Congelatori a 50 gradi: il prezzo di un accesso aperto su Internet
Attacchi alle centraline di refrigerazione in Svizzera e in dieci Paesi UE: interfacce aperte, password di fabbrica. Che cosa verificare ora.
All'inizio di novembre, il titolare di una macelleria di Köniz, vicino a Berna, ha trovato il suo congelatore a una temperatura tra 50 e 70 gradi. Qualcuno aveva modificato dall'esterno le impostazioni del comando di refrigerazione. Sono stati colpiti anche tre negozi Volg. È il capitolo svizzero di un'ondata di attacchi agli impianti frigoriferi dei supermercati, iniziata in Francia in ottobre ed estesa il 2 novembre ad altri nove Paesi europei. La via d'accesso non era sofisticata: interfacce di gestione raggiungibili da chiunque su Internet, alcune ancora protette dalla password con cui avevano lasciato la fabbrica.
Che cosa è successo
Il 12 ottobre 2026 il CERT-FR, la squadra di risposta agli incidenti informatici del governo francese gestita dall'ANSSI, ha pubblicato un'allerta su «numerose compromissioni» di controllori remoti di impianti di refrigerazione. Cita quattro linee di prodotti: Danfoss AK-SC e AK-SM, Copeland xweb e Dixell xweb. Il 13 ottobre l'allerta è stata estesa ad altri dispositivi e il 16 ottobre le sue raccomandazioni sono state aggiornate. Il suo ultimo avvertimento resta valido: le campagne di attacco contro questi dispositivi sono «probabilmente ancora in corso».
Il 21 ottobre il direttore generale dell'ANSSI, Vincent Strubel, ha descritto gli attacchi francesi davanti alla commissione Affari esteri e Difesa del Senato. Secondo il resoconto dell'audizione pubblicato da Génération NT, gli attaccanti hanno sfruttato dispositivi esposti direttamente sul web e password deboli, e l'ANSSI non ha alcun potere legale per obbligare i distributori a proteggere i loro sistemi.
Nella notte tra domenica e lunedì 2 novembre è arrivata la seconda ondata. Euronews ha contato nove Paesi: Belgio, Estonia, Finlandia, Irlanda, Italia, Lussemburgo, Paesi Bassi, Portogallo e Svezia. Carrefour ha segnalato circa 15 dei suoi oltre 700 negozi in Belgio, Musgrave 13 negozi SuperValu in Irlanda, Intermarché 7 negozi in Portogallo, Coop 6 su circa 800 in Svezia. In Belgio, alcuni gruppi frigoriferi sono stati messi in modalità di sbrinamento. Il commissario europeo per l'agricoltura, Christophe Hansen, ha definito gli incidenti «un tentativo deliberato di perturbare la nostra filiera alimentare e di minare la fiducia dei consumatori in essa». Nessuno li ha rivendicati, e il Centro per la cibersicurezza belga ha dichiarato che chi c'è dietro potrebbe non essere mai individuato.
Ciò che il settore ha detto sulla via d'accesso è chiaro. Un portavoce di Danfoss ha dichiarato all'emittente olandese NOS che i sistemi colpiti nei Paesi Bassi non si trovavano su una rete sicura e usavano ancora password predefinite. Danfoss ha detto che la maggior parte degli apparecchi colpiti in Francia erano modelli più vecchi che non aggiorna più, l'AK-SM 800 e l'AK-SC 355. In Belgio, l'associazione di categoria della refrigerazione Sabcobel ha dichiarato che gli attaccanti sono entrati nei sistemi dei singoli supermercati, non in quelli delle ditte che ne curano la manutenzione.
In Svizzera, la macelleria Lüthi's Fleischwaren di Köniz ha scritto sul suo sito che un ciberattacco mirato aveva manipolato il comando elettronico dei suoi impianti di refrigerazione e congelazione. Il titolare ha detto alla SRF che la carne era «come cotta» e che le etichette dei prezzi si erano sciolte. La macelleria ha scollegato gli impianti dalla rete, ha chiuso e prevede di riaprire il 20 novembre, se il freddo terrà. Volg ha confermato parametri modificati nei banchi frigoriferi di tre negozi e ha comunicato di aver adottato misure e di averle rafforzate. La polizia cantonale bernese è stata informata e ha avviato le indagini, anche se al 6 novembre non era ancora stata presentata alcuna denuncia formale. Il 9 novembre la pagina degli incidenti attuali dell'Ufficio federale della cibersicurezza (UFCS) non riportava ancora gli attacchi agli impianti frigoriferi.
Che cosa significa per un'azienda o un'amministrazione
La lezione non riguarda i frigoriferi. Un controllore del freddo con una pagina web e una password è la stessa cosa del comando del riscaldamento di un edificio, di un controllo degli accessi, di un inverter solare, di una telecamera di rete o della pagina di amministrazione di una stampante. Spesso un fornitore lo ha configurato una volta, per poter guardare dentro dall'esterno, e poi nessuno ci ha più pensato, perché funzionava.
La frase del CERT-FR vale per tutti: esporre un'interfaccia di gestione su Internet è «contrario alle buone pratiche». Tre cose hanno reso facili gli attacchi, e ognuna è diffusa.
L'interfaccia era raggiungibile da chiunque. La manutenzione a distanza è utile. Non richiede che la pagina di accesso sia aperta a tutto Internet. Una connessione tramite VPN, o un accesso che il fornitore apre solo quando serve a un tecnico, offre lo stesso servizio a molte meno persone.
La password era quella di fabbrica. Una password predefinita è stampata in un manuale che chiunque può scaricare. Davanti a un'interfaccia aperta su Internet non è una serratura. Non lo è neppure un account condiviso che tutti i tecnici del fornitore usano da anni.
L'apparecchio non era più supportato. Danfoss dice di non aggiornare più i modelli più colpiti in Francia. Il CERT-FR avverte che lasciare esposto su Internet un dispositivo senza correzioni di sicurezza comporta una «probabilità molto alta di compromissione», e che un ripristino delle impostazioni di fabbrica da solo non basta: il dispositivo resta vulnerabile e sarà «certamente» compromesso di nuovo.
Per un comune l'elenco è più lungo che per un negozio: il riscaldamento della scuola, la telesorveglianza dell'approvvigionamento idrico, la ventilazione della palestra. Per un'azienda la domanda è chi ha installato che cosa, e chi ha ancora una via d'accesso. Non servono dati personali perché un attacco del genere chiuda un'attività: la macelleria di Köniz prevede di restare chiusa almeno fino al 20 novembre.
Che cosa cambia per Elchi Studios e i suoi clienti
Non costruiamo, installiamo né manuteniamo comandi di refrigerazione, di riscaldamento o di edifici. Non offriamo prodotti per questi sistemi, ed EAuth non è un gateway per la pagina web integrata di un controllore: EAuth è un provider OpenID Connect e fa accedere le persone ad applicazioni web costruite per usarlo.
Ciò che possiamo dire è come trattiamo le nostre porte, perché il principio è lo stesso. In EAuth ogni punto che riceve una credenziale viene contato due volte, secondo l'indirizzo da cui arriva una richiesta e secondo l'account che indica: cinque password errate per account da un indirizzo in 15 minuti, venti per account da qualsiasi indirizzo nello stesso tempo. Ogni tentativo viene contato prima di essere verificato, e se l'archivio che conta non risponde, l'accesso viene rifiutato invece di lasciar passare tutto. I dettagli sono nel nostro articolo sul passaggio a eauth.me. Ogni applicazione che usa EAuth per l'accesso offre inoltre passkey accanto alla password. Una passkey è legata a eauth.me, e la sua parte privata non lascia mai il dispositivo della persona: non esiste alcun segreto condiviso che possa essere stampato in un manuale, indovinato o fuoriuscire dalla nostra banca dati. Anche la nostra console per sviluppatori e la nostra dashboard usano la stessa pagina di accesso.
Per i clienti che gestiscono proprie applicazioni web, gli attacchi sono un motivo per guardare le loro pagine di amministrazione con gli stessi occhi: l'accesso al sistema di gestione dei contenuti di un sito, uno strumento interno, un sistema di prova rimasto online dopo un progetto. Se uno di questi si basa ancora solo su una password, un limite ai tentativi e un secondo fattore o una passkey sono il minimo.
Che cosa verificare questa settimana
- Elenchi ciò che è raggiungibile dall'esterno. Ogni dispositivo e ogni pagina di amministrazione con un indirizzo pubblico: freddo, riscaldamento, ventilazione, controllo degli accessi, telecamere, inverter, stampanti, router. Se non lo sa, chieda l'elenco a chi gestisce la Sua rete.
- Chieda ai Suoi fornitori come entrano. Per ogni accesso remoto: quale via, quale account, chi ha la password, e se può essere aperto solo quando serve.
- Chiuda le interfacce aperte. Accesso tramite VPN o una rete protetta. Un filtro sugli indirizzi IP del fornitore è accettabile come misura d'urgenza, dice il CERT-FR, ma non come soluzione permanente.
- Cambi ogni password predefinita. Un account per persona dove l'apparecchio lo consente, e le impostazioni di protezione del produttore dove esistono. Per i controllori Danfoss il CERT-FR indica il livello di sicurezza Strict.
- Individui gli apparecchi senza aggiornamenti. Un controllore che il produttore non aggiorna più non dovrebbe affatto essere raggiungibile da Internet. Ne pianifichi la sostituzione.
- Verifichi configurazione e allarmi. Il CERT-FR raccomanda di verificare l'intera configurazione, compresi gli orari di sbrinamento. Un allarme dovrebbe raggiungere una persona quando un congelatore si scalda alle due di notte.
- Legga prima le Sue condizioni assicurative. Il CERT-FR raccomanda di verificarle prima di interrompere il collegamento dati con il frigorista.
- Se un apparecchio è stato colpito, un ripristino non basta. Lo scolleghi, lo ripristini, lo riconfiguri, lo aggiorni e solo dopo lo ricolleghi, attraverso la via chiusa.
Fonti
- Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012), CERT-FR, ANSSI, consultato il
- Aktuelle Vorfälle, Bundesamt für Cybersicherheit BACS, consultato il
- Cyberattaque des frigos de supermarchés : l'Anssi pointe des défauts de sécurisation élémentaires, Génération NT, consultato il
- New Wave of Refrigeration Cyberattacks Hits Supermarkets Across Europe, Forcing Stores to Pull Food, The Hacker News, consultato il
- Which countries in Europe have been hit by supermarket fridge cyber incidents?, Euronews, consultato il
- Kühlanlage manipuliert: Berner Metzgerei Opfer von Hackerangriff, auch Volg betroffen, SRF, consultato il
- Cyberkriminelle verderben Fleischvorrat einer Berner Metzgerei, Inside IT, consultato il
- First known cyberattack on a refrigeration system in Switzerland, SWI swissinfo.ch, consultato il
Scritto da Samuel Krauss, Founder. Archiviato in security, switzerland, passwords, infrastructure.
Tradotto dall’inglese. Leggi l’originale inglese