durata, il momento in cui viene attivato o la ripetizione anomala possono invece segnalare un problema. Lo stesso vale per una modifica della temperatura impostata.
Anche Moreno Carullo, Co-founder e CTO di Nozomi Networks, insiste sulla necessità di estendere la protezione agli impianti: “Chi gestisce il retail alimentare deve comprendere che proteggere un compressore frigorifero oggi ha lo stesso valore strategico di difendere il server aziendale”. Tra le priorità indicate da Nozomi ci sono il monitoraggio delle variazioni anomale di temperatura, dei cicli di sbrinamento prolungati e dei comandi insoliti inviati ai controllori, per rilevare la manomissione prima che provochi danni irreversibili.
È un punto rilevante anche per i partner tecnologici: interpretare correttamente un evento richiede il confronto con chi conosce l’impianto, i suoi cicli e gli interventi di manutenzione programmati.
L’AI accelera la riproduzione delle vulnerabilità note
Claroty aggiunge un ulteriore elemento alla valutazione del rischio: il tempo necessario per riprodurre vulnerabilità già pubbliche. In un test effettuato il 13 ottobre, Team82, il gruppo di ricerca di Claroty, ha verificato quanto tempo servisse a un agente AI per sviluppare un attacco sfruttando vulnerabilità già note di un controllore Danfoss. I ricercatori gli hanno messo a disposizione le informazioni pubbliche sulle falle e il software che governa il dispositivo. Con la loro guida, l’agente ha prodotto in circa 28 minuti il codice necessario a eseguire comandi con i massimi privilegi sul controllore usato in laboratorio. Il costo di utilizzo dell’AI è stato di circa 6 dollari.
In questo caso, L’AI ha sfruttato falle già note con l’aiuto dei ricercatori, che ne hanno corretto gli errori. Il test mostra come possa accelerare la preparazione di un attacco, ma non prova che sia stata usata contro i supermercati.
Dopo il primo allarme, molte interfacce erano ancora online
Dopo gli attacchi in Francia, molti pannelli di gestione degli impianti di refrigerazione risultavano ancora raggiungibili. Lo mostra una rilevazione di IPinfo, società specializzata nell’analisi dei dati sugli indirizzi IP, che ha seguito nel tempo l’esposizione online delle interfacce Danfoss.
Dei pannelli individuati il 6 e 7 ottobre, il 27 ottobre risultavano ancora accessibili allo stesso indirizzo 55 su 73 in Svezia, pari al 75%, e 43 su 85 in Belgio, il 51%. In Francia, dove nel frattempo si erano verificati gli attacchi, la quota era scesa al 10%: 131 indirizzi su 1.331.
Attenzione, però. Questi numeri misurano la presenza online dei pannelli di gestione, non gli attacchi subiti: un’interfaccia raggiungibile non è necessariamente compromessa. Non sappiamo inoltre se i dispositivi rilevati siano quelli successivamente colpiti; IPinfo precisa che il coinvolgimento di Danfoss negli episodi belgi e svedesi non è confermato. Il dato evidenzia però che, dopo l’allarme francese, in Belgio e Svezia molti dei pannelli osservati erano rimasti esposti sulla rete pubblica.
Attacchi hacker ai supermercati: fornitori e manutentori fanno parte del perimetro da proteggere
La gestione degli accessi è particolarmente delicata quando coinvolge più soggetti. Amir Preminger, CTO di Claroty, richiama nella nota diffusa dall’azienda la visibilità incompleta che molti retailer hanno dei propri ambienti IT e OT: alcuni potrebbero non sapere che i controllori sono raggiungibili da Internet. I collegamenti possono essere stati predisposti dall’impresa, dal system integrator o da altri fornitori. Per ricostruire l’esposizione occorre quindi coinvolgere chi ha configurato e gestisce gli apparati.
Un’insegna, un affiliato e una società di manutenzione possono avere responsabilità diverse sugli stessi impianti. Per proteggerli occorre ricostruire chi dispone delle credenziali, quali operazioni può eseguire e su quanti punti vendita. Preminger raccomanda accessi remoti protetti e monitorabili, la sostituzione delle password predefinite e la segmentazione dei sistemi. La manutenzione a distanza deve poter proseguire attraverso percorsi controllati, senza esporre direttamente le console alla rete pubblica.
Testa richiama i rischi di credenziali condivise, accessi remoti non protetti e dispositivi obsoleti, che possono ampliare le conseguenze di una compromissione. Precisa però che non è ancora accertata una causa tecnica comune agli episodi attuali.
Per system integrator e fornitori di servizi di sicurezza, il lavoro parte quindi dalla conoscenza delle connessioni effettive. Nel contributo Nozomi vengono richiamati anche collegamenti cellulari dedicati e accessi predisposti dai manutentori: percorsi che devono essere considerati insieme alla rete aziendale.
La verifica deve arrivare alle autorizzazioni operative: un tecnico deve poter raggiungere gli impianti di sua competenza, con privilegi coerenti con il lavoro da svolgere. Se cambia il contratto o termina l’incarico, devono essere aggiornati anche gli accessi. Sono scelte che richiedono il coinvolgimento di chi gestisce fornitori e manutenzione, oltre ai responsabili della sicurezza.
Mettere in sicurezza senza fermare la refrigerazione
La nota pubblicata da ACN chiede di verificare con la massima urgenza se i sistemi di controllo e teleassistenza siano esposti su Internet e di collocarli in ambienti protetti, separati dalle reti informatiche aziendali. Per gli accessi remoti indica VPN e autenticazione a più fattori: l’ingresso ai sistemi deve quindi essere protetto anche da una verifica aggiuntiva rispetto alla password.
L’Agenzia richiama inoltre la verifica degli account privilegiati, quelli che consentono di amministrare gli apparati e modificarne le impostazioni, e l’aggiornamento o la sostituzione dei dispositivi non più supportati dai produttori. Sono indicazioni che coinvolgono direttamente imprese, partner tecnologici e manutentori: occorre accertare chi può intervenire sugli impianti e con quali protezioni.
Un aspetto merita particolare attenzione: gli interventi devono essere coordinati con responsabili degli impianti e manutentori, evitando interruzioni incontrollate della refrigerazione. Il bollettino richiama inoltre la verifica delle temperature effettive e del funzionamento degli allarmi, anche attraverso strumenti indipendenti dalla piattaforma di supervisione, quando disponibili.
Moreno Carullo di Nozomi sintetizza così l’estensione del problema: “il perimetro di difesa della grande distribuzione deve andare oltre il datacenter”. Per chi offre servizi di cybersecurity significa includere gli apparati operativi negli inventari, nel monitoraggio e nelle procedure di risposta, lavorando con competenze specifiche sugli impianti.Anche la ripartenza richiede verifiche ulteriori rispetto al ritorno delle connessioni. Occorre accertare che i parametri siano affidabili, gli accessi sotto controllo e gli allarmi efficaci. La valutazione delle merci spetta ai responsabili competenti: il ripristino della temperatura, ricorda il bollettino, non dimostra da solo che le condizioni di conservazione siano state mantenute.
LEGGI ANCHE: Rapporto Clusit, incidenti cyber in crescita del 71% nel mondo. In Italia la manifattura è il primo bersaglio
