Nella notte fra domenica 11 e lunedì 12 ottobre 2026, in circa 150 Intermarché sparsi per la Francia, i banchi frigo hanno smesso di raffreddare e si sono messi a scaldare, arrivando a 50 gradi per sei ore, come il gruppo Les Mousquetaires ha raccontato a Reuters (mamma, me lo ricordavo diverso il bollitore!); la mattina dopo i direttori hanno trovato carne, formaggi e yogurt da buttare, e la stessa scena si è ripetuta, secondo le catene, in 80 Carrefour, in circa il 5% dei Monoprix e in un numero ancora imprecisato di Coopérative U e Leclerc (i totali ballano fra 250 e 500 negozi a seconda di chi conta, e infatti ve li do sempre con il nome di chi li ha contati…). Thierry Cotillard, presidente di Intermarché, intervistato dall’emittente BFMTV e ripreso dall’Agence France-Presse, ha parlato di decine di milioni di euro di merce persa in una sola mattinata, aggiungendo il dettaglio che a me pare il più eloquente di tutto il caso: le assicurazioni non coprono questo tipo di incidente.
Non è stato un ransomware, perché nessuno ha chiesto soldi e al 14 ottobre 2026 nessuno ha rivendicato niente, e non è stato nemmeno un furto di dati, che è la forma a cui ci hanno abituato vent’anni di titoli sugli attacchi informatici. Qualcuno è entrato nei sistemi che regolano la refrigerazione, in gran parte centraline del fabbricante danese Danfoss, e ha ordinato ai banchi di andare in sbrinamento tutti insieme, cioè ha fatto partire una funzione normalissima, quella che scalda le serpentine per sciogliere il ghiaccio, nel momento sbagliato e per il tempo sbagliato: tenuta accesa per ore, invece che per i pochi minuti previsti, scalda il banco intero. Il danno è fisico, si conta in chili di cibo e in euro, e passa per un oggetto che nessun cliente ha mai guardato in vita sua: la centralina che comanda i frigoriferi, appesa al muro di un retro, con la sua lucina verde accesa.
Se vi state chiedendo perché ve ne parlo qui e non su una rivista di cronaca francese, la risposta sta in un nome e in due date. Il nome è Dixell, un altro fabbricante di controllori per la refrigerazione, diverso da Danfoss, nato ad Alpago, in provincia di Belluno, che oggi si chiama Copeland Controls e ha sempre sede lì: il 13 ottobre 2026 i suoi sistemi di supervisione xweb sono entrati nell’elenco degli apparecchi colpiti, aggiornato dalle autorità francesi. La prima data è il 20 maggio 2025, il giorno in cui l’agenzia americana per la sicurezza informatica pubblicava un avviso sulle vulnerabilità di quegli stessi controllori Danfoss, con la raccomandazione esplicita di non lasciarli raggiungibili da Internet. La seconda è il 31 ottobre 2026, il termine entro cui le aziende italiane già iscritte nell’elenco della NIS2, la direttiva europea sulla sicurezza delle reti, devono avere in piedi le misure di sicurezza di base. Fra la prima e la seconda ci stanno diciassette mesi in cui, a giudicare dai risultati, una parte del settore si è dimenticata di staccare quelle centraline da Internet, che in molti casi vuol dire, alla lettera, staccare un cavo di rete (in altri è molto più difficile, specialmente se hanno una sim a bordo).
Quello che sappiamo, e quello che ancora non sappiamo
La fonte più solida è l’allerta del CERT-FR, la squadra di risposta agli incidenti dell’agenzia francese per la cybersicurezza (l’ANSSI), pubblicata il 12 ottobre 2026 e aggiornata il giorno dopo. Parla di numerose compromissioni di controllori remoti per impianti di refrigerazione, indica le serie Danfoss AK-SM e AK-SC e, nell’aggiornamento, i sistemi xweb di Copeland e Dixell, e soprattutto scrive una frase che andrebbe appesa in ogni ufficio acquisti: “esporre un’interfaccia di gestione su Internet è contrario alle buone pratiche” (grazie al…). Le raccomandazioni sono quelle che chiunque si occupi di sicurezza ripete da vent’anni, cioè togliere gli apparecchi da Internet, rientrarci solo attraverso una rete privata protetta (la famosa VPN), controllare le fasce di sbrinamento, cambiare le password di fabbrica, e c’è un avvertimento che pesa più di tutto il resto: un apparecchio fuori supporto, che non riceve più correzioni, lasciato esposto ha una probabilità “molto forte” di essere compromesso, e rimetterlo alle impostazioni di fabbrica non basta, perché resta vulnerabile e verrà bucato di nuovo.
Danfoss, dal canto suo, ha spiegato a Cooling Post che la maggior parte delle unità colpite sono prodotti vecchi, come l’AK-SM800, a fine vita dal 2021, e l’AK-SC355, ritirato nel 2016, oppure modelli attuali con il software non aggiornato. Che sposta solo ad un altro problema: avete ancora un sistema in manutenzione o no? Il resto del quadro è ancora in movimento, e conviene dirlo onesti: la procura di Parigi ha aperto un’inchiesta con l’ufficio di polizia giudiziaria francese per i reati informatici; una fonte vicina al primo ministro Sébastien Lecornu ha detto a Reuters che l’ANSSI avrebbe individuato una vulnerabilità nel software danese, mentre l’allerta pubblica non ne indica nessuna; un analista della società Sekoia, sempre a Reuters, sostiene che siano stati colpiti anche Spagna, Portogallo, Polonia, Germania e Belgio, ma per ora è una voce sola (e io le voci sole le tratto come i funghi raccolti da un amico: probabilmente buoni, ma prima li fa vedere a qualcuno). Nessuna attribuzione, nessuna rivendicazione, nessuna richiesta di riscatto: chi sia stato e perché, al momento, non lo sa nessuno, e diffido di chi ve lo racconta con sicurezza.
Diciassette mesi di avvisi, letti da chi?
La parte che non è in movimento, invece, è la cronologia, e vale la pena metterla in fila con un minimo di ordine… Il 20 maggio 2025 la CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, pubblica l’avviso ICSA-25-140-03 sui controllori Danfoss della serie AK-SM 8xxA: il difetto più grave è che la password di servizio veniva generata a partire dalla data e dall’ora del dispositivo, per cui chi conosce il metodo può calcolarsi da solo la chiave del giorno e saltare del tutto il login (per i nerd, un “code of the day” che fa tanto anni Novanta, con un punteggio di gravità di 8,2 su 10). Danfoss corregge il difetto della password con la versione R4.2, il 26 agosto 2025 l’avviso viene aggiornato con altre due vulnerabilità, una delle quali permette di eseguire comandi sul dispositivo, e la raccomandazione della CISA è scritta in chiaro: ridurre l’esposizione in rete, fare in modo che questi apparecchi non siano accessibili da Internet, metterli dietro un firewall e usare una VPN per l’accesso remoto.
Il 9 agosto 2026 i ricercatori di Claroty Team82, gli stessi che avevano segnalato il problema alla CISA, pubblicano il racconto completo con un titolo che oggi suona come una profezia, “Congela il controllore, scongela il cibo”, e ci mettono dentro un numero: 2.765 controllori AK-SM 800A visibili su Internet secondo Censys, un motore di ricerca che fa l’appello di tutto quello che è collegato alla rete. Due settimane e mezza dopo, il 26 e 27 agosto 2026, in più di sei spacci delle basi militari americane, da Fort Irwin in California a Naval Station Newport nel Rhode Island, i freezer si fermano nella stessa notte, e a Fort Huachuca, in Arizona, un avviso della base dice che tutti i congelatori sono andati in modalità sbrinamento, come ha ricostruito Military Times; il Pentagono ha detto che sarebbe “inappropriato speculare” sulle cause, gli investigatori dell’esercito e dell’aeronautica hanno aperto le loro indagini, raccontate da Stars and Stripes, e Bruce Schneier, che di sicurezza ne capisce un pochino, sul suo blog si è chiesto se qualcuno stesse bucando i frigoriferi della Difesa rispondendosi “sembra proprio di sì”, pur ammettendo che era pura speculazione: un indizio, insomma, e non una prova.
Mi fermo, perché qui serve la versione difendibile e non quella che fa più rumore: nessuno ha dimostrato che in Francia siano state usate proprio le vulnerabilità del 2025, Danfoss parla di apparecchi vecchi e di software trascurato, e la causa americana non è confermata. Ma il punto che mi interessa non ha bisogno di quella prova: che il pannello di comando di un frigorifero industriale non debba stare su Internet, raggiungibile da chiunque abbia voglia di cercarlo, era scritto nero su bianco da diciassette mesi in un avviso governativo, ripetuto da una società di ricerca due mesi prima dell’attacco e illustrato da un incidente sospetto in casa del Pentagono un mese e mezzo prima. E sono abbastanza vecchio per ricordarmi che ne parlavamo già nel 2017, quando raccontavo le migliaia di telecamere private lasciate online e mettevo in fila tre teoremi di psicologia sociale sulla sicurezza degli oggetti connessi. Che cosa serviva ancora, un telegramma? Un piccione viaggiatore?
La cintura elastica dei banchi frigo
La domanda che mi faccio, e che probabilmente vi state facendo anche voi, è come sia possibile, e la risposta più onesta non è la stupidità, che spiega poco e assolve tutti. La sociologa Diane Vaughan ha passato anni a studiare la decisione di lanciare lo Shuttle Challenger, esploso il 28 gennaio 1986, e nel suo The Challenger Launch Decision (1996) ha dato un nome al meccanismo: normalizzazione della devianza. Un gruppo di persone competenti accetta un’anomalia, nel suo caso l’erosione delle guarnizioni dei razzi laterali, perché il volo precedente con quell’anomalia è andato bene, e la volta dopo il margine accettato si allarga un po’. Quando nel 2003 si disintegra il Columbia, la commissione d’inchiesta, con cui Vaughan ha collaborato, usa un’immagine che vale la pena tenere a mente: le regole della NASA erano diventate una cintura elastica, che si allargava per contenere deviazioni sempre più grandi dal progetto originale, finché le anomalie erano diventate “segnali di routine, non segnali di pericolo”.
Ora mettete la cintura elastica sui banchi frigo: il controllore è collegato a Internet per una ragione molto concreta, perché il frigorista vuole vedere gli allarmi dal telefono alle tre di notte e cambiare un parametro senza mettersi in macchina, e ogni notte in cui il frigorifero funziona è la prova che va bene così. L’avviso della CISA è un documento in inglese su un sito americano che nessun direttore di supermercato aprirà mai, il controllore sta nel retro da anni e non ha mai dato problemi, e il collegamento remoto, a un certo punto, smette di essere una scelta e diventa l’arredamento. C’è un dettaglio dell’allerta francese che lo dice meglio di qualunque teoria, e che secondo me spiega tutto: prima di interrompere la trasmissione dei dati verso il fornitore, scrive il CERT-FR, verificate le condizioni della vostra assicurazione. Se il CERT-FR sente il bisogno di scriverlo, è perché in molti casi quella trasmissione la chiedono il contratto con il fornitore della manutenzione o la polizza stessa, e detta come la direbbe un amico al bar: il cavo da cui è entrato l’attaccante, spesso, ce l’ha messo il contratto (e a me che faccio questo lavoro da un po’ scappa da ridere, di quel riso un po’ amaro che viene quando la soluzione del problema è anche la sua causa).
Un perimetro che non apparteneva a nessuno
Resta la seconda metà della domanda, cioè perché nessuno abbia staccato quel cavo quando gli avvisi c’erano, e qui la normalizzazione da sola non basta, perché spiega la cecità dentro un’organizzazione e non quella di una filiera intera. Danfoss vende il controllore e dice che quello colpito è vecchio; l’installatore lo ha montato anni fa; il manutentore ha bisogno dell’accesso remoto per lavorare; la catena paga il frigorifero e spesso non sa nemmeno che la centralina parla con Internet; l’assicuratore, alla fine, non copre. Il sociologo tedesco Ulrich Beck aveva un nome anche per questo, irresponsabilità organizzata, il sottotitolo di un suo libro del 1988, Gegengifte: i sistemi complessi producono danni di cui nessun attore è formalmente responsabile, perché ognuno ha seguito le sue procedure, e il danno non ha un colpevole. Nella sua Società del rischio (1986) aveva aggiunto che i rischi di nuovo tipo sfuggono alla logica delle assicurazioni, che è proprio quello che Cotillard ha detto in televisione con molte meno citazioni.
Per uscire da questa nebbia c’è una lezione che viene da casa nostra, e da una storia molto più tragica. Nel 2014 le Sezioni Unite della Cassazione, con la sentenza sul rogo della ThyssenKrupp di Torino, hanno chiarito che quando un’azienda risponde di un reato colposo il suo interesse va cercato nella condotta, cioè in chi ha deciso di risparmiare: nessuna impresa vuole l’incidente, ma qualcuno ha tagliato le misure che l’avrebbero evitato, e quel risparmio ha un beneficiario. Lo dico con tutte le cautele del caso, perché è una lettura mia e lì si parlava di sicurezza sul lavoro, mentre qui l’attacco è doloso e lo ha commesso qualcun altro; ma la porta lasciata aperta resta una scelta di chi gestisce l’impianto, e il criterio funziona benissimo anche qui. La domanda utile non è chi abbia fatto partire lo sbrinamento, che lo stabiliranno i magistrati francesi, ma chi abbia risparmiato: sul controllore fuori supporto mai sostituito, sulla VPN mai configurata, sull’ora di un tecnico che andava a cambiare la password di fabbrica. La sicurezza del perimetro, quella che io considero il minimo sindacale (e lo dico da hacker, prima ancora che da consulente…), consiste prima di tutto nel sapere che cosa avete collegato alla rete, chi ci entra da fuori, con quale contratto, e nel tenere fuori da Internet tutto quello che su Internet non ci deve stare. Si tratta di un inventario e di un cavo staccato, roba da poco, che costa, a spanne, meno di una mattinata di latticini buttati.
E da noi, dove la NIS2 scade a fine mese
La NIS2 è una direttiva europea e ogni Paese l’ha recepita con una sua legge, per cui i supermercati francesi rispondono alla versione francese; da noi è il decreto legislativo 138 del 2024, e letto con questo caso in mente fa un certo effetto. L’articolo 23 dice che gli organi di amministrazione dei soggetti che ricadono nel perimetro approvano le misure di sicurezza, ne sovrintendono l’attuazione e sono responsabili delle violazioni: il rischio informatico, per legge, è un problema del consiglio di amministrazione e non dell’ufficio tecnico. L’articolo 24 mette fra le misure obbligatorie la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti, e chiede di tenere conto delle vulnerabilità specifiche di ogni fornitore: un avviso governativo pubblico su un controllore che avete in negozio è proprio quella cosa lì, scritta con un anno e mezzo di anticipo.
Solo che c’è un buco, e conviene guardarlo da vicino. Per il settore alimentare, l’allegato II del decreto include le imprese che si occupano della distribuzione all’ingrosso e della produzione industriale e trasformazione, mentre la vendita al dettaglio in quanto tale non è nominata: una catena di supermercati può rientrare nel perimetro per i suoi magazzini, le sue piattaforme logistiche o la sua trasformazione, se supera le soglie dimensionali, ma il banco frigo del negozio sotto casa, quello dove il cibo passa le sue ultime ore prima del carrello, la legge non lo guarda in modo esplicito (curioso, eh, che il punto più vicino a chi mangia sia quello meno sorvegliato…). Per chi invece è dentro, il calendario è stretto: il 31 ottobre 2026 è il termine entro cui i soggetti iscritti nell’elenco NIS nel 2025 devono avere operative le misure di base fissate dall’Agenzia per la cybersicurezza nazionale con la determinazione 379907 del 2025, come ricostruisce ICT Security Magazine, e da quel momento l’Agenzia può passare dall’accompagnamento alle verifiche.
Sul fronte di chi fabbrica, la cosa interessante è un’altra. Dall‘11 settembre 2026 il Cyber Resilience Act, il regolamento europeo che tratta la sicurezza informatica come un requisito del prodotto, obbliga i fabbricanti a segnalare entro 24 ore al gruppo nazionale di risposta agli incidenti e all’ENISA, l’agenzia europea per la cybersicurezza, ogni vulnerabilità attivamente sfruttata nei loro prodotti, anche in quelli venduti prima (ne avevo parlato quando il regolamento era ancora una proposta, in video.matteoflora.com/1139). Se l’ANSSI ha davvero trovato una vulnerabilità sfruttata nel software Danfoss, la segnalazione toccherebbe a Danfoss e sarebbe uno dei primi casi concreti di quell’obbligo, e dal dicembre 2027 un prodotto con vulnerabilità sfruttabili note semplicemente non si potrà più vendere. Per la parte che riguarda chi i controllori li compra e li tiene accesi, però, nessuna di queste norme serve a staccare un cavo: per quello basta una persona nel retro e mezz’ora di tempo, e al 14 ottobre 2026 non risultano avvisi pubblici di CSIRT Italia, il gruppo di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, che dicano alle catene italiane di andare a controllare.
Lunedì 12 ottobre 2026, in Francia, i direttori dei supermercati hanno riempito i cassonetti di yogurt e formaggi. Le aziende coinvolte vendono anche qui, ma in quanti negozi italiani una centralina così sia ancora appesa al muro del retro, collegata alla rete, non lo sa con precisione nessuno, ed è proprio questo il problema: la sua lucina verde, da diciassette mesi, continua a dire che va tutto bene…
Per Approfondire
Teoria
- Diane Vaughan, The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA, University of Chicago Press, 1996
- Columbia Accident Investigation Board, Report, vol. 1, cap. 8, “History As Cause: Columbia and Challenger”, agosto 2003
- Ulrich Beck, Gegengifte. Die organisierte Unverantwortlichkeit, Suhrkamp, 1988
- Ulrich Beck, Risikogesellschaft. Auf dem Weg in eine andere Moderne, Suhrkamp, 1986 (trad. it. La società del rischio, Carocci)
Fonti
- CERT-FR: “Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération”, CERTFR-2026-ALE-012 (12/10/2026, aggiornata 13/10/2026), https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/
- CISA: “Danfoss AK-SM 8xxA Series”, ICSA-25-140-03 (20/05/2025, aggiornato 26/08/2025), https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03
- Claroty Team82: “Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers” (09/08/2026), https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
- Reuters via Internazionale: “Hackers heat French supermarket fridges, sparking fires and food losses” (12/10/2026), https://www.internazionale.it/ultime-notizie-reuters/2026/10/12/hackers-heat-french-supermarket-fridges-sparking-fires-and-food-losses
- AFP via L’Avenir: “Cyberattaque des frigos de supermarchés en France” (13/10/2026), https://www.lavenir.net/actu/monde/2026/10/13/cyberattaque-des-frigos-de-supermarches-en-france-des-millions-deuros-de-pertes-des-frigos-a-50c-des-produits-jetes-videos-SDZ772RZVRCH7O47347UPSQGQM/
- Cooling Post: “Danfoss moves to mitigate cyberattack” (ottobre 2026), https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/
- Military Times: “DoD confirms refrigeration disruption at military commissaries” (28/08/2026), https://militarytimes.com/news/your-military/2026/08/28/dod-confirms-refrigeration-disruption-at-military-commissaries/
- Stars and Stripes: “Army CID investigates commissary refrigerator outages” (01/09/2026), https://www.stripes.com/theaters/us/2026-09-01/army-cid-investigates-commissary-refrigerator-outages-22721718.html
- Bruce Schneier: “Is Someone Hacking DoD Refrigerators?” (31/08/2026), https://schneier.com/blog/archives/2026/08/is-someone-hacking-dod-refrigerators.html
- Expoclima: profilo di Copeland Controls srl, già Dixell, Alpago (BL), https://www.expoclima.net/en/aziende/1262/copeland-controls-srl/profilo
- Corte di Cassazione, Sezioni Unite penali, sentenza n. 38343 del 24/04/2014 (caso ThyssenKrupp)
- Decreto legislativo 4 settembre 2024, n. 138 (recepimento NIS2), Gazzetta Ufficiale n. 230 del 01/10/2024, normattiva.it, D.Lgs. 138/2024
- ICT Security Magazine: “NIS2 e D.Lgs. 138/2024: stato del recepimento e adempimenti 2026”, https://www.ictsecuritymagazine.com/articoli/nis2-e-d-lgs-138-2024/
- Ciao Internet: “Migliaia di telecamere private online” (#300, 14/12/2017), https://video.matteoflora.com/300
- Ciao Internet: “Tre teoremi di Psicologia Sociale per la Sicurezza degli IoT” (#191, 16/06/2017), https://video.matteoflora.com/191
- Ciao Internet: “Il Cyber Resilience Act spiegato BENE” (#1139, 18/04/2023), https://video.matteoflora.com/1139
