Frigoriferi hackerati in Europa: come è stato possibile?

Immaginate di entrare in un supermercato e scoprire che tutti i congelatori hanno smesso di funzionare correttamente. La corrente elettrica è presente, i compressori non sono necessariamente guasti e l’impianto non sembra avere problemi meccanici.

Eppure, la temperatura dei frigoriferi sta aumentando e gli alimenti rischiano di deteriorarsi.

La causa? Un attacco informatico che ha modificato da remoto le impostazioni dei sistemi di refrigerazione.

Potrebbe sembrare la trama di un film, ma è quello che è accaduto nell’autunno del 2026 in diversi Paesi europei.

Gli attacchi hacker ai frigoriferi dei supermercati hanno dimostrato quanto i sistemi informatici siano ormai integrati nel funzionamento delle infrastrutture fisiche. E soprattutto hanno sollevato una domanda: come è possibile che qualcuno, attraverso Internet, riesca a modificare il funzionamento di un impianto industriale?

La risposta è più interessante di quanto sembri e riguarda problemi che vanno ben oltre la refrigerazione.

In questo articolo analizzeremo le cause tecniche degli attacchi, il ruolo dei controllori industriali, le vulnerabilità dei dispositivi connessi e le strategie necessarie per proteggere le infrastrutture moderne.

Frigoriferi hackerati in Europa: cosa è successo nell’ottobre e novembre 2026?

I primi incidenti su larga scala vengono segnalati in Francia nell’ottobre 2026, quando centinaia di supermercati riscontrano anomalie nei sistemi di refrigerazione.

In diversi impianti vengono modificati parametri operativi, tra cui le temperature impostate e i cicli di sbrinamento.

Il risultato è l’aumento della temperatura nei frigoriferi e nei congelatori, con conseguenze dirette sulla conservazione degli alimenti.

Nella notte tra il 1° e il 2 novembre si verifica una seconda ondata di attacchi, questa volta con segnalazioni provenienti da numerosi Paesi europei.

Tra quelli interessati figurano Belgio, Svezia, Irlanda, Estonia, Portogallo e Italia.

Anche alcune attività commerciali italiane, comprese strutture della distribuzione alimentare in Sicilia, risultano coinvolte nelle segnalazioni.

La situazione diventa sufficientemente grave da richiedere un intervento coordinato delle autorità europee.

Il 4 novembre 2026, ENISA, l’Agenzia dell’Unione Europea per la cybersecurity , pubblica una comunicazione congiunta con la Commissione europea e altri organismi coinvolti nella gestione degli incidenti, tra cui Europol.

L’obiettivo è promuovere lo scambio di informazioni, la riduzione dell’esposizione dei dispositivi vulnerabili e il coordinamento delle attività di risposta.

Ma questi episodi presentano un elemento particolarmente preoccupante.

Gli attaccanti non si sono limitati a compromettere dei computer: hanno interferito con sistemi che controllano processi fisici.

Secondo le ricostruzioni disponibili, in alcuni casi i parametri di temperatura sarebbero stati impostati addirittura a 50 °C.

È importante precisare che questo valore si riferisce alle impostazioni alterate e non significa che tutti gli impianti abbiano effettivamente raggiunto quella temperatura.

Gli incidenti hanno comunque causato interruzioni operative, perdite di prodotti alimentari e danni economici.

Sono stati segnalati anche tentativi di interferenza con sistemi di refrigerazione utilizzati da strutture del servizio trasfusionale francese. Il personale è riuscito a proteggere i prodotti conservati, evitando danni al materiale biologico.

Il problema, quindi, non riguarda soltanto i supermercati, ma potenzialmente qualunque organizzazione che utilizzi sistemi connessi per controllare processi fisici.

Come si fa ad hackerare un frigorifero?

Per rispondere dobbiamo prima chiarire un aspetto fondamentale: un frigorifero industriale moderno non è soltanto una macchina frigorifera, ma fa parte di un sistema informatico di controllo.

In un supermercato possono essere presenti decine di banchi refrigerati, congelatori, celle frigorifere e impianti centralizzati.

Tutti questi sistemi devono mantenere temperature adeguate e funzionare continuamente.

Per questo vengono utilizzati sensori, dispositivi elettronici e controllori che permettono di monitorare e regolare il funzionamento degli impianti.

Un sistema di gestione della refrigerazione può occuparsi di:

• Rilevare le temperature attraverso appositi sensori.
• Gestire compressori e altri componenti dell’impianto.
• Coordinare i cicli di sbrinamento.
• Visualizzare anomalie e condizioni operative.
• Attivare allarmi quando vengono superate determinate soglie.
• Consentire agli operatori autorizzati di modificare le impostazioni.

Queste funzionalità possono essere raccolte in un sistema di controllo centralizzato.

Il ruolo dei controllori Danfoss AK-SM

Tra i dispositivi citati nelle analisi degli incidenti europei figurano i controllori della famiglia Danfoss AK-SM, utilizzati per la supervisione degli impianti di refrigerazione commerciale.

Un controllore di questo tipo permette agli operatori di monitorare diversi componenti dell’impianto attraverso un’unica interfaccia.

Il vantaggio è evidente.

Un tecnico responsabile della manutenzione di numerosi supermercati può verificare le condizioni operative senza doversi recare fisicamente in ogni punto vendita.

Può controllare le temperature, consultare gli allarmi e, quando autorizzato, intervenire sulle configurazioni.

Tutto questo rappresenta un enorme miglioramento nell’efficienza operativa.

Ma introduce anche una nuova superficie di attacco.

Se un tecnico può raggiungere il sistema a distanza, diventa fondamentale garantire che soltanto le persone autorizzate possano utilizzare quelle funzionalità.

Il rischio non è la connessione remota in sé, ma un accesso remoto progettato o configurato senza adeguate misure di sicurezza.

Perché alcuni sistemi industriali sono visibili su Internet?

Una delle principali criticità riguarda l’esposizione diretta delle interfacce di amministrazione.

Molti dispositivi industriali dispongono di un’interfaccia web accessibile attraverso un browser.

Questa interfaccia può essere utilizzata per consultare informazioni e modificare determinati parametri.

Il problema nasce quando il servizio viene reso direttamente raggiungibile attraverso un indirizzo IP pubblico.

In questo caso, anche soggetti esterni all’organizzazione possono tentare di stabilire una connessione.

Naturalmente, un dispositivo raggiungibile da Internet non è automaticamente vulnerabile.

Potrebbe essere protetto da autenticazione, restrizioni sugli accessi e altri controlli di sicurezza.

Tuttavia, l’esposizione aumenta le possibilità che un attaccante individui il dispositivo e tenti di sfruttarne eventuali debolezze.

Shodan e Censys: i motori di ricerca dei dispositivi connessi

Per comprendere quanto questo problema sia diffuso, dobbiamo parlare di due strumenti molto conosciuti nella cybersecurity: Shodan e Censys .

A differenza dei normali motori di ricerca, che indicizzano principalmente contenuti web, questi servizi raccolgono informazioni sui sistemi e sui servizi di rete accessibili pubblicamente.

Possono quindi permettere di individuare determinate categorie di dispositivi connessi, tra cui server, apparati di rete e sistemi industriali.

Non significa che consentano automaticamente di comprometterli.

Significa però che rendono visibile una parte della superficie di attacco delle organizzazioni.

E proprio Censys ha pubblicato un’analisi particolarmente interessante sugli incidenti europei.

Migliaia di controllori di refrigerazione esposti

Secondo una ricerca pubblicata da Censys il 5 novembre 2026 , il numero di host pubblicamente raggiungibili appartenenti a due famiglie di sistemi di refrigerazione è diminuito sensibilmente nelle settimane successive agli attacchi.

In particolare:

La ricerca riguarda le famiglie Danfoss StoreView e Copeland/Dixell XWEB.

Si tratta di una riduzione significativa.

L’osservazione è compatibile con interventi di mitigazione, come la rimozione dell’esposizione pubblica dei sistemi, ma i dati non permettono di stabilire esattamente perché ogni dispositivo non risultasse più raggiungibile.

Inoltre, questi numeri non rappresentano il totale dei frigoriferi hackerati, né dimostrano che tutti i dispositivi individuati fossero vulnerabili.

Rappresentano gli host esposti su Internet appartenenti alle famiglie monitorate.

Ed è già un dato sufficiente per comprendere l’entità del problema.

Vulnerabilità Danfoss: cosa hanno scoperto i ricercatori di Claroty?

Il problema dei sistemi industriali esposti su Internet diventa ancora più rilevante quando i dispositivi presentano vulnerabilità software.

Nell’agosto 2026, i ricercatori del team di sicurezza Claroty Team82 hanno pubblicato un’analisi tecnica dei controllori Danfoss AK-SM 800A.

La ricerca ha identificato diverse problematiche di sicurezza.

Tra le più importanti figurano vulnerabilità relative all’autenticazione, all’esecuzione di comandi e alla disponibilità del servizio.

CVE-2025-41450: problemi di autenticazione

La prima vulnerabilità riguarda il processo attraverso il quale il dispositivo verifica l’identità di chi tenta di accedere.

Un difetto di autenticazione può consentire, in determinate condizioni, di aggirare le verifiche previste.

Questo è particolarmente importante perché una password robusta non è necessariamente sufficiente quando il sistema presenta debolezze nella gestione dell’autenticazione.

La protezione deve riguardare l’intero meccanismo di accesso, non soltanto la complessità delle credenziali.

CVE-2025-41451: command injection

La seconda vulnerabilità è un esempio di command injection.

Si tratta di una categoria di problemi che può presentarsi quando un’applicazione utilizza informazioni ricevute dall’esterno per costruire comandi destinati al sistema operativo.

Se tali informazioni non vengono controllate correttamente, un attaccante che soddisfi le condizioni richieste dalla vulnerabilità potrebbe riuscire a far eseguire comandi non previsti.

Nel caso documentato da Claroty, la vulnerabilità poteva consentire l’esecuzione remota di codice dopo l’autenticazione.

È un rischio significativo perché potrebbe permettere di andare oltre le normali funzionalità dell’interfaccia di gestione.

CVE-2025-41452: interruzione del servizio

Un’altra vulnerabilità individuata riguarda la possibilità, dopo l’autenticazione, di provocare un’interruzione del servizio attraverso una gestione inadeguata di determinate condizioni.

In un normale sistema informatico un’interruzione può rappresentare un disservizio.

In un ambiente industriale le conseguenze possono essere molto più gravi, perché la disponibilità dei sistemi di controllo è spesso essenziale per il funzionamento degli impianti.

Gli aggiornamenti correttivi

Le vulnerabilità sono state comunicate al produttore attraverso un processo di divulgazione coordinata.

Danfoss ha reso disponibili aggiornamenti firmware correttivi, tra cui la versione R4.3.1.

Le organizzazioni che utilizzano dispositivi interessati devono verificare il modello, la versione installata e gli aggiornamenti applicabili consultando gli avvisi ufficiali del produttore.

Una precisazione è indispensabile: l’esistenza di queste vulnerabilità non dimostra che siano state utilizzate in tutti gli attacchi ai supermercati europei.

Le ricerche tecniche documentano debolezze reali nei dispositivi, mentre la ricostruzione delle modalità di compromissione dei singoli incidenti richiede ulteriori elementi investigativi.

IT e OT: perché proteggere un’infrastruttura industriale è diverso?

Per comprendere realmente questi attacchi dobbiamo distinguere due ambiti della tecnologia.

Il primo è l’IT, Information Technology.

Comprende i sistemi informatici utilizzati per elaborare, conservare e trasmettere informazioni: computer, server, applicazioni, database e reti aziendali.

Il secondo è l’OT, Operational Technology.

Comprende le tecnologie utilizzate per monitorare e controllare processi fisici.

Appartengono al mondo OT molti sistemi presenti negli impianti industriali, nella produzione energetica, nella distribuzione delle acque, nella refrigerazione e nell’automazione degli edifici.

La differenza principale non riguarda soltanto la tipologia dei dispositivi.

Riguarda soprattutto le conseguenze di un eventuale malfunzionamento.

In un ambiente IT, quando viene identificata una vulnerabilità critica, possiamo spesso programmare un aggiornamento o interrompere temporaneamente un servizio.

In un ambiente OT, invece, fermare un sistema potrebbe bloccare una linea produttiva o compromettere un processo che deve funzionare ininterrottamente.

Pensiamo proprio ai frigoriferi di un supermercato.

Un aggiornamento firmware potrebbe richiedere verifiche di compatibilità, procedure di manutenzione e una finestra temporale nella quale sia possibile intervenire senza compromettere la conservazione degli alimenti.

La necessità di garantire continuità operativa può quindi rendere più complessa la gestione degli aggiornamenti.

Perché i dispositivi industriali possono rimanere vulnerabili per anni?

Molti sistemi industriali hanno cicli di vita molto più lunghi rispetto ai normali computer.

Un controllore può continuare a svolgere correttamente la propria funzione per molti anni, anche quando il software installato è ormai obsoleto.

Sostituirlo o aggiornarlo può richiedere investimenti, verifiche tecniche e interventi specializzati.

Questo crea una situazione delicata: un dispositivo può essere perfettamente funzionante dal punto di vista operativo, ma non offrire più un livello di sicurezza adeguato.

La stabilità operativa e la sicurezza informatica devono quindi essere gestite insieme.

Come un cyberattacco può provocare danni fisici

Il caso dei frigoriferi europei mostra chiaramente il collegamento tra sicurezza digitale e conseguenze materiali.

Un controllore di refrigerazione utilizza parametri e informazioni provenienti dai sensori per regolare il funzionamento dell’impianto.

Tra questi parametri possono esserci le temperature desiderate, le soglie di allarme e i cicli di sbrinamento.

Lo sbrinamento è una funzione normale.

Serve a eliminare il ghiaccio che si accumula su determinati componenti e che potrebbe compromettere l’efficienza della refrigerazione.

Normalmente avviene secondo tempi e condizioni definiti.

Ma cosa succede se qualcuno riesce a modificarne le impostazioni senza autorizzazione?

Il sistema potrebbe interrompere il raffreddamento quando non dovrebbe, avviare cicli di sbrinamento anomali o utilizzare temperature incompatibili con la corretta conservazione degli alimenti.

Non è necessariamente necessario controllare direttamente ogni componente dell’impianto.

In determinate circostanze, l’accesso non autorizzato alle normali funzionalità amministrative può essere sufficiente per provocare conseguenze operative.

Il passaggio è semplice da comprendere:

Accesso non autorizzato → Modifica dei parametri → Alterazione del processo fisico → Danno operativo.

Questa catena descrive uno degli aspetti più importanti della sicurezza OT.

Il bersaglio finale non è necessariamente il computer.

Il sistema informatico può diventare il mezzo attraverso il quale un attaccante interferisce con un processo fisico.

Come proteggere i sistemi industriali dagli attacchi hacker

Una delle lezioni più importanti degli incidenti europei è che la sicurezza di un’infrastruttura non può dipendere esclusivamente da una password.

Anche una password complessa potrebbe non essere sufficiente se l’interfaccia di amministrazione è esposta direttamente su Internet o se il firmware presenta vulnerabilità note.

Per questo si utilizza il principio della difesa in profondità, cioè la combinazione di diversi livelli di sicurezza.

Ridurre l’esposizione su Internet

Il primo intervento consiste nel verificare quali sistemi industriali siano effettivamente raggiungibili dall’esterno.

Le interfacce di amministrazione non dovrebbero essere pubblicamente accessibili quando non esiste una necessità operativa che lo giustifichi.

La riduzione dei servizi esposti diminuisce le opportunità a disposizione degli attaccanti.

Proteggere gli accessi remoti

I manutentori devono poter intervenire sugli impianti, ma attraverso connessioni adeguatamente protette.

L’utilizzo di VPN, autenticazione a più fattori e autorizzazioni limitate può contribuire a ridurre i rischi.

È importante però ricordare che una VPN non garantisce automaticamente la sicurezza: anche gli account, i dispositivi e l’infrastruttura utilizzata per l’accesso remoto devono essere gestiti correttamente.

Separare le reti IT dalle reti OT

La segmentazione delle reti è un altro elemento fondamentale.

La rete amministrativa di un supermercato non dovrebbe consentire accessi indiscriminati ai sistemi che controllano gli impianti di refrigerazione.

Separare gli ambienti e limitare le comunicazioni ai soli flussi necessari riduce la possibilità che un attaccante si sposti liberamente tra sistemi diversi.

Gestire firmware e vulnerabilità

Gli aggiornamenti devono essere pianificati considerando la compatibilità e le esigenze operative.

Quando un dispositivo non può essere aggiornato immediatamente, è necessario valutare misure compensative come restrizioni di rete, isolamento e controlli aggiuntivi.

Quando invece un dispositivo non riceve più supporto dal produttore, occorre considerare anche un percorso di sostituzione.

Monitorare e prepararsi agli incidenti

La sicurezza non consiste soltanto nel tentare di impedire ogni attacco.

È fondamentale anche individuare rapidamente comportamenti anomali e disporre di procedure per intervenire.

Nel caso della refrigerazione, il monitoraggio indipendente delle temperature e la gestione degli allarmi possono contribuire a identificare tempestivamente condizioni pericolose.

L’obiettivo è ridurre la probabilità di compromissione e limitare le conseguenze quando un incidente si verifica.

Il problema riguarda molte più infrastrutture dei frigoriferi

Gli attacchi ai sistemi di refrigerazione rappresentano un esempio concreto di una trasformazione più ampia.

Oggi moltissimi dispositivi sono collegati a reti informatiche.

Telecamere di sorveglianza, sistemi di climatizzazione, controllori industriali, impianti energetici e sistemi di gestione degli edifici possono comunicare a distanza e offrire funzionalità di supervisione e controllo.

Questa connettività permette di migliorare l’efficienza, ridurre i consumi e gestire più facilmente le operazioni di manutenzione.

Ma significa anche che dispositivi un tempo isolati diventano parte di infrastrutture digitali.

Una telecamera, per esempio, può contenere un sistema operativo, servizi di rete, software applicativo e un’interfaccia di amministrazione.

Non è quindi soltanto un dispositivo che registra immagini.

È anche un sistema informatico che deve essere protetto e aggiornato.

Lo stesso principio vale per molti componenti industriali.

Per questo, quando valutiamo l’affidabilità di una tecnologia connessa, non dovremmo limitarci a chiederci se funziona correttamente.

Dovremmo anche domandarci:

• Chi può raggiungere il dispositivo attraverso la rete?
• Chi può modificarne la configurazione?
• Il produttore rilascia ancora aggiornamenti di sicurezza?
• Quali conseguenze avrebbe una compromissione?
• Esistono strumenti e procedure per rilevare e gestire un incidente?

La sicurezza informatica deve essere considerata parte integrante dell’affidabilità dei sistemi.

Non significa che qualunque infrastruttura connessa sia automaticamente insicura.

Significa che la protezione deve essere progettata, implementata e mantenuta durante l’intero ciclo di vita dei dispositivi.

La vera lezione degli attacchi ai frigoriferi europei

Gli attacchi informatici ai frigoriferi dei supermercati europei mostrano quanto sia diventato stretto il collegamento tra mondo digitale e mondo fisico.

Un impianto di refrigerazione può funzionare perfettamente dal punto di vista meccanico, ma essere esposto a rischi informatici attraverso i sistemi che ne permettono la gestione.

A volte non servono tecniche particolarmente rivoluzionarie.

Possono bastare servizi esposti, software non aggiornati, accessi remoti inadeguatamente protetti o architetture di rete che non prevedono sufficienti controlli di sicurezza.

La questione fondamentale è che oggi la cybersecurity non riguarda più soltanto la protezione dei dati.

Riguarda anche la continuità dei servizi, la sicurezza delle persone e l’affidabilità delle infrastrutture.

Quando colleghiamo un’infrastruttura a una rete, non stiamo aggiungendo soltanto una nuova funzionalità. Stiamo introducendo anche una nuova responsabilità: proteggerla.

Ed è una responsabilità che coinvolge produttori, integratori, manutentori e organizzazioni che utilizzano queste tecnologie.

Articolo aggiornato sulla base delle informazioni tecniche disponibili al 9 novembre 2026. Le indagini sugli incidenti sono in evoluzione e le modalità di compromissione possono differire tra i sistemi coinvolti.