L’attacco ai frigoriferi dei supermercati francesi ha usato i controller di refrigerazione esposti su Internet per forzare lo sbrinamento dei banchi.
Nella notte tra l’11 e il 12 ottobre 2026 almeno 350 supermercati francesi hanno trovato banchi frigo e congelatori caldi, secondo Reuters. Les Mousquetaires, il gruppo di Intermarché, ha parlato di temperature fino a 50 °C. La procura di Parigi ha aperto un’inchiesta, affidata all’ufficio anticrimine informatico OFAC.
Al 20 ottobre, nelle fonti consultate, nessuno ha rivendicato l’attacco e le autorità non hanno detto come gli aggressori siano entrati. Il meccanismo però si può già ricostruire, e riguarda impianti presenti in qualunque supermercato europeo: un pannello di gestione raggiungibile dalla rete, spesso vecchio, a volte fuori supporto da anni.
Quali supermercati sono stati colpiti?
Le catene hanno fornito numeri propri, raccolti da The Hacker News il 13 ottobre. Un negozio “colpito” non ha sempre perso la merce: secondo il presidente di Coopérative U, Dominique Schelcher, nella maggior parte dei suoi 80 punti vendita la catena del freddo ha tenuto. Intermarché ha invece dichiarato di aver eliminato tutti i prodotti interessati.
| Catena | Punti vendita colpiti | Fonte della cifra |
| Intermarché e Netto (Les Mousquetaires) | Almeno 300 secondo AFP, circa 150 secondo Reuters | Comunicazioni dell’azienda, 12 ottobre |
| Coopérative U | 80 su 2.000 | Dominique Schelcher a RTL, 13 ottobre |
| Carrefour | 80 supermercati | Azienda ad AFP e Reuters, 12 ottobre |
| Monoprix | Circa 30 | Azienda ad AFP, 12 ottobre |
| E.Leclerc | Diversi negozi, nessuna cifra | Azienda ad AFP, 12 ottobre |
Fonte: The Hacker News, 13 ottobre 2026.
Un conto ufficiale dei danni non esiste. Thierry Cotillard, presidente di Les Mousquetaires, ha detto a BFMTV di attendersi perdite per decine di milioni di euro in tutta la Francia, secondo Reuters. È la stima di una parte lesa, non un dato verificato.
Come funziona un controller di refrigerazione in un supermercato?
Ogni banco frigo ha un piccolo regolatore che legge la temperatura e comanda ventole, valvole e sbrinamento. Sopra questi regolatori c’è un gestore centrale, il system manager, che li coordina per l’intero negozio. Nel caso di Danfoss il modello attuale è l’AK-SM 800A: secondo Claroty, da un’unica console si controllano i circuiti, si fissano le soglie di temperatura, si leggono gli allarmi, si cambiano le programmazioni e si gestiscono utenti e manutenzione a distanza.
Lo sbrinamento è una di queste programmazioni. L’umidità dell’aria si deposita come ghiaccio sull’evaporatore, la parte fredda dell’impianto, e ne riduce il rendimento. Per questo il controller sospende periodicamente il raffreddamento e scalda l’evaporatore finché il ghiaccio si scioglie. In condizioni normali il ciclo è breve e si chiude quando una sonda segnala che il ghiaccio è sparito, oppure allo scadere di un tempo massimo impostato.
Questi pannelli sono online per comodità di manutenzione. Gli impianti sono installati e assistiti da ditte frigoriste che seguono molti negozi senza spostarsi: secondo Claroty è questo a ridurre i costi. Coopérative U, ha spiegato Schelcher, non compra da Danfoss: i suoi negozi sono clienti di installatori che forniscono il sistema. C’è anche un vincolo contrattuale. Nella sua allerta il CERT-FR, la squadra di risposta agli incidenti dell’agenzia francese ANSSI, invita a controllare le condizioni dell’assicurazione prima di interrompere l’invio dei dati verso il frigorista.
Come hanno fatto gli hacker a portare i frigoriferi a 50 °C?
Secondo BleepingComputer, gli aggressori hanno preso il controllo dei controller e hanno attivato lo sbrinamento automatico già previsto dal sistema. Les Mousquetaires ha riferito che banchi e congelatori sono stati messi in sbrinamento e portati fino a 50 °C. In pratica una funzione normale dell’impianto è stata spinta oltre i limiti di durata e di temperatura, di notte, a negozi chiusi.
Come siano entrati non è stato stabilito. Al 13 ottobre il CERT-FR non aveva indicato vulnerabilità, versioni o vie d’accesso, secondo The Hacker News. Una persona vicina al primo ministro Sébastien Lecornu ha detto all’AFP che l’ANSSI ha individuato una vulnerabilità in un software Danfoss: la dichiarazione non dice che sia quella usata nell’attacco.
| Prodotto | Produttore | Stato secondo il produttore o le autorità | Falle note e correzioni |
| AK-SC 355 | Danfoss | Fuori produzione dal 2016, nessun aggiornamento | Nessuna correzione disponibile |
| AK-SM 800 | Danfoss | Fine vita da maggio 2021, nessun aggiornamento | Nessuna correzione disponibile |
| AK-SM 800A | Danfoss | Modello attuale; colpite alcune unità con firmware vecchio | CVE-2025-41450 corretta nella versione 4.2; CVE-2025-41451 e CVE-2025-41452 corrette nella R4.3.1. Ultimo pacchetto disponibile al 13 ottobre: 5.3.x |
| XWEB | Copeland e Dixell | Aggiunti all’allerta CERT-FR il 13 ottobre; Copeland non ha confermato | Sulla versione XWEB Pro, Claroty ha segnalato ad agosto 23 falle (21 gravi), corrette nel firmware 1.13 |
Fonti: Danfoss tramite The Hacker News e Reuters; CERT-FR, allerta CERTFR-2026-ALE-012; Claroty, 9 agosto 2026; SecurityBrief, 11 agosto 2026.
La falla più nota è la CVE-2025-41450, descritta da Claroty il 9 agosto 2026. L’AK-SM 800A accettava, al posto della password dell’amministratore, un “codice del giorno” calcolato a partire dalla data del dispositivo: i ricercatori hanno ricostruito l’algoritmo analizzando il firmware, e chiunque lo riproducesse poteva entrare con pieni poteri. Danfoss aveva già pubblicato le correzioni nel 2025. Né le autorità né Danfoss hanno collegato queste falle all’attacco, e la ricerca di Claroty riguardava solo il modello più recente, non i due fuori supporto.
Quanti controller sono esposti su Internet?
Migliaia. I conteggi pubblicati però non coincidono, e il motivo spiega come vanno letti.
| Chi ha contato | Quando | Cosa ha contato | Risultato |
| SOCRadar (Censys) | 13 ottobre 2026 | Host unici in Francia con interfaccia Danfoss StoreView | 881 |
| SOCRadar (Shodan) | 13 ottobre 2026 | Risultati per l’interfaccia StoreView | 4.481 nel mondo, di cui 2.898 in Francia (circa 65%) |
| Reuters (Shodan) | 13 ottobre 2026 | Interfacce Danfoss visibili | Almeno 4.500 |
| Predicta Lab (Baptiste Robert), via BleepingComputer | 12 ottobre 2026 | Sistemi Danfoss esposti | 2.752, di cui 1.590 in Francia |
| Claroty (Censys) | Agosto 2026 | Interfacce AK-SM 800A | 2.765 |
Shodan conta i servizi: lo stesso apparecchio che risponde su più porte compare più volte. Censys conta gli host. Per questo SOCRadar indica per la Francia un intervallo di circa 900 dispositivi e 2.900 servizi esposti. Nessuna di queste cifre dice quanti apparecchi siano vulnerabili: la società francese Onyphe ha spiegato a Reuters che solo una piccola minoranza sembrava avere il software più recente.
Il problema non è nuovo. Nella newsletter di ottobre 2025, citata da The Hacker News, Danfoss ricordava attacchi del 2022 contro sistemi AK-SM 800 in 16 supermercati russi e in 40 negozi israeliani, questi ultimi tutti senza firewall o VPN adeguati. È lo stesso nodo dei PC con Windows 10 senza aggiornamenti: un apparecchio fuori supporto continua a funzionare, ma ogni falla scoperta dopo resta aperta. Ken Munro, di Pen Test Partners, l’ha definita a Reuters una questione di “igiene informatica di base”.
Chi deve rispondere di un attacco come questo secondo le regole europee?
Due norme europee toccano il caso da lati diversi: la direttiva NIS2 guarda a chi gestisce l’impianto, il Cyber Resilience Act a chi lo produce.
NIS2. L’allegato II della direttiva (UE) 2022/2555 include tra i settori critici le imprese alimentari attive nella distribuzione all’ingrosso e nella produzione e trasformazione industriale. Il commercio al dettaglio non c’è: l’autorità alimentare finlandese, che vigila sulla NIS2 nel settore, lo scrive in chiaro. Un supermercato, in quanto negozio, non rientra quindi nel perimetro per il suo settore. Può rientrarvi la società di un gruppo che fa distribuzione all’ingrosso, se supera le soglie della media impresa: almeno 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni di euro. L’Italia ha recepito lo stesso perimetro con il d.lgs. 138/2024.
Cyber Resilience Act. Il regolamento (UE) 2024/2847 si applica per intero dall’11 dicembre 2027, ma il suo articolo 14 vale dall’11 settembre 2026. Obbliga i produttori di prodotti con elementi digitali a segnalare le vulnerabilità sfruttate attivamente: preallarme entro 24 ore da quando ne vengono a conoscenza, notifica entro 72 ore, rapporto finale entro 14 giorni dalla disponibilità di una correzione. Per l’articolo 69, paragrafo 3, l’obbligo vale anche per i prodotti messi sul mercato prima del dicembre 2027. Ne abbiamo spiegato i dettagli nella nostra guida all’articolo 14 del Cyber Resilience Act.
Perché l’obbligo scatti servono prove attendibili che un attore malevolo abbia sfruttato una vulnerabilità del prodotto. L’indagine non ne ha ancora indicata una. Se riguardasse un prodotto Danfoss o Copeland, il produttore dovrebbe notificarla tramite la piattaforma unica gestita dall’ENISA; se lo abbiano fatto non è pubblico. Resta una domanda aperta: se l’obbligo copra anche apparecchi dichiarati fuori supporto da anni, come l’AK-SC 355. Nelle fonti consultate non c’è una presa di posizione delle autorità su questo punto.
C’è poi la merce. Il regolamento (CE) 852/2004 sull’igiene degli alimenti stabilisce che la catena del freddo non deve essere interrotta (allegato II, capitolo IX, punto 5). Per questo i negozi colpiti hanno dovuto valutare ed eliminare i prodotti esposti, anche dopo il ritorno dei banchi alla temperatura giusta.
| Norma | Chi obbliga | Cosa chiede | Nel caso dei frigoriferi |
| NIS2: direttiva (UE) 2022/2555, in Italia d.lgs. 138/2024 | Imprese alimentari di ingrosso e produzione o trasformazione industriale sopra le soglie; non il dettaglio | Misure di sicurezza, notifica degli incidenti significativi | Riguarda le società di gruppo con attività all’ingrosso, non il singolo negozio |
| Cyber Resilience Act: regolamento (UE) 2024/2847, art. 14 | Produttori di prodotti con elementi digitali | Preallarme in 24 ore, notifica in 72 ore, rapporto finale 14 giorni dopo la correzione | Scatta solo se emerge una vulnerabilità del prodotto sfruttata nell’attacco |
| Regolamento (CE) 852/2004 | Operatori del settore alimentare | Catena del freddo non interrotta | Merce esposta da valutare ed eliminare se non sicura |
Cosa cambia per i supermercati in Italia?
Dalle fonti pubbliche consultate al 20 ottobre non risultano incidenti confermati in Italia. Un pezzo della vicenda però è italiano, e l’Agenzia per la Cybersicurezza Nazionale (ACN) ha già chiesto verifiche.
L’allerta dell’ACN. Il 13 ottobre il CSIRT Italia dell’ACN ha pubblicato il bollettino AL04/261013/CSIRT-ITA, rivolto a grande distribuzione, logistica alimentare, refrigerazione industriale e manutentori. Chiede di dare priorità alla rimozione delle esposizioni su Internet e alla verifica dei parametri operativi, poi di controllare account, separazione tra reti IT e OT e procedure manuali di emergenza per la catena del freddo. L’Agenzia precisa che i tempi indicati sono obiettivi raccomandati e non sostituiscono gli obblighi di notifica.
Il fornitore in provincia di Belluno. Tra i sistemi aggiunti all’allerta francese il 13 ottobre ci sono i supervisori XWEB di Copeland e Dixell. L’elettronica Dixell, compresa la famiglia XWEB, è prodotta da Copeland Controls S.r.l., la ex Dixell, con sede ad Alpago, in provincia di Belluno, secondo il profilo aziendale pubblicato su Expoclima. Copeland, che controlla Dixell, ha rifiutato di confermare la compromissione, secondo Reuters. Dixell France ha diffuso raccomandazioni per l’uso sicuro dei supervisori XWEB, segnalate dallo stesso CERT-FR.
Quanti apparecchi ci sono in Italia. Un censimento pubblico dei controller esposti in Italia non esiste. I dati diffusi dopo l’attacco riguardano la Francia, che concentra circa due terzi delle interfacce Danfoss trovate da SOCRadar. Félix Aimé, di Sekoia, ha indicato a Reuters casi anche in Spagna, Portogallo, Polonia, Germania e Belgio, senza conferme dei distributori. L’Italia non compare nell’elenco, ma questo non dice nulla su quanti apparecchi siano installati qui.
La scadenza NIS2 del 31 ottobre. I soggetti inseriti nell’elenco NIS nel 2025 devono rendere operative le misure di sicurezza di base entro il 31 ottobre 2026, secondo la determinazione ACN 379907/2025. Per chi è entrato nell’elenco nel 2026 il termine è il 31 luglio 2027 (determinazione ACN 127434/2026). Per le società alimentari all’ingrosso o industriali nel perimetro, gli impianti di refrigerazione connessi fanno parte dei sistemi da proteggere.
Cosa fare subito, secondo CERT-FR e ACN:
- Togliere da Internet i pannelli di gestione, compresi quelli raggiungibili da un indirizzo IP pubblico, dopo aver verificato il contratto con assicurazione e frigorista.
- Controllare l’intera configurazione, a partire dalle programmazioni di sbrinamento.
- Ripristinare l’accesso remoto solo tramite VPN o rete protetta. Il filtro sugli indirizzi IP dei frigoristi è un rimedio d’emergenza, non una soluzione.
- Aggiornare il firmware, cambiare le password predefinite e, sui sistemi Danfoss, impostare il livello di sicurezza Strict.
- Pianificare la sostituzione degli apparecchi fuori supporto: secondo il CERT-FR, su questi un ripristino di fabbrica toglie l’intrusione ma lascia la falla.
- Verificare le procedure manuali di emergenza per conservare la merce.
Per il quadro tecnico generale, le nostre guide all’Internet of Things e all’Industria 4.0 spiegano come si collegano sensori e impianti alla rete.
Cosa non si sa ancora dell’attacco?
- Chi è stato. Nessuna rivendicazione e nessuna richiesta di riscatto, secondo Reuters: un’assenza che, secondo una fonte vicina all’indagine, ha sorpreso gli investigatori.
- Come sono entrati. Nessuna vulnerabilità è stata collegata ufficialmente all’attacco.
- Quanto vale il danno. Esistono solo stime delle catene colpite.
- Se altri Paesi siano stati colpiti. Le indicazioni di Sekoia non sono state confermate dai distributori.
- Se ci siano legami con altri attacchi. L’autorità olandese per la cybersicurezza, NCSC, ha escluso collegamenti con l’incidente che negli stessi giorni ha colpito Ahold Delhaize, secondo Reuters.
Domande frequenti
Cosa è successo ai frigoriferi dei supermercati francesi?
Nella notte tra l’11 e il 12 ottobre 2026 qualcuno ha preso il controllo dei sistemi che gestiscono banchi frigo e congelatori di almeno 350 supermercati francesi e li ha mandati in sbrinamento, con temperature fino a 50 °C. La procura di Parigi indaga.
Come hanno fatto gli hacker a scaldare i frigoriferi?
Hanno usato i controller di refrigerazione raggiungibili da Internet per attivare lo sbrinamento, una funzione normale dell’impianto, oltre i limiti di durata e temperatura. Come siano entrati nei controller non è stato ancora stabilito.
Quali sistemi sono stati colpiti?
Secondo l’allerta del CERT-FR, i controller Danfoss delle serie AK-SM e AK-SC e i supervisori XWEB di Copeland e Dixell. Secondo Danfoss, la maggior parte delle unità colpite erano modelli fuori supporto.
Sono stati colpiti supermercati italiani?
Dalle fonti pubbliche consultate al 20 ottobre 2026 no. Il 13 ottobre l’ACN ha comunque chiesto a grande distribuzione, logistica alimentare e manutentori di togliere da Internet questi sistemi e verificarne i parametri.
La NIS2 si applica ai supermercati?
Non al commercio al dettaglio in quanto tale. Il settore alimentare della NIS2 comprende distribuzione all’ingrosso e produzione o trasformazione industriale, sopra le soglie della media impresa. Una società di un gruppo della grande distribuzione che fa ingrosso può rientrarvi.
Cosa devono fare i gestori di impianti frigoriferi connessi?
Togliere i pannelli di gestione da Internet, controllare le programmazioni di sbrinamento, riaprire l’accesso solo via VPN, aggiornare il firmware e sostituire gli apparecchi fuori supporto, come indicano CERT-FR e ACN.
Fonti
- CERT-FR (ANSSI), Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, CERTFR-2026-ALE-012, 12 ottobre 2026, aggiornata il 13 e il 16 ottobre
- ACN, CSIRT Italia, Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo, AL04/261013/CSIRT-ITA, 13 ottobre 2026
- Claroty Team82, Amir Zaltzman, Freeze the Controller, Defrost the Food, 9 agosto 2026
- Reuters, Raphael Satter e Gabriel Stargardter, Investigators hunt French supermarket fridge hackers, no claim of responsibility, 13 ottobre 2026, ripresa da Internazionale
- The Hacker News, Attackers Heat French Supermarket Fridges Up to 50°C by Hijacking Danfoss Controllers, 13 ottobre 2026
- BleepingComputer, Cyberattack shuts down refrigerators at French supermarkets, 12 ottobre 2026
- SOCRadar, French Supermarket Cyberattack: Exposed OT Behind France’s Food Supply, 13 ottobre 2026
- SecurityBrief Australia, Refrigeration controller flaws threaten cold chains, 11 agosto 2026
- Ruokavirasto, autorità alimentare finlandese, NIS2 nel settore alimentare, consultata il 20 ottobre 2026
- Direttiva (UE) 2022/2555 (NIS2), allegato II; d.lgs. 4 settembre 2024, n. 138
- Regolamento (UE) 2024/2847 (Cyber Resilience Act), artt. 3, 14, 69 e 71; Hogan Lovells, Preparing for Vulnerability and Incident Reporting, 2026
- ICT Security Magazine, NIS2 e D.Lgs. 138/2024: stato del recepimento e adempimenti 2026, 2026; ACN, determinazioni 379907/2025 e 127434/2026
- Expoclima, profilo Copeland Controls S.r.l., consultato il 20 ottobre 2026
- Regolamento (CE) n. 852/2004 sull’igiene dei prodotti alimentari, allegato II, capitolo IX
