La Polizia postale ha aperto un’indagine su una serie di attacchi hacker ai supermercati italiani. La notizia è stata diffusa questa mattina. Al momento gli episodi accertati sono due, uno in Sicilia e uno in Emilia-Romagna. Gli accertamenti sono affidati alla specialità della Polizia di Stato competente per i reati informatici.

Attacchi hacker ai supermercati, cosa si sa dei due episodi

Le informazioni disponibili sono ancora scarse. Non sono stati resi noti i nomi delle catene o dei punti vendita colpiti, la data degli attacchi e la tecnica utilizzata. Non si sa nemmeno se gli autori abbiano chiesto un riscatto. Resta da chiarire anche se le intrusioni abbiano bloccato l’attività nei negozi o portato alla sottrazione di dati dei clienti. L’entità dei danni non è stata comunicata.

La formula «al momento» lascia aperta la possibilità che il numero dei casi cresca con l’avanzare delle verifiche.

Supermercati e sicurezza informatica, i rischi per i consumatori

Un supermercato dipende ormai in larga parte dal software. Passano dai sistemi informatici le casse e i pagamenti elettronici, i programmi fedeltà, gli ordini ai fornitori, la gestione dei magazzini e il controllo delle temperature nei banchi frigo. Un blocco prolungato può tradursi in scaffali vuoti, negozi chiusi o merce deperibile da smaltire.

Le carte fedeltà custodiscono inoltre nomi, indirizzi, recapiti e abitudini di acquisto di milioni di clienti. È un patrimonio appetibile per chi rivende dati o organizza truffe mirate.

Nessuno di questi effetti risulta documentato, allo stato, nei due casi italiani. Sono però conseguenze già osservate altrove.

Attacchi alla grande distribuzione, i precedenti in Europa

Nel luglio 2021 la catena svedese Coop fu costretta a chiudere circa 800 negozi per alcuni giorni. L’attacco ransomware, cioè un programma che cifra i dati e chiede un riscatto per sbloccarli, aveva colpito la società statunitense di software Kaseya. Da lì aveva raggiunto il fornitore dei sistemi di cassa della catena.

Nella primavera del 2025, nel Regno Unito, Marks & Spencer sospese per settimane le vendite online. Nello stesso periodo la Co-op ammise il furto di dati dei propri soci e registrò scaffali sguarniti in diversi punti vendita.

Il caso svedese mette in luce un punto debole ricorrente. Spesso il bersaglio è un fornitore esterno, e una singola falla si propaga a centinaia di aziende clienti nello stesso momento.

Supermercati e infrastrutture critiche, il perimetro della NIS2

La direttiva europea NIS2, recepita in Italia con il decreto legislativo 138 del 2024, impone obblighi di sicurezza e di notifica degli incidenti ai soggetti dei settori ritenuti critici. Il comparto alimentare vi rientra limitatamente alla distribuzione all’ingrosso e alla produzione industriale. La vendita al dettaglio resta in una zona meno presidiata, pur garantendo un servizio da cui dipende la spesa quotidiana delle famiglie.

Polizia postale e associazioni dei consumatori, le risposte che mancano

Finora la Polizia postale non ha diffuso indicazioni sulle cause degli attacchi né sulle misure di prevenzione raccomandate alle aziende. Anche le associazioni dei consumatori e quelle della distribuzione organizzata non hanno ancora preso posizione pubblicamente.

Per i clienti esiste comunque un riferimento normativo preciso. In caso di violazione di dati personali, il regolamento europeo sulla privacy (GDPR) obbliga le aziende a notificarla al Garante entro 72 ore. Le aziende devono inoltre avvisare direttamente le persone coinvolte quando il rischio per i loro diritti è elevato. Eventuali comunicazioni di questo tipo offrirebbero una prima misura concreta della portata degli attacchi.