Frigoriferi sotto attacco: anatomia tecnica di un sabotaggio scontato

# Chiuso a chiave, aperto online

# Frigoriferi sotto attacco: anatomia tecnica di un sabotaggio scontato

Come si compromette un sistema di termoregolazione industriale, cosa rivelano i manuali dei produttori, quanto possono essere vulnerabili le reti dei supermercati e perché, con l'intelligenza artificiale capace di accelerare enormemente la ricerca delle falle, continuare a trattare questi apparati come semplici frigoriferi connessi comincia ad essere un problema.

Analisi tecnico-documentale, 3 novembre 2026

Non sono stati hackerati i frigoriferi, è stato compromesso il loro sistema di governo

Nella notte tra l'11 e il 12 ottobre 2026 centinaia di esercizi commerciali francesi hanno subito alterazioni dei propri sistemi di refrigerazione ed il 2 novembre episodi analoghi hanno interessato supermercati ed altri operatori alimentari in Belgio, Svezia, Irlanda, Lussemburgo, Estonia e Paesi Bassi e sono stati segnalati incidenti anche in Italia, tra cui diversi punti vendita siciliani. Questa mattina Giovanni Arena, delegato di Federdistribuzione per la Sicilia, ha parlato di circa venti supermercati coinvolti nelle province di Catania, Ragusa e Palermo ed ha riferito che gli aggressori sarebbero riusciti ad arrivare ai parametri di controllo attraverso i sistemi di telegestione, indicando come elemento comune l'accesso diretto agli IP degli impianti e il coinvolgimento dei call center che svolgono assistenza e monitoraggio. È una ricostruzione fornita dagli operatori e non ancora una conclusione forense, ma aggiunge un elemento importante ad una vicenda che ormai non riguarda più qualche frigorifero impazzito in Francia.

In Francia sono state documentate celle arrivate realmente intorno ai +50 °C, modifiche delle condizioni di sbrinamento ed estensioni di cicli che normalmente duravano circa un'ora fino ad otto ore, con la conseguenza che i sistemi continuavano ad introdurre calore quando avrebbero dovuto tornare a raffreddare e gli allarmi arrivavano troppo tardi. Le Monde ha ricostruito il caso di un Intermarché di Gradignan nel quale una cella ha raggiunto i 50 °C facendo intervenire perfino l'impianto sprinkler, mentre Reuters ha documentato centinaia di punti vendita coinvolti e quantità enormi di alimenti eliminate per evitare qualunque rischio sulla catena del freddo. Il 12 ottobre il CERT-FR aveva già aperto formalmente l'allerta CERTFR-2026-ALE-012 indicando compromissioni di supervisori Danfoss delle serie AK-SM ed AK-SC insieme a sistemi Copeland e Dixell XWEB, quindi non stiamo parlando di una deduzione giornalistica ma di compromissioni riconosciute dall'autorità nazionale francese competente.

La distinzione importante riguarda ciò che sappiamo e ciò che ancora non sappiamo. Sappiamo che sistemi di supervisione della refrigerazione sono stati compromessi e che parametri capaci di produrre effetti fisici sono stati modificati, sappiamo inoltre che su alcune delle famiglie utilizzate nel settore esistono vulnerabilità documentate che consentono di aggirare autenticazioni, eseguire comandi oppure prendere il controllo del supervisore, ma non abbiamo ancora una ricostruzione pubblica e completa che dimostri quale singola vulnerabilità sia stata utilizzata in ogni supermercato, se gli episodi europei appartengano tutti alla stessa campagna oppure se qualcuno abbia compromesso centralmente un manutentore raggiungendo da lì più clienti. Mescolare queste tre cose vorrebbe dire trasformare una indagine tecnica, che ha già abbastanza materiale concreto su cui lavorare, in una storia costruita sulle supposizioni.

Tra il browser del manutentore ed il compressore ci sono meno passaggi di quanto immaginiamo

Un moderno impianto frigorifero commerciale non è un frigorifero domestico ingrandito con un termostato elettronico più sofisticato, ma una infrastruttura nella quale sensori di temperatura e pressione, valvole, ventilatori, resistenze di sbrinamento e compressori vengono controllati da regolatori locali che a loro volta possono essere collegati ad un supervisore centrale, ed è proprio il supervisore a raccogliere le informazioni provenienti dalle varie utenze, presentare allarmi, modificare configurazioni e permettere ad un tecnico locale oppure remoto di intervenire sull'impianto. Sopra questo livello possono esserci ancora una piattaforma aziendale, un servizio cloud, una VPN oppure il collegamento utilizzato dalla società di manutenzione ed è quindi perfettamente possibile che un frigorifero fisicamente chiuso dentro un supermercato abbia, dal punto di vista logico, una strada che termina su Internet.

Il regolatore montato sul singolo banco continua normalmente ad eseguire il controllo istante per istante ed il supervisore non sta commutando direttamente ogni relè come farebbe un operatore davanti ad un quadro, però è in grado di modificare parametri e condizioni che il regolatore considera legittimi e questo basta per capire la gravità del problema. Se il supervisore autorizzato dice ad un regolatore che la temperatura richiesta è diversa, che deve iniziare uno sbrinamento oppure che determinate soglie di allarme devono cambiare, a valle può arrivare un comando perfettamente valido secondo il protocollo ed assolutamente sbagliato dal punto di vista del processo fisico. La ricerca di Claroty Team82 su Copeland XWEB Pro descrive esattamente una architettura di questo tipo con supervisione centrale e regolatori raggiunti attraverso reti di campo, ed in laboratorio i ricercatori sono riusciti a passare dalla compromissione informatica alla manipolazione reale della refrigerazione.

È questo il passaggio che rende l'incidente molto diverso dal furto di una password su un normale sito web, perché qui una stringa inviata attraverso una interfaccia amministrativa può terminare il proprio percorso accendendo una resistenza, lasciando fermo un compressore oppure modificando la condizione con la quale un allarme deve partire. Un sistema OT, Operational Technology, utilizza informatica e reti per intervenire sulla realtà fisica e proprio per questo il NIST dedica a questi ambienti linee guida specifiche nelle quali disponibilità, affidabilità e sicurezza del processo non possono essere trattate con le stesse priorità di un normale sistema informativo.

La cosa più semplice da sabotare è una funzione perfettamente normale

Lo sbrinamento è un ottimo esempio perché non bisogna inventare nessuna funzione malevola per fare danno, basta utilizzare male una funzione indispensabile. Il ghiaccio che si forma sull'evaporatore deve essere eliminato periodicamente e l'impianto può farlo fermando il raffreddamento, utilizzando resistenze elettriche oppure attraverso altre tecniche previste dal progetto, con durate, temperature di terminazione e ritardi che vengono stabiliti in funzione dell'impianto e del prodotto conservato. Se qualcuno riesce a cambiare queste condizioni non deve necessariamente spegnere brutalmente il frigorifero, gli basta convincerlo a fare per molto tempo qualcosa che normalmente fa soltanto per pochi minuti.

Il comportamento fisico può essere sintetizzato con una relazione molto semplice, nella quale la velocità con cui varia la temperatura dipende dalla capacità termica complessiva di ciò che stiamo osservando e dal bilancio fra il calore che entra nell'ambiente, quello eventualmente introdotto dallo sbrinamento e la potenza che il circuito frigorifero riesce a sottrarre. Se il raffreddamento viene fermato e contemporaneamente una resistenza continua ad introdurre energia il verso della variazione termica diventa abbastanza intuitivo, ma ciò che conta dal punto di vista alimentare non è soltanto la temperatura letta per un istante dal supervisore e nemmeno il valore del set-point che qualcuno ha modificato, conta la storia termica realmente subita dal prodotto. In Francia abbiamo almeno un caso documentato di ambiente frigorifero arrivato effettivamente intorno ai 50 °C ed in altri episodi sono stati riferiti valori analoghi sui sistemi, ma non sarebbe corretto dedurre automaticamente che ogni alimento contenuto abbia raggiunto quella stessa temperatura.

La conseguenza pratica rimane comunque seria perché riportare successivamente un alimento a temperatura corretta non cancella il periodo durante il quale la catena del freddo è stata interrotta e questo spiega perché i supermercati colpiti abbiano eliminato quantità importanti di merce anche quando gli impianti sono tornati apparentemente a funzionare.

I buchi nei supervisori esistono davvero

La ricerca pubblicata il 9 agosto 2026 da Claroty Team82 sul Danfoss AK-SM 800A rende inutile immaginare scenari fantascientifici perché mostra una superficie d'attacco già sufficientemente concreta. Analizzando il firmware e l'interfaccia web del supervisore, i ricercatori hanno trovato un meccanismo di autenticazione alternativo basato su un codice giornaliero ricostruibile, una vulnerabilità di command injection nel percorso utilizzato per la configurazione delle notifiche e-mail e la possibilità, dopo autenticazione, di alterare configurazioni del server Nginx incorporato. Le CVE associate alla ricerca comprendono CVE-2025-41450 per l'autenticazione impropria, CVE-2025-41451 per la command injection capace di arrivare ad esecuzione remota di codice dopo l'accesso e CVE-2025-41452 per la manipolazione della configurazione dell'interfaccia con possibilità di provocare un denial of service. Danfoss ha collaborato alla divulgazione e per le vulnerabilità interessate dalla ricerca Team82 indica il firmware R4.3.1 come correzione.

La ricerca aveva inoltre individuato migliaia di interfacce di gestione pubblicamente raggiungibili, e questo è forse il dato più interessante perché una vulnerabilità gravissima dentro un dispositivo completamente isolato e una vulnerabilità identica dentro migliaia di apparati esposti sono due problemi operativamente diversi. Non significa naturalmente che ogni sistema individuato fosse sfruttabile oppure che montasse lo stesso firmware vulnerabile, ma significa che esisteva una popolazione concreta di supervisori industriali interrogabili da Internet, non una possibilità teorica disegnata su una lavagna. Il CERT-FR è arrivato alla stessa conclusione pratica dopo gli incidenti francesi, ricordando che una interfaccia amministrativa direttamente pubblicata su Internet è contraria alle normali regole di sicurezza e chiedendo di rimuovere immediatamente questa esposizione.

Sul versante Copeland la situazione non è più rassicurante. Team82 ha documentato 23 vulnerabilità su XWEB Pro, 21 delle quali considerate ad alta gravità, dimostrando una catena capace di portare un aggressore non autenticato fino all'esecuzione di codice con privilegi elevati e quindi al controllo del supervisore. CVE-2026-21718 ha ricevuto CVSS 10.0 e riguarda un bypass di autenticazione nelle versioni interessate fino alla 1.12.1, con possibilità di arrivare ad esecuzione di codice prima del login, mentre la stessa ricerca descrive credenziali amministrative ricavabili attraverso valori prevedibili e materiale crittografico incorporato nel firmware. Copeland ha pubblicato il firmware 1.13 e già nel febbraio 2026 raccomandava di non esporre XWEB Pro all'Internet pubblico anche dopo l'applicazione degli aggiornamenti.

Il problema dell'obsolescenza completa poi il quadro perché XWEB EVO ha terminato il supporto software il 16 marzo 2026 e Copeland dichiara espressamente che da quella data non vengono più prodotti security patch, correzioni firmware o aggiornamenti funzionali per questa famiglia, raccomandando la migrazione verso XWEB Pro. Un apparato del genere può continuare a controllare perfettamente un impianto frigorifero per altri dieci anni dal punto di vista elettrico e meccanico mentre, dal punto di vista informatico, ogni nuova vulnerabilità rimane semplicemente lì.

Il manuale del produttore racconta già una buona parte della superficie esposta

Il manuale AK-SM 800A di Danfoss è interessante perché mostra quanto sia lontana l'immagine del vecchio termoregolatore montato dentro un quadro. Il dispositivo utilizza Linux, dispone di Ethernet, contiene una propria interfaccia web e documenta servizi su HTTP e HTTPS insieme a porte UDP utilizzate per SNMP, PI-200 e comunicazioni della rete host, mentre il produttore scrive espressamente che il controller deve essere installato dietro un router ed un firewall e raccomanda l'utilizzo delle impostazioni di sicurezza più restrittive. La modalità Strict resa predefinita nelle release più recenti impone HTTPS, introduce session token per le interfacce remote e applica controlli più severi ai dati ricevuti, ma la stessa documentazione consente ancora di tornare ad una modalità di compatibilità più debole quando l'infrastruttura esistente non riesce a lavorare con le nuove regole.

Lo stesso apparato, a seconda del modello, può offrire un access point Wi-Fi locale che Danfoss lascia disabilitato per impostazione iniziale e che può essere abilitato soltanto da un utente autorizzato, rimanendo acceso per otto ore prima di spegnersi. È una funzione estremamente comoda perché permette al frigorista di arrivare davanti al quadro con telefono o portatile e collegarsi direttamente all'interfaccia, ma dimostra anche perché l'inventario della superficie di attacco di un impianto industriale non può fermarsi alla presa Ethernet che il reparto IT conosce. Lo stesso sistema può avere accesso WAN, rete di campo, Wi-Fi locale e collegamenti utilizzati dai fornitori, ognuno dei quali deve essere valutato per quello che permette realmente di fare.

E la questione wireless non termina con il supervisore perché CAREL, ad esempio, documenta per MPXone NFC e, su determinate versioni, Bluetooth Low Energy con la possibilità di utilizzare l'app APPLICA per configurare i parametri e svolgere la messa in servizio attraverso uno smartphone. È una soluzione ottima quando un tecnico deve lavorare davanti a decine di banchi e pessima soltanto se viene trattata come una comodità che non richiede regole proprie di autenticazione, autorizzazione e aggiornamento. Non esiste oggi alcuna prova pubblica che Bluetooth oppure NFC abbiano avuto un ruolo negli attacchi europei ed attribuirgli una responsabilità sarebbe quindi inventare un pezzo della storia, ma se stiamo valutando quanto sia realmente chiuso un frigorifero industriale dobbiamo ricordare che anche la sua periferia può avere una radio.

Una VLAN con un nome rassicurante non rende sicura una rete OT

Non esiste una rete tipo del supermercato europeo e sarebbe assurdo attribuire lo stesso livello di sicurezza ad una grande catena che possiede una struttura IT centralizzata, ad un affiliato, ad un piccolo esercente oppure ad un impianto installato e gestito quasi interamente dal frigorista, ma proprio questa diversità rende facile creare zone nelle quali nessuno possiede una visione completa. Il reparto IT può avere segmentato correttamente casse, amministrazione e Wi-Fi degli ospiti mentre il manutentore ha installato anni prima un proprio router cellulare per raggiungere il supervisore senza passare dalla rete aziendale, ed a quel punto il firewall dell'azienda può essere configurato perfettamente senza avere alcuna autorità sul percorso realmente utilizzato per arrivare al frigorifero.

Una VLAN separa logicamente segmenti della rete ma non sostituisce un firewall e non impedisce il traffico se il routing tra le reti continua a permetterlo, mentre un modem 4G o 5G installato per la teleassistenza crea addirittura un percorso indipendente che può sfuggire agli strumenti con i quali l'azienda controlla il proprio perimetro. Nemmeno il passaggio da 4G a 5G risolve una vulnerabilità presente nell'interfaccia web del supervisore, perché il protocollo radio utilizzato dall'operatore telefonico è una cosa ed il fatto che dall'altra parte ci sia un servizio con un'autenticazione aggirabile è un'altra. La sicurezza deve quindi essere cercata nel percorso completo e non nel singolo anello che ci sembra moderno.

Il rischio aumenta quando le responsabilità sono distribuite fra più soggetti perché un account utilizzato da diversi tecnici riduce la possibilità di ricostruire chi abbia modificato cosa, un apparato fuori supporto può continuare a rimanere operativo perché sostituirlo costa molto più che lasciarlo acceso ed un accesso remoto mantenuto permanentemente disponibile offre mesi o anni per trovare la vulnerabilità giusta. A questo si aggiunge una scelta architetturale che considero particolarmente delicata, cioè affidare allo stesso supervisore il controllo della refrigerazione, la registrazione delle temperature e la produzione degli allarmi, perché in questo modo la compromissione di un solo elemento rischia di alterare sia il processo fisico sia quello che l'operatore vede del processo.

Se il supervisore viene compromesso anche il protocollo corretto può trasportare il comando sbagliato

Molti sistemi di refrigerazione commerciale utilizzano ancora bus seriali ed implementazioni Modbus oppure protocolli derivati da una cultura industriale nata in un'epoca nella quale la rete di campo veniva considerata fisicamente protetta, quindi non tutte le installazioni dispongono delle caratteristiche di autenticazione e integrità che oggi considereremmo normali su una rete esposta. Modbus Security esiste ed aggiunge TLS e certificati X.509, ma non bisogna confondere l'esistenza dello standard con la sua presenza dentro ogni banco frigorifero già installato.

C'è poi una considerazione ancora più importante, perché anche il migliore canale cifrato serve a poco se il dispositivo che ha il diritto di parlare è già stato compromesso. Se il supervisore legittimo invia al regolatore un comando formalmente corretto che modifica lo sbrinamento, il problema non è più stabilire se il pacchetto sia autentico ma decidere se quell'azione debba essere fisicamente possibile in quelle condizioni. È qui che una progettazione realmente robusta dovrebbe introdurre limiti locali indipendenti, facendo in modo che alcune soglie non possano essere superate soltanto perché un software remoto possiede privilegi amministrativi.

La teleassistenza è utilissima, ma trasforma il manutentore in una parte della sicurezza informatica

Il settore della refrigerazione lavora da anni con manutenzione esterna e supervisione remota perché mandare fisicamente un tecnico in ogni punto vendita per controllare un allarme sarebbe inefficiente ed economicamente assurdo, quindi un frigorista può ricevere notifiche, visualizzare le temperature, modificare configurazioni e, in alcune installazioni, intervenire sull'impianto senza trovarsi nel negozio. Danfoss stessa documenta interfacce remote StoreView ed i propri servizi digitali, mentre Copeland offre funzioni analoghe sui sistemi XWEB.

Questo rende inevitabilmente sensibile una società che possiede accessi privilegiati verso molti clienti, perché la compromissione delle sue credenziali oppure della sua infrastruttura può teoricamente moltiplicare l'effetto dell'incidente. La dichiarazione arrivata oggi dalla Sicilia, secondo cui gli aggressori avrebbero agito attraverso i sistemi di telegestione utilizzati dai call center di assistenza, rende questa possibilità ancora più interessante da verificare, ma al momento non possiamo trasformarla nella conclusione secondo cui sia stato compromesso un fornitore centrale perché l'accesso diretto a supervisori individualmente esposti rimane una spiegazione altrettanto compatibile con ciò che sappiamo.

Il contratto di manutenzione dovrebbe quindi essere letto anche come un documento di sicurezza informatica e specificare chi possiede le credenziali, quali apparati possono essere raggiunti, da quali reti, con quali privilegi e attraverso quali log, quanto rapidamente devono essere applicati gli aggiornamenti ed in che modo si opera quando la teleassistenza non è disponibile. Delegare la manutenzione non significa smettere di avere responsabilità sull'impianto, esattamente come affidare la gestione di un server ad un fornitore non trasforma quel server in qualcosa che non ci riguarda più.

Per fare danni non serve necessariamente essere la persona che ha scoperto la falla

La differenza tra trovare una vulnerabilità e sfruttarne una già conosciuta è enorme ed è uno degli aspetti che dovrebbero preoccupare maggiormente chi gestisce apparati industriali lasciati online per molti anni. Ricostruire un meccanismo di autenticazione nascosto dentro il firmware, analizzare binari embedded e arrivare ad una command injection richiede competenze di reverse engineering, sistemi operativi, reti e programmazione che non appartengono al primo curioso che passa, mentre utilizzare una procedura già pubblica contro un apparato non aggiornato può diventare molto più semplice.

A questo si aggiunge la competenza OT perché compromettere una pagina web e produrre intenzionalmente un risultato fisico preciso sono due attività differenti. Chi conosce la refrigerazione sa quali parametri contano realmente, quanto può durare uno sbrinamento, quali allarmi possono essere ritardati e quali modifiche produrranno un effetto visibile soltanto dopo ore, ma non è necessario che la stessa persona scopra la CVE, scriva l'exploit e conosca il ciclo frigorifero perché il lavoro può essere diviso ed un attaccante mediocre può riutilizzare strumenti prodotti da qualcuno molto più bravo.

L'intelligenza artificiale accelera ulteriormente questo passaggio perché leggere documentazione, confrontare versioni di firmware, analizzare codice e trasformare una ricerca pubblica in controlli automatizzati sono lavori nei quali i sistemi attuali possono ridurre drasticamente i tempi, senza che questo significhi che una AI possa automaticamente violare un frigorifero qualsiasi. Non abbiamo nessuna evidenza pubblica che dimostri l'impiego dell'intelligenza artificiale negli attacchi di ottobre e novembre e quindi non gliela attribuisco, ma progettare oggi una infrastruttura confidando sul fatto che una vulnerabilità sia troppo complicata da comprendere per la maggior parte delle persone mi sembra una protezione destinata a durare sempre meno.

E chi c'è dietro, ad oggi, non lo sappiamo

Al 3 novembre non esiste una attribuzione pubblica verificabile della campagna ed è importante dirlo perché l'assenza di una richiesta di riscatto ha già prodotto ipotesi che vanno dal sabotaggio politico agli attori statali, ma non chiedere denaro non trasforma automaticamente un attacco in una operazione governativa e colpire molti Paesi contemporaneamente non dimostra necessariamente una regia complessa quando esistono dispositivi simili, esposti nello stesso modo e ricercabili automaticamente.

Un gruppo opportunistico può cercare sistemi vulnerabili senza particolare interesse per l'azienda che li possiede, un gruppo orientato al sabotaggio può scegliere la refrigerazione perché poche ore producono perdite economiche molto alte ed un attore più strutturato potrebbe teoricamente utilizzare gli stessi sistemi per dimostrare oppure preparare capacità cyber-fisiche, ma per passare da una possibilità alla attribuzione servono log, infrastrutture riconducibili agli autori, strumenti utilizzati, indicatori tecnici, eventuali rivendicazioni e soprattutto riscontri investigativi. Reuters riferiva ancora il 2 novembre che nessun gruppo aveva rivendicato gli attacchi europei e che non era stata dimostrata una connessione unica tra tutti gli incidenti.

HACCP, il problema diventa anche capire se il dato che stiamo leggendo è ancora credibile

Il Regolamento europeo 852/2004 attribuisce all'operatore alimentare la responsabilità primaria sulla sicurezza degli alimenti e richiede procedure permanenti fondate sui principi HACCP, mentre per i surgelati il Regolamento 37/2005 entra ancora più nel dettaglio imponendo strumenti idonei alla registrazione periodica della temperatura nei sistemi di trasporto, deposito e conservazione e richiama gli standard EN 12830, EN 13485 ed EN 13486. Non esiste un obbligo generale che imponga ad ogni supermercato di affidare ad una società esterna il controllo continuo della temperatura, mentre i controlli ufficiali previsti dal quadro europeo sono un'altra cosa e non equivalgono ad un audit informatico permanente del supervisore frigorifero.

Danfoss documenta nel proprio AK-SM 800A una funzione specifica di Food Safety Logging che permette di marcare punti come HACCP, registrare tipicamente la temperatura dell'aria oppure quella di un sensore prodotto, includere quando disponibile lo stato dello sbrinamento e conservare i dati nel System Manager per diciotto mesi, esportandoli successivamente in CSV o PDF oppure inviandoli automaticamente tramite e-mail. È una funzione estremamente utile finché possiamo fidarci dell'apparato che la produce, ma dopo una compromissione del supervisore la domanda cambia perché lo stesso sistema che governa alcune condizioni del processo sta contemporaneamente raccontandoci che cosa è successo.

Per questo considero molto più solida una architettura nella quale almeno le misure realmente critiche possano essere confrontate con un secondo sistema sufficientemente indipendente, con sensori, credenziali e registrazione separati dal dominio che governa l'impianto. Non significa riempire ogni frigorifero di elettronica ridondante senza criterio, significa impedire che la compromissione di un solo supervisore possa contemporaneamente alterare la temperatura, ritardare l'allarme e diventare anche l'unica fonte dalla quale in seguito cerchiamo di ricostruire la temperatura che abbiamo avuto.

La difesa immediata è molto meno sofisticata dell'attacco

Il paradosso di tutta questa vicenda è che molte delle contromisure urgenti non richiedono nessuna tecnologia particolarmente nuova. Il CERT-FR chiede prima di tutto di eliminare l'esposizione Internet dei supervisori, ripristinare l'accesso soltanto attraverso VPN o reti protette, aggiornare il firmware dove esiste una versione supportata ed utilizzare per Danfoss le impostazioni di sessione Strict, ricordando espressamente che un semplice factory reset non risolve nulla quando il dispositivo rimane vulnerabile ed esposto perché elimina l'eventuale persistenza ma lascia intatta la strada utilizzata per entrare.

La stessa logica è stata ripresa dall'Agenzia per la cybersicurezza nazionale dopo gli incidenti italiani, con una richiesta urgente di controllare quali sistemi di teleassistenza siano raggiungibili da Internet, separarli dalle reti aziendali, rafforzare gli accessi remoti attraverso VPN e autenticazione multifattore, verificare gli account privilegiati ed aggiornare o sostituire gli apparati che non ricevono più supporto. È interessante notare quanto poco ci sia di esotico in queste indicazioni, perché stiamo parlando delle stesse regole con cui proteggeremmo un normale server amministrativo, soltanto applicate ad apparecchiature che per anni sono state trattate soprattutto come componenti dell'impianto frigorifero.

Aggiungerei però un controllo che la cybersecurity da sola non può sostituire, cioè andare davanti all'impianto e misurare realmente la temperatura quando esiste il sospetto di una compromissione, verificando direttamente set-point, sbrinamenti, soglie, destinatari degli allarmi e comportamento dei banchi prima di fidarsi nuovamente del sistema di supervisione. Lo stesso bollettino Copeland relativo a XWEB insiste sulla necessità di verificare fisicamente le condizioni dopo un accesso sospetto, perché isolare un apparato compromesso dalla rete non riporta automaticamente i parametri industriali ai valori che avevano prima dell'attacco.

La progettazione deve partire dall'idea che prima o poi qualcuno entrerà

Continuare a costruire sistemi industriali nei quali possedere la sessione amministrativa significa poter modificare praticamente qualunque parametro fisico mi sembra il problema più importante messo in evidenza da questa vicenda, perché nessun firewall, nessuna autenticazione e nessun firmware possono essere considerati infallibili per i quindici o vent'anni durante i quali un impianto frigorifero può rimanere installato. La sicurezza dovrebbe quindi spostarsi anche dentro il processo e prevedere limiti locali indipendenti sui parametri realmente pericolosi, registrazioni inviate verso sistemi separati, credenziali individuali per gli accessi tecnici e soprattutto un ciclo di supporto software compatibile con quello dell'apparecchiatura fisica.

Il Cyber Resilience Act europeo va precisamente in questa direzione per i prodotti con elementi digitali ed alcune delle sue disposizioni sono già diventate concrete, perché dall'11 settembre 2026 i fabbricanti devono notificare determinate vulnerabilità attivamente sfruttate ed incidenti gravi secondo i tempi previsti dal regolamento, mentre il corpo principale degli obblighi diventerà applicabile l'11 dicembre 2027. Non risolverà naturalmente i vecchi supervisori già installati e non trasformerà ogni frigorifero in un sistema invulnerabile, però introduce finalmente dentro il ciclo di vita del prodotto l'idea che la parte software non possa smettere di esistere come problema il giorno successivo alla vendita.

NIS2 interviene invece sulle organizzazioni che rientrano nel proprio perimetro e nel settore alimentare riguarda specifiche attività e dimensioni, compresi determinati soggetti della distribuzione all'ingrosso, della produzione e della trasformazione, quindi non è corretto utilizzarla come se ogni piccolo punto vendita europeo fosse automaticamente soggetto alle stesse prescrizioni. Il significato più generale rimane però evidente, perché la separazione storica fra sicurezza informatica e continuità dei processi industriali ha sempre meno senso quando un incidente sul software produce tonnellate di alimenti da buttare.

L'intelligenza artificiale può diventare un ottimo guardiano, purché non le consegniamo le chiavi del compressore

Un sistema di difesa moderno può utilizzare l'intelligenza artificiale in modo molto più interessante che limitarsi a cercare una firma di malware, perché un impianto frigorifero produce contemporaneamente dati di temperatura, stato del compressore, sbrinamento, assorbimenti, aperture delle porte, variazioni dei parametri ed accessi remoti ed è quindi possibile correlare il comportamento informatico con quello fisico. Se cinque banchi entrano contemporaneamente in sbrinamento dopo un accesso remoto che non appartiene alla finestra di manutenzione oppure se il supervisore dichiara una temperatura normale mentre una rete indipendente di sensori vede un andamento incompatibile, abbiamo un'anomalia che può essere riconosciuta prima di aspettare che qualcuno apra il frigorifero e senta uscire aria calda.

Non consegnerei però al modello la possibilità illimitata di risolvere da solo la situazione modificando set-point, spegnendo compressori oppure attivando altri componenti, perché avremmo semplicemente spostato l'autorità da un software all'altro senza cambiare l'errore architetturale. L'AI può osservare una quantità enorme di segnali, confrontarli, evidenziare comportamenti incompatibili con la normale storia termica dell'impianto ed aiutare un operatore a capire dove guardare, mentre le condizioni che possono produrre un danno fisico devono continuare ad essere delimitate da logiche deterministiche, verificabili e possibilmente indipendenti dal sistema che stiamo proteggendo.

Chiuso a chiave, aperto online

Gli incidenti di ottobre e novembre raccontano quindi una cosa molto più interessante del frigorifero hackerato, perché mostrano quanto facilmente un apparato industriale possa continuare ad essere percepito come un oggetto fisico anche quando possiede un sistema operativo, un server web, servizi di rete, accesso remoto, Wi-Fi e collegamenti verso piattaforme di manutenzione. Possiamo chiudere a chiave il locale tecnico, limitare l'accesso al quadro elettrico e impedire a chiunque di toccare fisicamente il supervisore, lasciandolo nello stesso momento raggiungibile da un indirizzo IP pubblico con un firmware che nessuno aggiorna più.

La teleassistenza non è il nemico e sarebbe assurdo tornare ad un mondo nel quale ogni allarme obbliga un tecnico ad attraversare una regione in automobile, perché connettività e supervisione permettono interventi più rapidi, diagnosi migliori e anche un controllo energetico molto più efficiente. Quello che non è più accettabile è considerare l'accesso amministrativo come un lasciapassare capace di superare qualunque limite fisico dell'impianto ed affidare allo stesso dispositivo la possibilità di modificare il processo, registrarlo e garantire che il proprio racconto sia corretto.

Nell'epoca nella quale un ricercatore e, inevitabilmente, anche un aggressore possono utilizzare l'intelligenza artificiale per leggere firmware, documentazione tecnica e codice a velocità che riducono enormemente il costo necessario a trovare una debolezza, continuare a confidare sull'oscurità di un protocollo industriale, sulla difficoltà di capire un vecchio supervisore oppure sul fatto che nessuno si interessi ad un frigorifero diventa una scommessa sempre peggiore.

Il frigorifero del supermercato continuerà ad avere bisogno di valvole, compressori, sensori e persone che sappiano farlo funzionare, ma il sistema che decide cosa debbano fare è ormai un computer e deve essere progettato con una regola molto semplice: anche quando qualcuno riesce ad entrare nella parte digitale, non deve essere sufficiente qualche clic per trasformare un normale ciclo di sbrinamento in otto ore di riscaldamento.