Attacchi ai frigoriferi dei supermercati, casi anche in Italia: le misure urgenti di ACN

Nella notte tra domenica 1 e lunedì 2 novembre 2026 una nuova ondata di attacchi ai sistemi di refrigerazione dei supermercati ha colpito diversi paesi europei, Italia compresa: banchi frigo e celle manomessi da remoto, temperature alzate fino a 50 gradi, merce da buttare. Il 3 novembre l’Agenzia per la cybersicurezza nazionale (ACN) ha riproposto in primo piano il bollettino con le misure urgenti per la grande distribuzione e la filiera del freddo, già pubblicato il 13 ottobre dopo il primo attacco in Francia.

I casi italiani

I fatti confermati da fonti dirette sono questi. ACN ha ricevuto una notifica NIS da un’azienda toscana della ristorazione collettiva e ha rilevato, senza notifica, un attacco a un’impresa emiliana di surgelati. In Sicilia il gruppo Radenza, che gestisce supermercati a marchio Coop, ha confermato all’ANSA attacchi avvenuti verso le 4 del mattino: la prima ricostruzione dell’agenzia parla di almeno tre punti vendita a Catania e uno a Palermo, mentre l’amministratore delegato ha poi indicato «almeno due supermercati». Nel punto vendita di Palermo, secondo il responsabile di area, gli attaccanti si sono collegati alla VPN aziendale, hanno messo fuori uso la telegestione e hanno portato a 50 gradi i set point delle celle; l’allarme notturno non è scattato. Secondo l’ANSA, in Sicilia i punti vendita presi di mira sarebbero tra 20 e 30.

A Sassari sono stati colpiti due supermercati della catena Viro, con banchi frigo portati a circa 15 gradi: indaga la Polizia postale. Il 3 novembre Palazzo Chigi, dopo una riunione con ACN e intelligence, ha parlato di «poche unità commerciali» colpite, per lo più con sistemi obsoleti e interfacce esposte su Internet, e di nessun rischio per la salute emerso.

Cosa è successo in Europa

La prima ondata ha colpito la Francia a ottobre, con centinaia di punti vendita coinvolti secondo BleepingComputer. L’allerta del CERT-FR citata dalla testata indica tra i sistemi colpiti i controllori Danfoss AK-SM/AK-SC e Copeland/Dixell XWEB. La seconda ondata, il 2 novembre, ha toccato secondo BleepingComputer oltre 115 negozi tra Belgio, Paesi Bassi, Svezia, Lussemburgo, Irlanda ed Estonia, con conferme di ICA, Ahold Delhaize e Colruyt. Nel Regno Unito, scrive The Record, tre fornitori di carne sono stati colpiti tramite controllori Copeland XWEB con firmware 1.12.1 o precedente, per cui esiste un aggiornamento da agosto.

Ad agosto Claroty Team82 aveva divulgato quasi due dozzine di falle negli XWEB Pro, tra cui la CVE-2026-21718: un bypass dell’autenticazione che porta all’esecuzione di codice sui modelli 300D, 500D e 500B fino alla 1.12.1. Il National Cyber Security Centre britannico, citato da The Record, definisce finora «minimo» l’impatto a livello nazionale.

Chi c’è dietro: solo una rivendicazione

Il 4 novembre il Tg1 ha riferito di un video in cui i gruppi filorussi NoName057(16) e Z-Pentest rivendicano gli attacchi, citando apparecchiature Danfoss e Dixell. È una rivendicazione, non un’attribuzione: nessuna autorità l’ha confermata e il centro belga per la cybersicurezza ha detto a The Record che potrebbe non essere mai possibile identificare gli autori. NoName057(16) è lo stesso gruppo degli attacchi DDoS contro siti italiani di cui abbiamo scritto in https://hardwarfare.it/sicurezza-informatica/attacchi-data-breach/noname057-ddos-italia-autunno-2026/, ed è noto per rivendicare anche azioni altrui.

Cosa fare subito: la checklist per supermercati e catena del freddo

1. Censite controllori, sistemi SCADA, pannelli HMI, gateway e servizi di teleassistenza: produttore, modello, versione, stato di supporto, chi vi accede.
2. Togliete dall’esposizione diretta su Internet ogni interfaccia di amministrazione, compresi router cellulari e connessioni predisposte dai manutentori. Una pagina di login o il lucchetto HTTPS non bastano.
3. Separate la rete degli impianti da quella aziendale e degli ospiti con regole firewall che bloccano tutto ciò che non è autorizzato: le sole VLAN, avverte ACN, non sostituiscono il filtraggio.
4. Accessi remoti solo via VPN aggiornata con autenticazione a più fattori e, dove serve, un jump host; accessi dei fornitori limitati nel tempo e registrati.
5. Cambiate credenziali predefinite, deboli o condivise e disattivate gli account non riconosciuti.
6. Confrontate set point, cicli di sbrinamento, soglie e destinatari degli allarmi con quelli autorizzati, verificando le temperature con strumenti indipendenti dal sistema di supervisione.
7. Analizzate i log fino a 90 giorni, aggiornate i dispositivi supportati, isolate e sostituite quelli fuori supporto.
8. In caso di anomalie, segnalate subito al CSIRT Italia di ACN.

La nostra lettura

Non serve un gruppo sofisticato per far marcire la merce di un supermercato: basta un pannello di controllo esposto con una falla nota o la password di fabbrica. Le grandi catene, con reti segmentate, hanno retto; i punti vendita con impianti gestiti in autonomia o da manutentori esterni no. È lì che va fatto il lavoro, e la checklist di ACN è un buon punto di partenza anche per chi non è soggetto alla normativa NIS. Le notizie italiane della sezione sono in https://hardwarfare.it/category/sicurezza-informatica/sicurezza-italia/.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo