Nella notte tra domenica e lunedì un nuovo attacco hacker ai frigoriferi dei supermercati ha colpito decine di punti vendita in Europa. Le segnalazioni arrivano da Belgio, Lussemburgo, Paesi Bassi, Svezia, Finlandia, Irlanda ed Estonia. In Sicilia, secondo Federdistribuzione, sono coinvolti circa venti negozi tra Catania, Ragusa e Palermo. Stamattina si è aggiunta la Germania, con un supermercato Edeka a Reisbach, in Bassa Baviera. Lo schema è sempre lo stesso: i banchi frigo e i congelatori vengono comandati a distanza e salgono fino a 50 gradi. Il risultato è la distruzione di carne, latticini e surgelati. In diversi casi i sistemi colpiti sono centraline di refrigerazione prodotte dalla danese Danfoss.

Attacco hacker ai frigoriferi in Francia, il precedente del 12 ottobre

È la replica, su scala più ampia, di quanto accaduto in Francia tre settimane fa. Nella notte tra l’11 e il 12 ottobre gli aggressori avevano preso il controllo dei sistemi di refrigerazione di centinaia di supermercati Intermarché, Coopérative U ed E. Leclerc, avviando uno sbrinamento continuo. Lo sbrinamento è una funzione ordinaria, che serve a sciogliere il ghiaccio sugli elementi refrigeranti e di norma dura un paio d’ore al giorno. Trasformato in un ciclo senza fine, aveva portato le temperature a 50 gradi per circa sei ore.

Byoblu aveva raccontato quell’attacco il 12 ottobre, tra i primi in Italia, quando la vicenda veniva accolta con un diffuso scetticismo. Già allora emergevano i due elementi che oggi tornano al centro: i controller Danfoss di vecchia generazione e le vulnerabilità note da mesi.

Sul numero dei negozi francesi colpiti le stime restano divergenti. Le cifre circolate in Francia andavano da 250 a 350, mentre altre ricostruzioni ne indicano circa 150. La procura di Parigi ha il compito di censirli.

Attacco hacker ai supermercati in Belgio e Svezia: i negozi colpiti

Il Belgio è il Paese più esposto. Delhaize parla di un «incidente informatico» in circa 40 punti vendita tra Belgio e Lussemburgo, compresi alcuni Spar, minimarket Proxy Delhaize e negozi Shop & Go nelle stazioni di servizio. Stephan Moelans, amministratore delegato di Sabcobel, l’azienda che gestisce gli impianti frigoriferi di Delhaize, ha confermato che si è trattato di un attacco informatico: gli evaporatori sono stati messi in modalità sbrinamento e i tecnici hanno passato la notte a scollegare gli impianti, a partire dall’una. In un negozio a nord-est di Bruxelles un cartello avvertiva che i banchi frigo erano vuoti «a causa degli attacchi informatici».

Carrefour Belgio indica 15 negozi colpiti su oltre 700. Colruyt ne segnala cinque, Intermarché 15, ma queste due catene parlano di problemi tecnici senza citare un attacco. È stato colpito anche l’Ikea di Mons, l’unico in Belgio, secondo l’azienda, perché si appoggia a un fornitore diverso dagli altri. La procura belga ha aperto un’indagine penale.

In Svezia la catena ICA ha confermato un incidente in un numero limitato di negozi, senza precisare quanti. La portavoce Helena Johansson ha spiegato che erano tutti collegati a un sistema esterno di controllo della refrigerazione fornito da Danfoss. Coop parla di sei negozi colpiti su circa 800; altre fonti ne indicano sette. Il portavoce Carlos Cancino ha osservato che erano connessi alla vecchia rete mobile 4G anziché al sistema 5G aggiornato, e quindi «più esposti». In Irlanda il grossista Musgrave ha ritirato prodotti freschi e surgelati da 13 supermercati SuperValu.

In Estonia Jann Mutso, direttore di Kitman Coldtech, distributore di sistemi di refrigerazione connessi, ha riferito all’emittente pubblica ERR che gli apparecchi colpiti erano vecchi modelli Danfoss, simili a quelli francesi: «La firma è la stessa».

Attacco hacker ai frigoriferi in Sicilia: l’accesso dagli indirizzi IP

In Italia il conto lo ha aggiornato stamattina Giovanni Arena, delegato di Federdistribuzione per la Sicilia: «Al momento abbiamo notizia di circa 20 punti vendita coinvolti». Secondo Arena, gli aggressori sono passati attraverso i servizi di telegestione e monitoraggio degli impianti, arrivando a modificare le temperature di conservazione. «Il comune denominatore è stato l’accesso diretto tramite gli IP dei frigoriferi», ha spiegato. Altri gruppi della distribuzione siciliana sarebbero stati risparmiati perché dotati di sistemi di sicurezza aggiornati.

L’Agenzia per la cybersicurezza nazionale aveva diffuso raccomandazioni dopo l’attacco francese. Non sono bastate a evitare il caso siciliano.

Danfoss, i controller obsoleti al centro degli attacchi

Danfoss ha confermato alla televisione danese che gli incidenti segnalati in diversi Paesi europei riguardano anche i suoi prodotti e che l’azienda sta assistendo i clienti. Dopo l’attacco francese aveva spiegato che gran parte dei dispositivi colpiti erano modelli «legacy», come i regolatori AK-SM800 e AK-SC355, che non ricevono più aggiornamenti software o di sicurezza. L’azienda sostiene di averne raccomandato da tempo la sostituzione.

La raccomandazione, però, è rimasta tale. Le falle erano documentate: a maggio 2025 l’agenzia statunitense CISA aveva segnalato una vulnerabilità grave (CVE-2025-41450) che permetteva di aggirare l’autenticazione sulla piattaforma AK-SM 8xxA. Ad agosto 2025 i ricercatori di Team82, del gruppo Claroty, avevano trovato nei controller Danfoss un accesso nascosto basato su un codice giornaliero, capace di concedere pieni poteri di amministratore, e avevano contato migliaia di dispositivi raggiungibili da internet. Danfoss non ha mai chiarito quanti sistemi siano stati compromessi né quanti apparecchi obsoleti siano ancora in funzione.

Falle elementari più che tecnica sofisticata

Nelle prime ore dopo l’attacco francese alcuni esperti avevano parlato di «un certo livello di sofisticazione», per la capacità di colpire centinaia di impianti in contemporanea. Le valutazioni successive vanno in un’altra direzione. Vincent Strubel, direttore dell’ANSSI, l’agenzia francese per la sicurezza informatica, ha attribuito l’attacco a «difetti di sicurezza elementari»: impianti esposti direttamente su internet, amministrati senza protezioni particolari, con password deboli. Secondo l’emittente France Info, i frigoriferi colpiti comparivano in elenchi pubblici online e bastava indovinare la password.

Kévin Tellier, ingegnere della società di sicurezza Synacktiv, descrive centraline gestite da un’interfaccia web protetta solo da password, che dovrebbero restare in una rete chiusa. Per questo, osserva, l’autore «può essere chiunque». John Billow, direttore del centro nazionale svedese per la cybersicurezza, ha riferito che nelle ultime settimane in Svezia erano stati individuati molti dispositivi di tecnologia operativa esposti, per i quali era stata chiesta con chiarezza la correzione. Per tecnologia operativa si intendono i sistemi informatici che governano macchinari fisici.

Il quadro delle responsabilità si allarga quindi alla filiera: il produttore che lascia in circolazione apparecchi senza più aggiornamenti, gli installatori e i manutentori che li collegano alla rete, le catene che non li sostituiscono.

Danni economici e indagini, da Bruxelles a Londra

Una stima complessiva dei danni manca. In Francia un Intermarché e un Leclerc di Haguenau avevano calcolato insieme 270.000 euro di perdite; le proiezioni su scala nazionale parlavano di diversi milioni. Per l’ondata di lunedì il quotidiano britannico Telegraph stima almeno 100.000 euro di alimenti distrutti.

Nessuno ha rivendicato gli attacchi e le autorità non hanno indicato possibili responsabili. Il commissario europeo all’Agricoltura Christophe Hansen ha parlato di un «tentativo deliberato di interrompere la nostra filiera alimentare e di minare la fiducia dei consumatori», precisando però che la sicurezza alimentare in Europa non è a rischio. Nel dibattito pubblico torna il tema degli «attacchi ibridi» attribuiti alla Russia, senza che finora sia emerso alcun elemento pubblico a sostegno. Secondo la testata britannica Silicon, la divisione investigativa dell’esercito statunitense sta indagando su episodi simili in alcune basi militari negli Stati Uniti.

In Germania l’Ufficio federale per la sicurezza informatica (BSI) ha avvertito del rischio di nuovi attacchi e raccomanda di installare subito gli aggiornamenti di sicurezza, di schermare gli impianti con reti private virtuali (VPN) e di adottare l’autenticazione a più fattori. Nel Regno Unito, dove nessun negozio risulta colpito, il National Cyber Security Centre ha diffuso indicazioni ai distributori: Danfoss fornisce anche catene britanniche.