Il sabotatore nel banco frigo. Cosa insegna l’attacco ai supermercati francesi

03/11/2026

Lunedì 12 ottobre, poco prima dell’apertura, il personale di un Intermarché di Névez, nel Finistère bretone, ha trovato i banchi del fresco tiepidi e silenziosi.[1] I surgelati si erano ammorbiditi nelle confezioni, la brina colava dalle pareti delle celle, la carne non era più vendibile. Nessun blackout, nessun compressore bruciato: durante la notte qualcuno, da molto lontano, aveva ordinato ai regolatori degli impianti di entrare in sbrinamento forzato e di restarci, con temperature impostate fino a 50 gradi. La stessa scena si ripeteva in centinaia di punti vendita in tutta la Francia, mentre in alcuni negozi scattavano gli allarmi antincendio e sulle vetrine comparivano i cartelli che segnalavano la “rupture de la chaîne du froid”. Per chi era uscito a comprare un minestrone surgelato, quella mattina la guerra cibernetica ha smesso di essere un’astrazione.

Una notte, settecento supermercati

Il bilancio, ancora provvisorio, è impressionante. Il ministro dell’Economia Roland Lescure ha riferito all’Assemblea nazionale che circa 700 dei 10.000 supermercati del Paese sono stati colpiti.[2] Le insegne coinvolte attraversano l’intera grande distribuzione: Intermarché e Netto, Coopérative U, E.Leclerc, Carrefour, Monoprix. Due soli negozi in Alsazia hanno dichiarato perdite per 270.000 euro; su scala nazionale si parla di milioni.[3] Il bersaglio non erano i supermercati in quanto tali, ma i controller che governano a distanza la refrigerazione, a partire dai sistemi del gruppo danese Danfoss; l’allerta si è poi estesa ai prodotti di altri costruttori, come Copeland e Dixell, con l’avvertimento che le campagne erano probabilmente ancora attive.[4] La procura di Parigi ha aperto un’inchiesta affidata all’Office anticybercriminalité. Nessuno ha rivendicato, nessuno ha chiesto un riscatto.[5]

Il dettaglio più istruttivo, però, è un altro. Due mesi prima, ad agosto, i ricercatori di Team82, l’unità di ricerca della società israelo-americana Claroty, avevano mostrato dal palco della DEF CON di Las Vegas come prendere il controllo proprio di quei sistemi, sfruttando un meccanismo di autenticazione nascosto e una vulnerabilità di command injection. Il rapporto aveva un titolo profetico: “Freeze the Controller, Defrost the Food”. Danfoss aveva rilasciato un aggiornamento correttivo già nell’agosto 2025, eppure oltre 2.700 controller risultavano ancora esposti su Internet.[6] I modelli più vecchi, quelli effettivamente colpiti, non potevano nemmeno essere aggiornati.[7] Davanti al Senato, il direttore dell’ANSSI Vincent Strubel ha tratto la conclusione più amara: l’attacco è stato reso possibile da “difetti di sicurezza elementari”, e l’Agenzia non ha strumenti per imporre ai supermercati come proteggere i propri frigoriferi.[8]

Qual è l’effettiva portata degli attacchi OT

Quando si parla di attacchi al mondo OT, la tecnologia operativa che governa macchine e processi fisici, l’immaginario corre alla centrale nucleare sabotata o alla rete elettrica spenta: Stuxnet e le centrifughe di Natanz, i blackout ucraini del 2015 e del 2016. Il caso francese mostra che il perimetro è molto più vicino a noi. Un banco frigo moderno è un sistema di controllo industriale in miniatura: sonde di temperatura, compressori, valvole, un controller di campo per ciascun banco e, sopra, un supervisore che coordina l’intero negozio, pianifica i cicli di sbrinamento e gestisce gli allarmi. Quel supervisore è raggiungibile via Internet perché il manutentore possa intervenire senza spostarsi. È esattamente questa comodità a renderlo vulnerabile.

Il punto è che oggi qualsiasi componente elettronico è con ogni probabilità connesso, o comunque raggiungibile attraverso un altro punto d’accesso meno protetto: la rete del negozio, il router del manutentore, la piattaforma di telegestione del fornitore. Non a caso E.Leclerc ha attribuito l’incidente a un attacco contro uno dei suoi fornitori di impianti frigoriferi.[9] La catena di subfornitura che tiene in vita un sistema OT è anche la sua superficie d’attacco. Siamo sempre più connessi come persone, ma lo è anche tutto ciò che ci circonda. Siamo quindi esposti non solo attraverso lo smartphone o il computer, ma attraverso i luoghi e i sistemi con cui entriamo in contatto ogni giorno, senza saperlo e senza poterli controllare. Il precedente più vicino non viene da una centrale, ma da Leopoli: nel gennaio 2024 un malware battezzato FrostyGoop ha manipolato i controller del teleriscaldamento lasciando senza calore oltre 600 condomini per quasi due giorni, in pieno inverno.[10] Anche lì l’effetto non si è fermato all’impianto, è arrivato direttamente nelle case. Gli attacchi OT possono colpire le catene di distribuzione dei beni di prima necessità e, attraverso di esse, il singolo cittadino. Basta andare a comprare il minestrone surgelato.

Chi attacca e perché

Che gli attacchi al mondo industriale siano in crescita lo dicono tutti gli indicatori. Secondo il rapporto annuale di Dragos, nel 2025 i gruppi ransomware attivi contro organizzazioni industriali sono saliti da 80 a 119 e hanno colpito circa 3.300 aziende, mentre gli avversari più sofisticati sono passati dal semplice preposizionamento alla mappatura dei cicli di controllo, per capire come manipolare i processi fisici.[11] Ma se si guarda dentro i numeri, l’unica tendenza davvero leggibile riguarda i threat actors, cioè chi colpisce e con quali obiettivi.

Nel mondo IT, corporate e finanziario le motivazioni sono varie: furto di dati, spionaggio, estorsione, profitto puro, come dimostrano le operazioni con cui la Corea del Nord sottrae criptovalute per finanziare il regime, fino al colpo da circa un miliardo e mezzo di dollari ai danni della piattaforma Bybit nel 2025. Nel mondo OT il quadro è diverso. Il ransomware colpisce le aziende industriali, ma quasi sempre passando dall’informatica gestionale: è successo con Colonial Pipeline e con il colosso della carne JBS nel 2021, quando gli impianti si sono fermati perché erano caduti i sistemi da cui dipendevano, non perché qualcuno avesse toccato le macchine. Dragos osserva che, nel secondo trimestre del 2026, nessun operatore ransomware ha manipolato un sistema di controllo.[12] Gli attacchi rivolti direttamente ai componenti OT, con richiesta di riscatto, restano rari. Chi entra davvero nei controller lo fa per fermare o danneggiare la produzione: talvolta per ragioni di concorrenza tra rivali, ma soprattutto per conto di uno Stato. È la lunga sequenza che va da Stuxnet a Triton, il malware che nel 2017 prese di mira i sistemi di sicurezza di un impianto petrolchimico saudita, dai controller idrici americani violati nel 2023 dai CyberAv3ngers legati ai…