L’Agenzia dell’Unione europea per la cybersicurezza (Enisa) avverte che i prossimi attacchi hacker potrebbero colpire gli elettrodomestici e i router Wi-Fi delle case europee. L’allarme è arrivato oggi da Juhan Lepassaar, direttore esecutivo dell’agenzia, durante la presentazione del rapporto annuale sullo stato della cybersicurezza nell’Unione. Arriva a poche settimane dall’ondata di sabotaggi che ha mandato in tilt i sistemi di refrigerazione dei supermercati in mezza Europa.

«Oggi sono stati i frigoriferi, domani potrebbero essere i router, dopodomani gli elettrodomestici, e così via», ha dichiarato Lepassaar all’agenzia France Presse. Secondo il dirigente estone, tutti gli incidenti si possono evitare, ma la sicurezza informatica costa: la questione, ha detto, è se l’Europa sia pronta a investire. Il rapporto classifica la minaccia cyber per l’Unione come «sostanziale» e considera un grave blocco di soggetti essenziali «una possibilità realistica».

Attacchi hacker ai frigoriferi dei supermercati, la falla era già nota

La prima ondata ha colpito la Francia nella notte fra l’11 e il 12 ottobre. Centinaia di supermercati, fra cui circa 80 punti vendita Carrefour e 150 Intermarché, hanno visto banchi frigo e congelatori riscaldarsi, in alcuni casi fino a 50 gradi. La seconda è arrivata fra l’1 e il 2 novembre, con episodi in Belgio, Svezia, Lussemburgo, Irlanda, Estonia, Paesi Bassi e Finlandia. In Italia sono stati colpiti quattro supermercati Coop del gruppo Radenza in Sicilia, tre a Catania e uno a Palermo. Sul caso indaga la Polizia Postale.

Le stime sulla portata complessiva divergono. Euronews parla di almeno una dozzina di paesi europei, la stampa irlandese di circa 19, di cui 15 dell’Ue. Fra i bersagli, secondo la ricostruzione rilanciata da Bruxelles, ci sono state anche le celle frigorifere di alcune banche del sangue in Francia.

Dalle indagini francesi è emerso un dato tecnico preciso. Il produttore danese Danfoss ha confermato che parte dei sistemi colpiti montava firmware obsoleto, cioè una versione superata del software interno che governa l’apparecchio. Già ad agosto la società di sicurezza Claroty aveva segnalato vulnerabilità nei controller Danfoss AK-SM 800A, poi corrette con aggiornamenti. Con gli elementi disponibili, ricondurre ogni episodio a quella sola falla resta impossibile. Il quadro di fondo è comunque chiaro: apparecchi con debolezze documentate sono rimasti collegati a internet per mesi.

Elettrodomestici e router, l’onere della sicurezza scaricato su chi compra

Le contromisure indicate finora pesano quasi tutte sugli utilizzatori. L’Agenzia per la cybersicurezza nazionale ha chiesto agli operatori della distribuzione alimentare di isolare gli impianti dalla rete aziendale, attivare l’autenticazione a più fattori, aggiornare i dispositivi e sostituire quelli non più supportati dal produttore. Ai consumatori si raccomanda di cambiare le password predefinite, installare gli aggiornamenti, disattivare l’accesso remoto superfluo e scegliere marchi che garantiscano assistenza a lungo termine.

Lo stesso Lepassaar ha però indicato un principio che riguarda prima di tutto chi progetta e vende: «La sicurezza non deve e non può essere un ripensamento». Il rapporto Enisa aggiunge un dato che rafforza il concetto. Grazie anche all’intelligenza artificiale, il tempo fra la scoperta di una vulnerabilità e il suo sfruttamento «si sta avvicinando allo zero». Se è così, correggere le falle dopo la vendita diventa una rincorsa persa in partenza. La protezione va costruita in fabbrica.

Gli esperti citati dalla stampa europea descrivono un problema di cultura aziendale: molte catene trattano la sicurezza come una questione finanziaria e lasciano gli impianti connessi alle squadre di manutenzione, con budget e priorità diverse. Un frigorifero domestico ha un’architettura più semplice di un impianto centralizzato da supermercato. I rischi concreti restano però password di fabbrica, software mai aggiornato, account violati e dati personali esposti.

Cyber Resilience Act, i requisiti per i produttori solo dal dicembre 2027

Il rapporto conta 23 leggi e iniziative europee che toccano la cybersicurezza. Il loro numero misura soprattutto la frammentazione del sistema. La direttiva NIS2, pilastro delle regole per i settori critici, si applica dall’ottobre 2024 ma non è stata ancora recepita da tutti gli Stati membri. La Commissione ha portato in tribunale un piccolo gruppo di paesi inadempienti, fra cui l’Irlanda, colpita proprio nell’ondata di novembre.

Per i dispositivi connessi, il testo decisivo è il Cyber Resilience Act, il regolamento che fissa requisiti di sicurezza per i prodotti con componenti digitali venduti nell’Unione. Adottato nel 2024, diventerà pienamente applicabile soltanto a dicembre 2027. Per i soli apparecchi senza fili esiste dall’agosto 2025 un primo obbligo, legato alla normativa sulle apparecchiature radio, che copre però una parte limitata dei prodotti e dei rischi.

Il rapporto individua inoltre una «zona di rischio» di servizi essenziali con protezioni sotto la media: sanità, trasporto marittimo e ferroviario, gestione idrica, pubblica amministrazione, spazio. A complicare il quadro, ricorda l’Enisa, una larga parte delle infrastrutture digitali critiche è in mano a privati.

Investire di più, l’appello dell’Enisa e i suoi limiti

L’appello dell’agenzia si concentra sulle risorse: più fondi, più programmi europei, più personale. Il rapporto cita uno studio secondo cui il 45% delle organizzazioni fatica a trovare tecnici qualificati e avverte che i talenti finiranno ai soggetti più ricchi. Sono problemi reali. Senza requisiti minimi non negoziabili imposti ai produttori, però, l’invito a investire rischia di restare fumo negli occhi: denaro speso a valle per difendere apparecchi nati vulnerabili a monte.

Su Byoblu lo avevo sostenuto già il 4 novembre, facendo una battuta sul finale, mentre raccontavo l’attacco ai frigoriferi dei supermercati francesi: “Vediamo quanto ci mettono a passare a tutti gli elettrodomestici smart collegati ormai da anni alle reti internet domestiche delle abitazioni famigliari?“. Una vulnerabilità descritta pubblicamente mesi prima di un attacco coordinato su scala continentale sposta la responsabilità su chi ha permesso che quei dispositivi restassero in commercio e in funzione senza protezioni adeguate. Il governo italiano, dopo la riunione d’emergenza del 3 novembre a Palazzo Chigi, ha definito l’impatto nazionale limitato e ha escluso rischi sanitari accertati da cibo scongelato. Le regole che dovrebbero obbligare i produttori a garantire la sicurezza dei loro apparecchi entreranno in vigore fra più di un anno.