Che cosa è successo

Nella notte tra l’11 e il 12 ottobre 2026, centinaia di supermercati francesi appartenenti a diverse insegne della grande distribuzione sono stati interessati da un attacco informatico che ha preso di mira i sistemi utilizzati per controllare gli impianti di refrigerazione.

Tra le catene coinvolte risultano Intermarché, Netto, Coopérative U, Carrefour e altri operatori della GDO. Per Coopérative U sono stati confermati circa 80 punti vendita interessati, mentre Intermarché ha indicato tra 150 e 200 negozi coinvolti.

L’attacco è particolarmente significativo perché non ha colpito i tradizionali sistemi informativi aziendali, come server, casse o sistemi di pagamento, ma componenti appartenenti al mondo OT, Operational Technology: apparati digitali che controllano fisicamente frigoriferi e congelatori.

Gli attaccanti sono riusciti ad accedere da remoto a controller della famiglia Danfoss AK-SM e AK-SC, utilizzati per la gestione degli impianti frigoriferi, provocando l’attivazione forzata e prolungata dei cicli di sbrinamento e l’innalzamento anomalo delle temperature. Il CERT-FR francese ha confermato di essere a conoscenza di numerose compromissioni di questi apparati e ha evidenziato il rischio rappresentato dall’esposizione delle relative interfacce di amministrazione direttamente su Internet.

Per alcune versioni dei controller Danfoss erano inoltre già state individuate in passato vulnerabilità di sicurezza rilevanti, tra cui problemi di autenticazione e possibilità, in determinate condizioni, di esecuzione remota di comandi. Al momento, tuttavia, non è ancora definitivamente accertato quale specifica vulnerabilità sia stata utilizzata nell’attacco.

 

Quali sono state le conseguenze

L’effetto dell’attacco informatico si è manifestato immediatamente nel mondo fisico.

In numerosi supermercati le temperature di frigoriferi e congelatori sono aumentate rapidamente, in alcuni casi raggiungendo valori estremamente elevati. Gli operatori sono stati quindi costretti a ritirare e distruggere grandi quantità di prodotti freschi e surgelati, non essendo più possibile garantirne la sicurezza alimentare.

In diversi punti vendita sono state registrate perdite per decine o centinaia di migliaia di euro. Il responsabile di Coopérative U ha indicato danni potenziali nell’ordine di decine di migliaia di euro per i negozi più piccoli e fino a circa 200.000 euro per gli ipermercati maggiormente colpiti.

Alcuni negozi hanno dovuto temporaneamente sospendere o limitare le proprie attività e le autorità francesi hanno avviato indagini sull’accaduto.

L’episodio mostra quindi in maniera molto concreta come un attacco digitale possa trasformarsi rapidamente in interruzione dell’operatività, danno economico, distruzione di beni e potenziale problema di sicurezza alimentare.

 

I principali insegnamenti

1. La cybersecurity non riguarda soltanto i sistemi IT

Sempre più infrastrutture fisiche — impianti industriali, climatizzazione, refrigerazione, sistemi energetici, edifici e dispositivi IoT — sono controllate attraverso sistemi digitali e connessi in rete. La loro compromissione può produrre conseguenze fisiche anche senza sottrarre un solo dato.

 2. Un dispositivo apparentemente “secondario” può diventare un obiettivo critico

Il controller di un frigorifero potrebbe apparire molto meno importante di un server aziendale. In realtà, quando lo stesso tipo di dispositivo controlla centinaia di impianti distribuiti sul territorio, la sua compromissione può provocare un impatto significativo e diffuso.

 3. I sistemi OT e IoT non dovrebbero essere direttamente esposti su Internet

Il CERT-FR ha richiamato espressamente l’attenzione sull’esposizione delle interfacce di gestione di questi apparati. Quando l’accesso remoto è necessario, deve essere adeguatamente protetto e limitato, adottando segmentazione delle reti, autenticazione robusta e accessi consentiti esclusivamente ai soggetti autorizzati.

 4. Aggiornamenti e gestione delle vulnerabilità riguardano anche gli apparati industriali

Firmware e software incorporati in dispositivi OT devono essere censiti, aggiornati e sottoposti allo stesso processo di vulnerability management adottato per i tradizionali sistemi IT. Danfoss aveva già pubblicato aggiornamenti per vulnerabilità rilevanti individuate su alcune versioni dei controller interessati.

 5. Occorre considerare anche scenari di attacco con conseguenze fisiche

Business Continuity e Incident Response non possono limitarsi agli scenari di perdita dei dati o indisponibilità dei sistemi informativi. Occorre chiedersi anche che cosa accadrebbe se un attaccante riuscisse a controllare impianti, macchinari o altri sistemi fisici essenziali per l’attività dell’organizzazione.

L’attacco alla grande distribuzione francese rappresenta quindi un esempio particolarmente significativo della crescente convergenza tra cyberspazio e mondo fisico.

Non sappiamo ancora chi abbia condotto l’attacco e con quali finalità. L’episodio dimostra però come le stesse tecniche potrebbero essere utilizzate, in uno scenario più ampio e coordinato, per colpire contemporaneamente distribuzione alimentare, logistica, energia, trasporti o altri servizi essenziali.

È anche su questo terreno che si gioca oggi una parte importante della sicurezza digitale.