Hacker sabotano i frigoriferi: l'allarme ignorato per mesi

Un attacco informatico ha recentemente danneggiato le attività di centinaia di supermercati assumendo il controllo dei dispositivi che regolano la refrigerazione e i cicli di sbrinamento. È quanto accaduto in Francia nella notte tra l’11 e il 12 ottobre 2026, quando un’operazione coordinata contro i controller industriali dei sistemi frigoriferi ha provocato danni in numerosi punti vendita della grande distribuzione.

Secondo le ricostruzioni, gli aggressori hanno alterato il funzionamento di frigoriferi, congelatori e celle refrigerate, portando in alcuni casi le temperature fino a 50 °C. Conseguenze? La perdita di grandi quantità di alimenti, danni economici considerevoli e segnalazioni di incendi. Le stime più ampie parlano di quasi 700 supermercati coinvolti, anche se i conteggi sono cambiati durante le indagini e non tutti gli esercizi hanno subìto danni della stessa gravità.

Il fatto è che già a maggio 2025 le autorità statunitensi avevano pubblicato avvisi di sicurezza relativi ad alcuni dispositivi Danfoss. Ad agosto 2026, appena 2 mesi prima degli attacchi, i ricercatori di Claroty Team82 avevano illustrato pubblicamente come compromettere alcuni sistemi di supervisione frigorifera, arrivando a dimostrare la possibilità di alterare il funzionamento delle apparecchiature e deteriorare gli alimenti senza generare allarmi evidenti.

Gli esperti avevano già dimostrato come sabotare i sistemi frigoriferi

Il problema che ha portato alla vicenda transalpina di ottobre non riguarda soltanto la presenza di vulnerabilità software. A ha che vedere soprattutto con il modo in cui apparati industriali progettati per funzionare per molti anni risultano direttamente accessibili da Internet, talvolta con firmware obsoleti, meccanismi di autenticazione deboli e interfacce amministrative che consentono di modificare parametri fisici critici.

Il dettaglio più interessante emerge dalla ricerca che abbiamo citato in apertura e pubblicata il 9 agosto 2026 da Claroty, società specializzata nella sicurezza delle tecnologie operative. In due approfondimenti distinti, i ricercatori hanno analizzato le piattaforme Danfoss AK-SM 800A e Copeland XWEB Pro, identificando problemi che possono permettere a un aggressore remoto di aggirare l’autenticazione e assumere il controllo dei dispositivi.

Il team ha esaminato il firmware, ricostruito il funzionamento dei servizi web integrati e individuato vulnerabilità concretamente sfruttabili. Nel caso dei controller Copeland, ha persino realizzato un impianto frigorifero sperimentale per verificare le conseguenze fisiche dell’attacco.

Un elemento rende particolarmente significativa la dimostrazione: i ricercatori non si sono limitati a provocare l’aumento della temperatura, ma hanno mostrato come un aggressore possa anche manipolare le informazioni visualizzate dal dispositivo di controllo, rendendo meno evidente il malfunzionamento.

La pubblicazione di vulnerabilità sfruttabili non dimostra che gli aggressori francesi abbiano utilizzato proprio quelle falle: le indagini dovranno stabilire quali dispositivi e quali versioni firmware siano stati effettivamente compromessi. La ricerca di Claroty dimostra però che scenari tecnicamente compatibili con quanto avvenuto erano conosciuti ben prima dell’incidente.

Come funzionano i controller industriali che gestiscono la refrigerazione

Un supermercato dispone di numerosi dispositivi distribuiti tra banchi refrigerati, celle frigorifere, evaporatori e gruppi di compressione. I singoli field controller acquisiscono i valori dei sensori e comandano gli elementi fisici dell’impianto: compressori, ventole, resistenze di sbrinamento, relè e altri attuatori.

Al livello superiore opera un supervisory controller, come i già citati Danfoss AK-SM oppure Copeland XWEB: il loro compito è centralizzare configurazione, monitoraggio, programmazione e gestione degli allarmi. Un tecnico autorizzato può consultare le temperature dei diversi reparti, modificare parametri di funzionamento e intervenire sulle impostazioni senza raggiungere fisicamente ogni apparecchiatura.

In molte installazioni il collegamento tra supervisore e controller locali utilizza una rete seriale RS485, spesso associata al protocollo Modbus RTU. Il supervisore dispone inoltre di una connessione Ethernet e di un’interfaccia web per l’amministrazione.

Il punto debole nasce quando l’interfaccia web, pensata per agevolare la manutenzione remota, risulta raggiungibile direttamente da Internet. È un aspetto di importanza fondamentale: non bisogna mai far affacciare sulla rete pubblica dispositivi e interfacce. E ciò anche se l’accesso risulta protetto con l’inserimento di credenziali.

Lo abbiamo detto un sacco di volte: la presenza di una password non garantisce che il sistema sia protetto. Vulnerabilità nel software possono consentire di aggirare completamente l’autenticazione, eseguire comandi senza effettuare il login o sfruttare errori nei servizi esposti. Un’interfaccia pubblicamente raggiungibile può essere individuata attraverso scansioni automatizzate e sottoposta a tentativi di attacco continui. La soluzione consiste nel limitare l’accesso attraverso VPN, segmentazione della rete e rigorosi controlli sulle autorizzazioni, riducendo così la superficie d’attacco.

Danfoss AK-SM 800A: un meccanismo nascosto consentiva di aggirare la password

Nell’analisi del controller Danfoss AK-SM 800A, Claroty ha individuato una vulnerabilità particolarmente delicata, identificata come CVE-2025-41450: il firmware includeva un meccanismo di autenticazione alternativo basato su un codice giornaliero. Una funzionalità apparentemente concepita per operazioni di assistenza o manutenzione, ma che poteva consentire di superare la verifica ordinaria delle credenziali amministrative.

Analizzando il codice del dispositivo, i ricercatori hanno individuato una routine denominata check_code_of_day: il controllo non confrontava necessariamente il valore ricevuto con la password configurata dall’amministratore. In determinate condizioni verificava invece un codice calcolato a partire dalla data corrente dell’orologio di sistema!

L’algoritmo che generava il codice poteva essere ricostruito attraverso il reverse engineering del firmware: conoscendone il funzionamento, chiunque avrebbe potuto produrre un codice valido senza conoscere la password legittima. Cosa dicevamo dell’esposizione dell’interfacce di login sulla rete pubblica?

La ricerca ha poi individuato una seconda vulnerabilità, CVE-2025-41451, nella configurazione delle notifiche email. Un valore inserito in un campo amministrativo finiva all’interno di un comando della shell senza un’adeguata neutralizzazione dei caratteri speciali.

La conseguenza era una possibile OS command injection, capace di permettere l’esecuzione di comandi sul sistema operativo sottostante. Combinando l’aggiramento dell’autenticazione con la vulnerabilità successiva al login, un aggressore poteva passare dall’accesso all’interfaccia amministrativa all’esecuzione di codice sul controller.

Una terza falla, CVE-2025-41452, riguardava invece la possibilità di alterare la configurazione del server web Nginx integrato nel dispositivo, provocando anche condizioni di Denial of Service.

Copeland XWEB Pro: 23 vulnerabilità e accesso root senza credenziali

La seconda ricerca di Claroty riguarda la famiglia Copeland XWEB Pro, comprendente controller come XWEB300D PRO e XWEB500D PRO. Qui i ricercatori hanno individuato 23 vulnerabilità, delle quali 21 classificate con gravità elevata.

Una delle più interessanti, CVE-2026-25085, interessa la logica di autenticazione implementata mediante il linguaggio Lua.

Il dispositivo utilizza il server web Lighttpd per ricevere le richieste HTTP e un livello applicativo Lua per gestire l’accesso alle API amministrative. Durante l’elaborazione delle credenziali, una funzione controllava la modalità di autenticazione richiesta, ad esempio mediante account locali oppure LDAP.

Quando il client specificava una modalità inattesa, la funzione non respingeva esplicitamente l’autenticazione; restituiva invece una tabella Lua contenente campi non valorizzati.

In Lua una tabella è considerata vera nelle condizioni logiche anche quando non contiene informazioni utili: il codice applicativo verificava la presenza dell’oggetto restituito, senza accertarsi che rappresentasse effettivamente un utente autenticato. Il risultato era un bypass dell’autenticazione attraverso il quale un client non autenticato poteva raggiungere funzioni normalmente riservate agli amministratori.

Un’altra vulnerabilità, CVE-2026-21718, riguardava un meccanismo di generazione prevedibile delle password amministrative giornaliere. Anche in questo caso, l’algoritmo utilizzava informazioni come la data, l’indirizzo MAC del dispositivo e chiavi crittografiche incorporate nel firmware.

Gli allarmi precedenti: dalle segnalazioni CISA del 2025 agli attacchi del 2026

A maggio 2025, la statunitense CISA – Cybersecurity and Infrastructure Security Agency, agenzia federale statunitense del Department of Homeland Security (DHS) responsabile della protezione delle reti informatiche civili del governo e della sicurezza delle infrastrutture critiche nazionali – aveva già incluso la vulnerabilità CVE-2025-41450 dei controller Danfoss AK-SM 8xxA nei propri bollettini.

Ad agosto dello stesso anno risultavano inoltre documentate le falle CVE-2025-41451 e CVE-2025-41452, relative rispettivamente all’esecuzione di comandi e alla manipolazione della configurazione dell’interfaccia Web.

A febbraio 2026 erano arrivate ulteriori segnalazioni riguardanti numerose vulnerabilità dei controller Copeland XWEB e XWEB Pro. Le problematiche comprendevano aggiramento dell’autenticazione, Denial of Service, corruzione della memoria ed esecuzione di codice arbitrario.

Il 9 agosto 2026 Claroty pubblicava infine i due approfondimenti tecnici che abbiamo citato in precedenza, spiegando in dettaglio le modalità di compromissione e documentando la collaborazione con i produttori per la distribuzione degli aggiornamenti.

Poco più di 2 mesi dopo, nella notte tra l’11 e il 12 ottobre, i sistemi di refrigerazione di numerosi supermercati francesi subivano l’attacco.

Non conosciamo la data in cui ogni singolo operatore abbia ricevuto informazioni sulle vulnerabilità, né sappiamo se tutti gli apparati coinvolti potessero effettivamente ricevere le versioni correttive indicate. Qual è, tuttavia, il motivo per cui apparecchiature in grado di influenzare direttamente la conservazione degli alimenti potevano ancora essere amministrate attraverso interfacce esposte sulla rete pubblica?