Nella notte tra l’11 e il 12 ottobre qualcuno ha forzato da remoto lo sbrinamento dei banchi frigo di circa 700 supermercati francesi, fino a 50 °C. Nessun genio del crimine: controller vecchi, senza patch da anni ed esposti su Internet. Nessuna rivendicazione, danni stimati in decine di milioni di euro. E un copione già scritto da anni…

Un cartello in un supermercato francese annuncia l’interruzione della catena del freddo a causa di un attacco informatico nazionale che ha colpito i sistemi di refrigerazione.

Settecento supermercati francesi, banchi frigo a 50 gradi e nessun genio del male: solo password deboli, apparati vecchi e una catena di responsabilità in cui nessuno tiene il cerino.

Per anni ci hanno raccontato che la guerra cibernetica sarebbe arrivata con il blackout delle centrali elettriche, il crollo delle borse, i satelliti accecati. Poi, una domenica notte di ottobre, in Francia, la guerra ibrida è arrivata nel reparto latticini.

Nessuna centrale nucleare, nessun missile digitale. Solo yogurt tiepidi, bastoncini di pesce scongelati e congelatori che soffiavano aria calda come un phon da parrucchiere. Benvenuti nel primo grande sabotaggio informatico della catena alimentare europea: tecnicamente banale, economicamente salatissimo e, soprattutto, ampiamente annunciato.

Una notte da 50 gradi

Nella notte tra l’11 e il 12 ottobre 2026 qualcuno si è collegato da remoto ai sistemi che regolano il freddo di centinaia di supermercati francesi e ha premuto, in sostanza, il tasto “sbrinamento”. Forzato, continuo, con temperature spinte fino a circa 50 °C. All’alba i dipendenti hanno trovato i banchi frigo trasformati in forni ventilati.

Il bilancio, fornito in Parlamento dal ministro dell’Economia Roland Lescure, parla di circa 700 supermercati colpiti su 10.000. Intermarché e Netto contano circa 300 punti vendita, Coopérative U 80, Carrefour altri 80, poi una trentina di Monoprix e diversi E.Leclerc. In alcuni banchi è uscito fumo, e la Procura di Parigi indaga anche su principi d’incendio. E siccome una notte non bastava, la seconda ha portato il bis: altri controller, di un altro fabbricante, con un setpoint scritto a 150 °C su impianti che dovrebbero stare a -22. Più che un attacco, un’ironia termodinamica.

Geni del crimine? No, porte spalancate

Sarebbe consolante immaginare un’élite di hacker in felpa nera che decifra codici impossibili. La realtà è più imbarazzante. I controller colpiti, soprattutto i Danfoss AK-SM e AK-SC, erano raggiungibili direttamente da Internet, come una porta di casa lasciata socchiusa con il cartello “torno subito”. I modelli più coinvolti, secondo la stessa Danfoss, erano l’AK-SM 800, a fine vita dal 2021, e l’AK-SC 355, ritirato nel 2016. Tradotto: apparati che non ricevono una patch di sicurezza da anni, ma che continuavano a governare la temperatura del prosciutto cotto e dei latticini. Alcuni modelli recenti sono caduti lo stesso, perché nessuno aveva aggiornato il firmware.

Gli aggressori non hanno rotto nulla. Hanno usato il pannello di controllo esattamente come previsto, solo con intenzioni diverse.

Trovarli non richiedeva intelligence militare. Bastano motori di ricerca pubblici come Shodan e Censys: su circa 4.980 risultati legati a Danfoss, 2.911 erano francesi. Un frigorista della Gironda ha visto cambiare due o tre parametri al secondo: non un hacker con il cappuccio, ma uno script che gira da solo. E il colpo di grazia lo dà un esperto citato da Industrial Cyber: lo sbrinamento non è un exploit, è una funzione. Gli aggressori non hanno rotto nulla. Hanno usato il pannello di controllo esattamente come previsto, solo con intenzioni diverse. Gli esperti francesi hanno definito il tutto “d’une banalité absurde”. Difficile dar loro torto.

Il gioco del cerino

A questo punto parte lo sport nazionale di ogni crisi tecnologica: indicare qualcun altro. Il fabbricante fa notare, non senza ragione, che quei prodotti erano dichiarati a fine vita e che da tempo raccomandava firmware aggiornato e firewall. Come il venditore d’auto che ti ricorda, dopo l’incidente, che i freni andavano cambiati nel 2021. Vero. Ma resta da capire se basti una circolare per lavarsi le mani di migliaia di apparati ancora accesi e collegati.

Il frigorista, cioè l’installatore e manutentore, è spesso quello che apre l’accesso remoto per poter intervenire senza muoversi alle tre di notte. Comodo, efficiente, economico. Fino a quando la porta che usi tu la usa anche qualcun altro. Intervenire sul posto richiede tempo, risorse e impiegati. Secondo Le Moniteur, sindacato dei frigoristi, fabbricante ed esperti di regolazione conoscevano le vulnerabilità. Lo sapevano tutti, tranne forse il frigorifero.

Il Marchio, infine. Molti supermercati francesi sono imprenditori indipendenti affiliati a un marchio: la sicurezza informatica del banco salumi dipende dal singolo titolare, che di solito ha altre priorità, tipo far quadrare i conti a fine mese. La sicurezza OT, cioè dei sistemi che muovono il mondo fisico, finisce così in una terra di nessuno.

Risultato: tre attori, nessun responsabile, settecento negozi da svuotare. Il cerino è rimasto in mano ai clienti, davanti a scaffali vuoti e a un cartello che spiega che il sistema di refrigerazione è stato compromesso.

Il conto, prego

L’aspetto più istruttivo di questa storia è l’asimmetria. Da una parte un attacco che costa quasi nulla: uno scanner pubblico, uno script, qualche notte libera. Dall’altra decine di milioni di euro di danni stimati su scala nazionale. Qualche cifra per rendere l’idea:

• due Intermarché di Haguenau, in Alsazia, hanno perso 270.000 euro di merce ;
• per il CEO di Coopérative U, Dominique Schelcher, un ipermercato può arrivare a 180.000-200.000 euro, un piccolo negozio a qualche decina di migliaia;
• un gestore ha buttato 50 metri cubi di prodotti e non intende ricollegare gli impianti prima delle feste.

E l’assicurazione? Qui la commedia si fa sottile. Le polizze cyber sono nate per furti di dati e server bloccati; i danni materiali da sabotaggio informatico finiscono spesso in un limbo tra “cyber” e “danni ai beni”. Molti dei distributori non risultano coperti per questo tipo di evento. Il CERT-FR, nel suo bollettino, invita persino a controllare le clausole del contratto assicurativo prima di staccare il frigo da Internet. Siamo all’assurdo: per mettere in sicurezza un banco frigo bisogna prima chiamare il broker.

Poi c’è il costo che non sta nei bilanci: tonnellate di cibo distrutto in un’epoca di inflazione alimentare e di campagne contro lo spreco. Intermarché ha parlato apertamente di “gaspillage alimentaire”. Un furto di password non si vede; un cassonetto pieno di formaggi sì, ed è un’immagine che resta.

Chi è stato? Silenzio in sala

Ecco il dettaglio che dovrebbe inquietare più delle temperature: nessuno ha rivendicato l’attacco e nessuno ha chiesto un riscatto. A una settimana dai fatti non c’è un sospetto ufficiale. Il cybercrimine classico vuole soldi; gli hacktivisti vogliono visibilità. Qui non c’è né l’una né l’altra cosa.

Le ipotesi sul tavolo sono due, spiega Gérôme Billois di Wavestone: la pista statale e quella di attivisti ideologici, con la prima ritenuta più probabile proprio per l’assenza di rivendicazione. Ma la scarsa sofisticazione tecnica, potrebbe indicare anche semplici opportunisti. Il contesto non aiuta a dormire tranquilli. La Francia ha già attribuito formalmente al servizio militare russo (GRU) una dozzina di compromissioni dal 2021. Detto questo, e va detto chiaramente: nessuna fonte collega oggi questo episodio alla Russia o ad altri Stati. Chi lo dà per scontato sta facendo geopolitica da bar, non analisi.

Una cosa però è certa. Se qualcuno voleva dimostrare che si può colpire la vita quotidiana di un Paese europeo senza sparare un colpo, senza malware e senza firmare l’opera, ci è riuscito benissimo.

“Inedito”, dicono. Davvero?

Tutti, dai CEO ai ministri, hanno definito l’attacco “inedito”. Per la scala, certo. Per il resto, la storia era scritta da anni, e con una certa precisione.

• 2022. Secondo un bollettino della stessa Danfoss, 16 supermercati russi e 40 israeliani con controller simili vengono attaccati; i negozi israeliani non avevano né firewall né VPN.
• 2023. Il gruppo CyberAv3ngers, legato ai Pasdaran iraniani, prende il controllo di impianti idrici negli Stati Uniti attraverso PLC esposti online e protetti dalla password di fabbrica. L’agenzia americana CISA raccomanda allora le stesse identiche cose: niente password di default, niente apparati su Internet, accesso tramite VPN.
• 2023. La società francese Synacktiv individua la vulnerabilità durante un audit e osserva impianti frigoriferi esposti online per pura comodità.
• Agosto 2026. Due mesi prima dell’attacco, Claroty pubblica una ricerca dal titolo quasi profetico, Freeze the Controller, Defrost the Food, e conta 2.765 controller AK-SM 800A esposti su Internet.

Non è mancata l’informazione. È mancato qualcuno disposto ad ascoltarla e a pagare per agire.

Quando un ricercatore intitola il suo studio “congela il controller, scongela il cibo” e due mesi dopo il cibo si scongela davvero, la parola “inedito” assume un sapore vagamente comico. Non è mancata l’informazione. È mancato qualcuno disposto ad ascoltarla e a pagare per agire.

Le domande che non vogliamo farci

Il ministro Lescure ha parlato di un campanello d’allarme per tutti. Il rischio è che, come ogni campanello, lo si spenga e si torni a dormire. Per evitarlo, conviene mettere sul tavolo alcune domande scomode.

1. Il frigorifero del supermercato è un’infrastruttura critica? Nessuno lo considera tale, eppure è l’ultimo anello della catena alimentare. La direttiva europea NIS2 copre produzione, trasformazione e distribuzione all’ingrosso degli alimenti, ma lascia in gran parte fuori il commercio al dettaglio. Il banco frigo sotto casa vale meno della cella frigorifera di un grossista? L’attacco francese suggerisce di no.

2. Basta dichiarare un prodotto “a fine vita”? Oggi un fabbricante può smettere di aggiornare un apparato e considerare chiuso il discorso, anche se migliaia di esemplari restano accesi e connessi. Il Cyber Resilience Act europeo prova a cambiare le regole, ma vale per i prodotti futuri. Chi paga per quelli già installati, che dureranno ancora dieci anni?

3. La comodità è un diritto acquisito? La telegestione fa risparmiare tempo e denaro, ed è legittima. Ma esporre un pannello di controllo su Internet senza VPN è, per usare le parole del CERT-FR, contrario alle buone pratiche. Fino a quando accetteremo di scambiare sicurezza con dieci minuti di viaggio risparmiati al tecnico?

4. Chi paga il conto del rischio? Se le assicurazioni non coprono e i fabbricanti declinano, il costo ricade sui gestori dei negozi e, alla fine, sui prezzi al consumo. Il sabotaggio informatico rischia di diventare una tassa occulta sulla spesa.

5. E in Italia? La grande distribuzione italiana usa gli stessi fornitori, e nulla garantisce che non abbia anch’essa qualche apparato vecchio collegato alla rete per comodità. Vale la pena chiederselo.

La lezione francese non è che gli hacker sono diventati più bravi. È che noi siamo rimasti uguali. Abbiamo collegato a Internet ogni cosa, dal frigorifero alla caldaia, convinti che il problema della sicurezza riguardasse solo i dati personali e le banche. Poi abbiamo scoperto che anche i banchi frigo dello yogurt costituiscono una vulnerabilità. Si può riderne, ed è giusto farlo: l’immagine dei congelatori trasformati in stufe ha qualcosa di grottesco. Ma dietro la battuta c’è una domanda seria, che riguarda tutti: quante altre porte abbiamo lasciato aperte, convinti che dall’altra parte non ci fosse niente da rubare?