Hacker nei frigoriferi: la catena del freddo sotto attacco

Notte tra il 1 e il 2 novembre 2026. In Sicilia, nei banchi surgelati di almeno quattro punti vendita Radenza a marchio Coop tra Palermo e Catania, le sonde segnano oltre trenta gradi. Stessa scena in strutture Conad e Carrefour. Il freddo industriale, spina dorsale della distribuzione moderna, viene spento da remoto. In Emilia-Romagna l'Agenzia per la Cybersicurezza Nazionale traccia un tentativo di intrusione nei sistemi di telegestione di uno stabilimento di trasformazione e surgelazione. Segnalazioni arrivano anche dalla Toscana. Non è un guasto: è la tappa italiana di un'offensiva transnazionale che da settimane sta svuotando i freezer d'Europa.

La risposta istituzionale scatta immediata. Vertice a Palazzo Chigi coordinato dal Sottosegretario Alfredo Mantovano con i vertici dell'intelligence e dell'ACN. Il Copasir viene convocato per verificare l'eventuale matrice di sabotaggio statuale o ibrido. L'ACN emette un bollettino d'urgenza rivolto a catene distributive, hub logistici a temperatura controllata e società terze di manutenzione. Il perimetro della sicurezza alimentare si allarga: non si tratta più solo di proteggere dati, ma di impedire che il cibo marcisca sugli scaffali.

L'escalation europea da Parigi a Stoccolma

L'episodio italiano è l'estensione di una campagna già collaudata. In Francia, a metà ottobre, Intermarché, Coopérative U, Carrefour Market e Monoprix subiscono la forzatura dei cicli di sbrinamento continuo e lo spegnimento degli allarmi remoti in oltre trecentocinquanta punti vendita. Perdite registrate fino a duecentosettantamila euro per singolo presidio tra merce e smaltimento. In Svezia, a inizio novembre, i frigoriferi di ICA e Coop Sverige vedono i setpoint modificati con picchi impostati tra cinquanta e settanta gradi. Decine di supermercati ritardano l'apertura per svuotamento totale. Belgio e Lussemburgo: coinvolti Delhaize con quaranta più store, Carrefour, Colruyt, il punto vendita Ikea a Mons. L'alterazione coordinata notturna delle centraline di controllo refrigerazione manda in termodistruzione centinaia di tonnellate di carne, ittico e frozen food. Il Commissario europeo all'Agricoltura Christophe Hansen lo rimarca: questi attacchi non puntano all'estorsione classica tramite cifratura dati, ma configurano una chiara minaccia alla stabilità dell'approvvigionamento alimentare continentale.

Come si violano le centrali del freddo

La vulnerabilità sfruttata risiede nell'architettura OT e nei sistemi IoT dedicati al monitoraggio e all'efficientamento energetico. Il target primario include apparati di termoregolazione e piattaforme di telemetria industriale, ambienti Danfoss ampiamente utilizzati nella grande distribuzione organizzata europea. Molti di questi controller sono interfacciati a reti cloud o connessioni VPN aziendali per consentire alle ditte di manutenzione esterna di monitorare i consumi e tarare i gas refrigeranti da remoto. Gli attaccanti non si limitano a spegnere i compressori. Modificano i parametri interni impostando falsi cicli di sbrinamento continuo e disattivano i relay degli allarmi notturni. Le sonde non generano chiamate automatiche ai tecnici di reperibilità. All'apertura mattutina il personale trova le vasche surgelati a temperature comprese tra trenta e cinquanta gradi. Con lo spegnimento degli allarmi, la rottura della catena del freddo rimane attiva per quattro-sei ore: tempo sufficiente per rendere irrecuperabile l'intero inventario deperibile.

I danni per un supermercato medio di millecinquecento-duemilacinquecento metri quadrati non si esauriscono nel valore di copertina delle scorte perse. Secondo la normativa europea, qualsiasi interruzione della catena del freddo su carni fresche, latticini, preparati di gastronomia e prodotti surgelati impone l'immediata dichiarazione di non commestibilità. Non esiste declassamento: la merce va sequestrata e avviata allo smaltimento. Lo smaltimento di tonnellate di rifiuti speciali organici richiede ditte autorizzate, mentre vasche ed evaporatori devono subire sanificazione e ricalibrazione prima del riavvio, provocando ventiquattro-quarantotto ore di scaffali vuoti. Il riordino d'urgenza di carni e freschi mette sotto pressione le piattaforme logistiche e i macelli, creando colli di bottiglia e micro-rincari sui listini all'ingrosso per sopperire ai buchi di inventario.

Protocolli di difesa per la distribuzione

Il settore retail non può più trattare l'impiantistica del freddo come un apparato isolato dal perimetro informatico. Le raccomandazioni emerse dai tavoli tecnici di sicurezza includono la segregazione delle reti: separazione fisica o tramite VLAN rigide tra la rete IT aziendale, gestionali, casse, Wi-Fi di punto vendita, e la rete OT che governa inverter, centrali a CO2 o freon e termostati. Autenticazione robusta su accessi terzi: eliminazione immediata di credenziali di default sui router industriali e imposizione di autenticazione a più fattori con tunnel zero-trust per qualsiasi società esterna di manutenzione e teleassistenza. Sistemi di allarme analogici out-of-band: sonde di temperatura indipendenti, alimentate a batteria e collegate tramite linea GSM autonoma, del tutto slegate dai controllori digitali di bordo macchina. Se la temperatura supera i limiti di soglia critica, più quattro gradi per il fresco, meno diciotto per i surgelati, l'avviso scatta su un canale non manomissibile via software. Inclusione della grande distribuzione nel perimetro NIS 2: con il recepimento della direttiva, la logistica alimentare e le grandi catene devono elevare gli standard di conformità, garantendo audit regolari e tempi stringenti di notifica degli incidenti.

La checklist operativa per i punti vendita

Censimento immediato dei varchi di rete: mappare ogni centralina frigorifera, gateway IoT e termoregolatore collegato a Internet, verificare con il tecnico di centrale quali indirizzi IP sono assegnati agli apparati del freddo e assicurarsi che nessuno sia direttamente esposto sul web senza protezione perimetrale. Revoca delle password predefinite di fabbrica: sostituire all'istante le credenziali standard, admin/admin, 1234, credenziali del costruttore, su tutti i controller a bordo macchina e sui pannelli web di monitoraggio, adottando password complesse univoche per ciascun dispositivo. Disattivazione degli accessi remoti non tracciati: bloccare l'uso di software di desktop remoto generici, AnyDesk, TeamViewer o porte aperte RDP e VNC non autorizzate installati sui PC dedicati alla supervisione degli impianti. Regolazione degli accessi dei manutentori terzi just-in-time: chiudere i canali di teleassistenza permanente h24 delle ditte esterne di refrigerazione, l'accesso remoto dei tecnici deve essere abilitato solo su richiesta esplicita per interventi mirati e revocato subito dopo la sessione.

Isolamento della rete impianti con VLAN dedicata: richiedere al team IT aziendale la separazione rigida tra la rete OT frigo e le altre reti del negozio, i controllori del freddo non devono comunicare con i registratori di cassa, con i PC dell'amministrazione né con la rete Wi-Fi pubblica o del personale. Imposizione dell'autenticazione a due fattori: renderla obbligatoria per chiunque effettui l'accesso alla dashboard cloud di monitoraggio o al tunnel VPN aziendale che instrada verso le centrali frigo. Configurazione di soglie di allarme non modificabili, watchdog: bloccare la modifica remota delle soglie critiche di allarme, impostare un limite di temperatura massimo invalicabile, più quattro gradi per il fresco, meno diciotto per i surgelati, oltre il quale il sistema non accetta comandi di spegnimento o sbrinamento prolungato forzati da remoto. Attivazione di canali di notifica d'emergenza out-of-band: installare o verificare il corretto funzionamento di almeno una sonda termica autonoma per linea, dotata di modem GSM con SIM card indipendente e batteria tampone, l'avviso via SMS o chiamata vocale deve scattare al cellulare del direttore anche in caso di compromissione o blocco della rete Internet del punto vendita.

Verifica giornaliera dei log e anomalie dei cicli di sbrinamento: includere nella routine di apertura e chiusura del punto vendita la consultazione dello storico termico delle ultime dodici ore, anomalie ripetute, disattivazioni anomale degli allarmi o sbrinamenti continui durante la notte sono i primi sintomi di intrusione in corso. Procedura di distacco rapido, emergency air-gap: istruire i capi reparto e il personale di turno sulla posizione fisica del cavo di rete Ethernet principale o dell'interruttore dello switch che collega la centrale frigo a Internet, in caso di sbalzo termico anomalo non controllabile scollegare fisicamente la rete per ripristinare il controllo unicamente dai pannelli manuali locali. La digitalizzazione dei punti vendita e la corsa all'efficienza energetica centralizzata hanno aperto varchi inattesi: proteggere la catena del freddo oggi non è più una mera questione di manutenzione meccanica, ma una priorità di sovranità logistica e sicurezza del consumatore.

La partita si gioca sul filo dei gradi centigradi e dei millisecondi di latenza. Chi gestisce il freddo gestisce la sopravvivenza del cibo sugli scaffali.