↓ Salta al contenuto principale
fr1zz0

Il frigorifero era su Internet

·7 minuti·
Sicurezza Ot-Security Ics Refrigeration Danfoss Nis2
Indice dei contenuti

Nella notte tra l'11 e il 12 ottobre qualcuno ha acceso le resistenze di sbrinamento dei banchi frigo di qualche centinaio di supermercati francesi. Con la merce dentro. Al mattino i congelatori segnavano 50 °C, in Normandia anche di più, e in alcuni negozi le apparecchiature si erano fuse. Il ministro delle Finanze ha parlato di circa 700 punti vendita su 10.000; Les Mousquetaires, il gruppo di Intermarché, stima i danni in decine di milioni di euro.

Tre settimane dopo, tra il 2 e il 3 novembre, la stessa cosa è successa in Belgio, Lussemburgo, Svezia, Irlanda, Paesi Bassi, Portogallo, Estonia e in Italia, dove sono state colpite almeno quattro Coop del gruppo Radenza in Sicilia. SecurityWeek conta più di cento negozi.

Ho passato gli ultimi giorni a ricostruire la vicenda dalle fonti ufficiali per inserirla in un corso sulla sicurezza degli impianti industriali. Più leggevo, più mi sembrava un caso di scuola: nessuna tecnica nuova, solo errori che chi lavora in OT conosce da vent’anni.

Che cosa è successo, in breve
#

In ogni supermercato c’è un controllore che governa tutti i banchi refrigerati: temperature, soglie di allarme, orari degli sbrinamenti. Quelli coinvolti sono soprattutto i Danfoss delle serie AK-SM e AK-SC, più alcuni supervisori Copeland e Dixell xweb. Hanno un’interfaccia web, pensata perché la ditta della refrigerazione possa intervenire da remoto senza mandare un tecnico.

In migliaia di casi quell’interfaccia rispondeva direttamente su Internet. Ad agosto Claroty ne aveva contate 2.765 con Censys, e il 2 novembre se ne vedevano ancora un migliaio.

Per entrare c’erano almeno tre strade.

  • Le credenziali di fabbrica. Danfoss stessa ha detto alla televisione olandese NOS che i sistemi colpiti nei Paesi Bassi non stavano su una rete protetta e usavano le password predefinite.
  • Il «code of the day». È una password di servizio nascosta, calcolata a partire dalla data del dispositivo e pensata per l’assistenza. Claroty Team82 ne ha ricostruito l’algoritmo e l’ha pubblicato ad agosto 2026 insieme ad altre due vulnerabilità dell’AK-SM 800A: CVE-2025-41450 (bypass dell’autenticazione, CVSS 8.2), CVE-2025-41451 (esecuzione di comandi) e CVE-2025-41452 (denial of service). Le patch esistevano già, la 4.2 dal marzo 2025 e la R4.3.1 da agosto 2025.
  • Gli apparati fuori supporto. L’AK-SM 800 non riceve aggiornamenti da maggio 2021, l’AK-SC 355 dal 2016. Per loro nessuna patch arriverà mai.

Quale strada sia stata usata davvero non è stato reso pubblico. Sui modelli più vecchi probabilmente non serviva nessuna vulnerabilità con un numero.

Una volta dentro, gli aggressori non hanno installato nulla: hanno usato una funzione normale. Lo sbrinamento esiste per sciogliere il ghiaccio sull’evaporatore; lanciato a comando, con le soglie modificate, scalda la merce.

Tre cose che mi porto a casa
#

Non c’era niente da rilevare. Nessun file malevolo, nessun processo strano, nessuna firma. Un comando legittimo, mandato con credenziali valide a un apparato che lo accetta. Gli strumenti che l’IT usa di solito, antivirus ed EDR, qui non hanno nulla su cui lavorare. L’unica cosa che poteva accorgersene è chi guarda il processo: in Estonia un congelatore Selver è salito di due o tre gradi e in dieci minuti era tutto a posto, perché qualcuno ha visto l’allarme e ha reagito. Il controllo che ha funzionato meglio, in tutta Europa, è stato un tecnico sveglio.

L’impianto non era dell’IT. Il controllore lo installa e lo gestisce la ditta della refrigerazione, che lo collega come le è comodo. ICA, in Svezia, l’ha detto in modo esplicito: tutti i negozi colpiti erano collegati a un sistema di controllo esterno, fuori dalla rete centrale, che infatti non è stata toccata. È lo schema che vedo in quasi tutte le aziende con impianti: ogni sistema ha il suo fornitore, ogni fornitore il suo modo di entrare, e nessuno ha la lista completa. Quando si fa l’inventario degli asset, questi apparati non ci sono, perché per l’IT non esistono.

La patch non bastava. Anche nel caso migliore, aggiornare il firmware avrebbe chiuso le CVE di Claroty su un modello solo. Gli altri due andavano sostituiti, e Stephan Moelans, l’amministratore di Sabcobel, l’installatore belga che segue i negozi Delhaize, ha detto chiaro che per molti impianti servono modifiche fisiche costose. Un apparato fuori supporto e raggiungibile da Internet resta compromettibile, e secondo il CERT-FR nemmeno il ripristino di fabbrica lo rende sicuro. O lo si isola, o lo si cambia, e tutte e due le strade costano.

Che cosa hanno detto le autorità
#

Il CERT-FR ha pubblicato l’allerta CERTFR-2026-ALE-012 il 12 ottobre, aggiornata il 13 e il 16. La frase centrale è asciutta: esporre su Internet un’interfaccia di gestione è contrario alle buone pratiche. Le indicazioni sono quelle che ci si aspetta (togliere l’esposizione, accesso solo via VPN, firmware aggiornato, password cambiate, livello di sicurezza «Strict» sui Danfoss) più una che mi ha colpito: verificare le condizioni assicurative prima di interrompere la trasmissione dei dati al fornitore.

L’ACN ha pubblicato il 13 ottobre il bollettino BL01/261013/CSIRT-ITA, «Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo», e lo ha aggiornato il 3 novembre dopo i casi italiani. Due delle sue indicazioni valgono per qualunque impianto, non solo per i frigoriferi:

  • coordinare ogni modifica tra sicurezza IT, responsabili degli impianti e manutentori, perché togliere l’accesso di rete non spenga gli impianti;
  • verificare le temperature reali con strumenti indipendenti dal sistema di supervisione.

La seconda è la più importante di tutta la vicenda, e la meno citata. Se il sistema che controlla l’impianto è compromesso, anche quello che mostra può essere falso. Stuxnet faceva vedere agli operatori valori registrati mentre le centrifughe si rompevano. Un termometro da cento euro, collegato a niente, è un controllo di sicurezza.

Chi è stato
#

Non si sa. Nessuno ha rivendicato. Il Centro per la Cybersicurezza belga ha detto che potrebbe non essere mai determinato. Ken Munro di Pen Test Partners ha fatto notare che, vista la facilità, potrebbe anche trattarsi di ragazzi che giocano.

C’è poi un filo americano. Reuters ha scritto il 29 ottobre che il Pentagono tratta come sospetto attacco informatico il guasto di congelatori in almeno sei spacci militari statunitensi a fine agosto: anche lì, unità in sbrinamento con il cibo dentro. Defense One riferisce di funzionari che sospettano gruppi legati all’Iran, con la precisazione che la valutazione potrebbe cambiare. La marca dei controllori delle basi però non è stata resa nota, e senza quella il collegamento con l’Europa resta un’ipotesi.

Io non mi sbilancerei. Per chi difende un impianto, del resto, cambia poco: se un ragazzino annoiato e un servizio di intelligence possono fare la stessa cosa con lo stesso sforzo, il problema non sta nell’attaccante.

Se gestite un impianto, domani mattina
#

Non serve essere un supermercato. Gruppi elettrogeni, UPS, centrali di trattamento aria, quadri elettrici con analizzatori di rete, impianti di videosorveglianza: hanno quasi tutti una pagina web e un manutentore che ci entra da fuori. Le domande da farsi sono poche.

  1. Quali dei nostri apparati hanno un’interfaccia di gestione raggiungibile da Internet? Non quelli che pensiamo, quelli che risultano da una ricerca su Shodan o Censys sui nostri indirizzi pubblici.
  2. Chi ci entra, con quale account, da dove? Se la risposta è «la ditta, con la password che ha sempre usato», il lavoro è già chiaro.
  3. Quali sono fuori supporto, e c’è un piano per sostituirli?
  4. Se domani mattina un impianto si comportasse in modo strano, ce ne accorgeremmo da qualcosa che non passa dal sistema stesso?
  5. Se dovessimo staccare il collegamento al fornitore stanotte, che cosa si fermerebbe, e chi lo decide?

La quinta domanda è quella che nessuno si fa prima. In Francia, la sera del 12 ottobre, molti se la sono fatta di corsa.

Fonti
#