Nella notte tra domenica 11 e lunedì 12 ottobre, frigoriferi e congelatori di centinaia di supermercati francesi hanno smesso di fare il loro lavoro. Secondo una testimonianza raccolta da Le Monde, le prime anomalie risalirebbero alle 23 circa, mentre gli effetti sarebbero diventati evidenti verso le 4 del mattino (InformatiqueNews). In molti negozi, a quanto pare, il problema è stato scoperto solo lunedì mattina.

Il bilancio è ancora provvisorio e le stime cambiano di ora in ora. Nelle prime ricostruzioni si parlava di centinaia di punti vendita Intermarché e Coopérative U, mentre BleepingComputer, citando la stampa francese, indicava tra 250 e 350 negozi (BleepingComputer).

Il numero uno del gruppo Les Mousquetaires–Intermarché, Thierry Cotillard, ha raccontato che gli attaccanti sono riusciti ad avviare da remoto lo sbrinamento di tutti i banchi refrigerati, facendone salire la temperatura fino a 50 gradi. Le conseguenze riportate: catena del freddo interrotta, tonnellate di prodotti da buttare e danni stimati in decine di milioni di euro. La procura di Parigi ha aperto un'indagine e ha segnalato anche alcuni principi d'incendio.

Il denominatore comune, secondo le ricostruzioni, sarebbe il sistema del produttore danese Danfoss che molte catene usano per gestire a distanza la refrigerazione dei punti vendita. Al centro ci sarebbero i controller della famiglia AK-SM: “system manager” che coordinano tutti i regolatori del freddo di un negozio e li rendono gestibili da un'interfaccia web (Team82). Chi controlla il system manager, in pratica, controlla il freddo dell'intero punto vendita.

Una vulnerabilità annunciata

Secondo una fonte vicina al primo ministro francese citata dall'AFP, l'ANSSI avrebbe individuato una vulnerabilità nel software di un'azienda danese e avrebbe già contattato il fornitore (CBS News). Dalle fonti disponibili emergono poi tre elementi.

• Le falle erano note. Come si sia arrivati ai controller non è ancora chiaro (BleepingComputer), ma di vulnerabilità pubbliche su questi prodotti ce n'erano diverse. Nel 2023 i ricercatori di Synacktiv avevano pubblicato un metodo per aggirare l'autenticazione dei vecchi system manager SM800 e SC255/SC355: un “codice del giorno”, calcolato a partire dalla sola data, accettato al posto della password. Danfoss aveva risposto che quei modelli erano già fuori supporto e aveva raccomandato di limitarne l'accesso dalla rete. Un meccanismo simile è stato poi individuato da Claroty Team82 nel modello successivo, l'AK-SM 800A: la CISA, l'agenzia statunitense per la cybersicurezza, lo ha segnalato a maggio 2025 (CVE-2025-41450, CVSS 8,2), con la correzione nel firmware R4.2 (CISA). Ad agosto 2025 è arrivato l'avviso su una seconda falla, una command injection che, una volta ottenuto l'accesso, permette di eseguire comandi sul sistema (CVE-2025-41451) (BleepingComputer).

• Molti dispositivi sono raggiungibili da Internet. Lunedì Baptiste Robert, CEO di Predicta Lab, ha contato 2.752 sistemi Danfoss esposti online, 1.590 dei quali in Francia, mentre il motore di ricerca Shodan ne indicizzava oltre 4.500 (BleepingComputer). Nella sua ricerca, Claroty Team82 aveva già individuato 2.765 AK-SM 800A con l'interfaccia di gestione raggiungibile da Internet (Team82). Non tutti sono necessariamente vulnerabili, ma tutti sono trovabili.

• Molti impianti erano fuori supporto. Secondo Danfoss, la maggior parte delle unità colpite erano prodotti legacy che non ricevono più aggiornamenti di sicurezza, come l'AK-SM800 (fuori supporto dal 2021) e l'AK-SC355 (dal 2016), oppure modelli attuali con firmware non aggiornato (Cooling Post, CBS News).

Per quanto emerso finora, insomma, non sembra essere servito uno zero-day. E non sarebbe nemmeno la prima volta: secondo una nota tecnica di Danfoss citata da InformatiqueNews, nel 2022 attacchi simili avevano colpito 16 supermercati in Russia e 40 in Israele, con controller AK-SM 800 privi di firewall o VPN.

Molto resta da chiarire, a partire dal punto d'ingresso: le ipotesi vanno dalle interfacce esposte su Internet alle credenziali deboli o rubate, fino agli account di manutenzione compromessi.

Non si sa con certezza nemmeno chi ci sia dietro: al momento non risultano rivendicazioni né attribuzioni. Ma per capire la portata del caso conta poco. Chiunque sia stato, l'effetto ricade sull'economia reale: merce distrutta, negozi chiusi, fornitori e consumatori coinvolti, e danni che, secondo quanto riportato, le assicurazioni potrebbero non coprire.

Perché riguarda anche le aziende italiane

Sostituite il banco frigo con un PLC, una pressa o un forno industriale, e lo scenario non cambia. È il mondo dell'OT (Operational Technology) e dell'IoT industriale: sistemi che non gestiscono dati, ma processi fisici. Il manifatturiero è uno dei pilastri dell'economia italiana, con un tessuto fatto in gran parte di piccole e medie imprese. Negli ultimi anni molte hanno collegato alla rete macchinari, linee e sistemi di supervisione, anche grazie agli incentivi di Industria 4.0, che chiedevano proprio l'interconnessione dei beni ai sistemi aziendali.

Manutenzione da remoto, dati in tempo reale e meno fermi sono vantaggi concreti. Ma ogni impianto connesso è anche un possibile punto d'ingresso. E rispetto ai sistemi IT, questi dispositivi hanno quattro caratteristiche che li rendono più difficili da proteggere:

• Cicli di vita lunghi. Un controller resta in campo per molti anni, spesso oltre la fine del supporto del produttore.
• La disponibilità viene prima di tutto. Un impianto che lavora 24 ore su 24 non si aggiorna come un portatile: servono finestre di fermo, test e spesso il via libera del fornitore.
• Responsabilità frammentate. Gli impianti dipendono da produzione, manutenzione o servizi generali, non dall'IT, e spesso non compaiono nell'inventario aziendale. Nel caso francese, osserva InformatiqueNews, la responsabilità era divisa tra punti vendita, frigoristi, fornitori e produttore.
• Accessi remoti dei fornitori. Tecnici e manutentori si collegano dall'esterno con VPN, strumenti di accesso remoto o credenziali condivise. Il Verizon DBIR 2026 segnala un aumento del 240% nell'abuso di software di gestione remota (RMM) nelle intrusioni.

I numeri dicono che il settore è già nel mirino. Nel 2025 la manifattura è stata il primo settore per incidenti gestiti da Certego: 5.904 su 16.861, circa il 35% del totale, a cui si aggiungono 952 incidenti nell'industria alimentare (State of Cybersecurity Recap 2025). Nel primo semestre 2026, secondo l'ACN, manifatturiero e commercio al dettaglio sono stati tra i settori più colpiti dal ransomware, spesso favorito da credenziali compromesse, accessi remoti mal protetti e vulnerabilità note su servizi esposti (ACN).

E il rischio riguarda anche impianti molto simili a quelli francesi. A marzo il CSIRT Italia ha inviato comunicazioni di allerta alle organizzazioni che esponevano su Internet controller di refrigerazione Copeland XWEB, colpiti da una vulnerabilità che consente di aggirare l'autenticazione ed eseguire codice da remoto (CVE-2026-21718) (ACN).

Per un'azienda manifatturiera, un attacco di questo tipo non significa solo dati violati. Significa linee ferme, ordini in ritardo, scarti e penali lungo tutta la filiera.

Il vero problema è la gestione delle vulnerabilità

Se le ricostruzioni saranno confermate, il caso francese non racconta un attacco sofisticato, ma una gestione delle vulnerabilità che non ha funzionato: falle pubblicate, correzioni disponibili, dispositivi esposti e fuori supporto. Il problema non è stato scoprire le vulnerabilità, ma chiuderle in tempo.

E il problema cresce. Nel primo semestre 2026 sono state pubblicate 37.032 nuove vulnerabilità, il 54% in più di un anno prima, verosimilmente anche per l'uso crescente dell'AI nella ricerca di falle (ACN). Per il Verizon DBIR 2026 lo sfruttamento di vulnerabilità è ormai il primo vettore di accesso nelle violazioni (31%), ma solo il 26% delle vulnerabilità già sfruttate viene corretto del tutto, e il tempo mediano per farlo è salito a 43 giorni.

Anche nei dati Certego il peso è evidente: nei primi sei mesi del 2026 il 22% dei 9.610 incidenti rilevati e bloccati, circa 2.100 casi, nasce dallo sfruttamento di una vulnerabilità, quasi quanto phishing e social engineering (23%).

Con impianti e dispositivi connessi, servono sei punti fermi.

1. Inventario, anche di ciò che non è IT. Per ogni dispositivo connesso: modello, firmware, fine supporto, responsabile e da dove è raggiungibile. Negli impianti le scansioni attive vanno calibrate e, dove serve, affiancate da tecniche passive.

2. Esposizione prima della severità. Una falla media su un dispositivo raggiungibile da Internet pesa più di una critica su un sistema isolato.

3. Priorità basate sullo sfruttamento reale. Oltre al CVSS contano il catalogo KEV della CISA, l'EPSS, gli exploit pubblici e l'impatto sul processo.

4. Patch quando possibile, misure compensative sempre. Gli aggiornamenti si pianificano con produzione e fornitore; nel frattempo servono segmentazione secondo la IEC 62443, accessi remoti via VPN o bastion host con autenticazione a più fattori e account nominativi.

5. Fine vita: sostituire o isolare. Un dispositivo che non riceve più aggiornamenti è una vulnerabilità permanente.

6. Fornitori dentro il perimetro. I contratti di manutenzione devono stabilire chi monitora le vulnerabilità, chi applica le patch e in quanto tempo. Dall'11 settembre 2026 il Cyber Resilience Act obbliga i produttori a notificare alle autorità, entro 24 ore, le vulnerabilità sfruttate attivamente: utile, ma non sostituisce un processo interno.

Vulnerability management e MDR: due metà dello stesso lavoro

La gestione delle vulnerabilità riduce le porte aperte, ma non le chiude tutte né subito. Tra la pubblicazione di una falla e la sua correzione c'è sempre una finestra, e i dispositivi fuori supporto non verranno mai aggiornati. In quella finestra serve qualcuno che guardi, 24 ore su 24.

Il caso francese lo mostra: l'attacco sarebbe partito di notte, nel weekend, e in molti negozi sarebbe stato scoperto a danno fatto. E gli attaccanti sono sempre più veloci: come abbiamo ricordato parlando di HyperAutomation nel SOC, nel 2025 il breakout time medio degli attacchi eCrime è sceso a 29 minuti.

Un monitoraggio continuo può intercettare segnali come:

• accessi notturni all'interfaccia di supervisione da indirizzi mai visti;
• sessioni da amministratore aperte senza un login regolare;
• lo stesso comando inviato a tutti i banchi in pochi minuti;
• traffico anomalo verso Internet o verso la rete aziendale.

Per vederli non serve installare software sui controller: bastano sonde di rete che osservano il traffico senza interferire con il processo.

Le due attività si alimentano a vicenda:

• le vulnerabilità orientano la detection: un allarme su un dispositivo esposto e vulnerabile ha la precedenza;
• la detection orienta le patch: se il SOC vede tentativi di sfruttamento su una falla, quella correzione passa in cima alla lista;
• il monitoraggio copre ciò che non si può correggere: per i dispositivi fuori supporto diventa una misura compensativa;
• la threat intelligence collega i due mondi: sapere quali falle vengono sfruttate permette di cercarne le tracce prima che diventino incidenti.

Serve però una catena di analisi che separi il segnale dal rumore: nel caso raccontato in Il 94% del lavoro di un MDR (che funziona) è quello che non vedi, 14,6 miliardi di dati di telemetria raccolti in dodici mesi si sono ridotti a 796 incidenti reali.

Negli impianti, poi, la risposta va concordata in anticipo con chi li gestisce, perché isolare un controller può fermare la produzione. Si blocca l'accesso remoto, si disattiva un account, si revoca una sessione, escludendo dalle azioni automatiche i sistemi critici.

È il modello che Certego applica. La gestione delle vulnerabilità indica dove sono le porte aperte; il servizio MDR aiuta il cliente a chiuderle nell'ordine giusto, secondo una logica di rischio: prima le falle più pericolose sugli asset più importanti, poi tutte le altre.

Risk exposure: quanto siamo disposti a restare esposti?

Gestione delle vulnerabilità e MDR rispondono al “come”. La risk exposure risponde a una domanda che spetta al vertice: quanta esposizione accettare, e quanto costa ridurla? Come abbiamo scritto in Quanto costa davvero il rischio cyber, il rischio cyber è a tutti gli effetti un rischio d'impresa.

Misurarla. Si combinano probabilità e impatto. Un esempio semplificato: una linea con un margine di 15.000 euro l'ora e un fermo di 48 ore con probabilità annua del 5% valgono un'esposizione attesa di 36.000 euro l'anno. Non è una previsione, ma un metro per confrontare gli interventi.

Decidere. Per ogni scenario l'esposizione si può ridurre (patch, segmentazione, monitoraggio), trasferire (polizze o servizi gestiti, verificando le esclusioni), accettare in modo esplicito oppure evitare, scollegando da Internet ciò che non ne ha bisogno. Per molte imprese, con la NIS2, è anche un obbligo: gli organi di amministrazione approvano le misure di gestione del rischio e ne rispondono.

Seguirla nel tempo. Bastano pochi indicatori, letti con regolarità: quanti dispositivi sono inventariati e quanti raggiungibili da Internet, in quanto tempo si correggono le vulnerabilità sfruttate e quanto velocemente si rileva un attacco, anche di notte.

Lezioni da un caso che non è isolato

Quello francese non è un episodio isolato. Attacchi simili avevano già colpito supermercati in Russia e in Israele nel 2022, migliaia di controller restano raggiungibili da Internet e anche in Italia il CSIRT ha segnalato dispositivi di refrigerazione esposti e vulnerabili. Nei dati Certego, più di un incidente su cinque nasce da una vulnerabilità sfruttata.

Le lezioni sono chiare:

• un attacco informatico può avere effetti fisici ed economici, ben oltre i dati;
• ciò che non si conosce non si aggiorna: l'inventario viene prima di tutto;
• le vulnerabilità vanno chiuse in ordine di rischio, e sorvegliate 24/7 finché restano aperte;
• quanta esposizione accettare è una decisione del vertice, non solo dell'IT.

Le vulnerabilità non gestite non restano a lungo un problema tecnico. Prima o poi diventano un costo.