Lunedì 2 novembre, alle quattro del mattino, i banchi surgelati di almeno tre Coop di Catania e di una di Palermo hanno cominciato a scaldarsi. Qualcuno era entrato da remoto nel sistema di controllo e aveva avviato lo sbrinamento. Lo sbrinamento serve a sciogliere il ghiaccio sulle serpentine e normalmente dura un paio d’ore al giorno. In questo caso è proseguito fino a rovinare la merce. In un Conad di Palermo, all'apertura, i frigoriferi segnavano più di 30 gradi. Poi sono arrivate le segnalazioni dai Decò di Palermo e Trapani. Il Post ha contato oltre 20 supermercati colpiti tra Palermo, Catania, Ragusa e Trapani. Nella notte tra lunedì e martedì è toccato a due negozi Viro a Sassari. Ci sono stati altri casi in Abruzzo, in un'azienda di surgelati in Emilia-Romagna e in una società di mense in Toscana.
Quella stessa notte attacchi dello stesso tipo hanno colpito supermercati in Belgio, Lussemburgo, Paesi Bassi, Irlanda, Svezia, Finlandia, Estonia e Portogallo (Delhaize, Carrefour, SuperValu, ICA, Intermarché e perfino l'IKEA di Mons). Martedì il sottosegretario Alfredo Mantovano ha riunito a Palazzo Chigi l'ACN e i direttori dei servizi di intelligence, e anche il Copasir si è occupato del caso. Dopo la riunione il governo ha parlato di attività con «sistemi di sicurezza obsoleti, con interfacce esposte direttamente su Internet» e con autenticazioni deboli. Lo sottoscrivo parola per parola.
Tre settimane prima era già successo in Francia. Nella notte tra l'11 e il 12 ottobre più di 350 supermercati (Intermarché, Carrefour, Super U, Monoprix, E.Leclerc) avevano trovato i banchi della carne e dei surgelati a 50 gradi, con perdite che secondo Reuters potrebbero arrivare a decine di milioni di euro. La Procura di Parigi ha aperto un'indagine e nessuno ha rivendicato. Gran parte di quei banchi usava controller della danese Danfoss e, in misura minore, di Copeland e della sua controllata Dixell. Danfoss ha spiegato che molte unità non ricevevano più aggiornamenti di sicurezza perché erano a fine vita, oppure funzionavano con firmware datati. Ad agosto la società di sicurezza Claroty aveva già segnalato gravi falle in quei firmware. Reuters ha contato almeno 4.500 interfacce Danfoss raggiungibili da Internet. Altro che ordinare il latte.
Già il 13 ottobre, il giorno dopo gli attacchi in Francia, l’ACN aveva inviato a supermercati e frigoristi un bollettino con «misure urgenti». Danfoss ha confermato che anche nella seconda ondata erano coinvolti suoi prodotti. Le grandi catene italiane dicono di usare altri dispositivi, basati però su tecnologie simili e con gli stessi punti deboli. Tre settimane dopo l’avviso, i banchi si sono scaldati anche in Sicilia, in Sardegna e in Abruzzo.
Che cosa c’entrano i supermercati con una fabbrica?
Gli attacchi hanno colpito sistemi OT (Operational Technology), cioè i sistemi informatici che comandano macchine come frigoriferi, forni, presse, telai e caldaie. Ne avevamo parlato su queste pagine nel novembre 2025 e poi a proposito di Stuxnet e Triton. Quei casi però riguardavano centrali nucleari e impianti petrolchimici, obiettivi da servizi segreti. Stavolta è toccato ai banchi frigo che troviamo nei supermercati di ogni paese.
Lavoro in campo industriale da oltre trent'anni, soprattutto nella meccanica, nell'alta tecnologia, nella chimica e nel tessile. Ancora oggi, quando entro in una fabbrica, mi capita di trovare PC con Windows 98, Windows 2000 o Windows XP collegati a una macchina di produzione. Microsoft ha smesso di aggiornare Windows 98 nel 2006, Windows 2000 nel 2010 e Windows XP nell'aprile 2014.
In un impianto, per esempio, i PC HMI (i pannelli da cui l'operatore comanda la macchina) usavano ancora Windows XP ed erano infettati da un vecchio virus che sfruttava la falla RPC di Windows. Per intervenire su quei PC sarebbe servito un ammodernamento dell’impianto da qualche centinaio di migliaia di euro. Li abbiamo isolati in un segmento di rete dedicato.
Chi gestisce quegli impianti ha ragioni concrete per continuare a usare quei PC. Il software di controllo gira solo su quel sistema operativo, il fornitore della macchina a volte non esiste più e cambiare il PC vuol dire rifare l'impianto. Finché funziona, resta lì. A fine anno, con i conti da far quadrare, forse farei lo stesso.
Con quei PC mi capita spesso di trovare insieme tre problemi
Nessuno tiene d’occhio il PC. L’antivirus aggiornato manca, spesso perché per quel sistema non esiste più, e nessuno controlla i log.
Il PC della pressa è sulla stessa rete degli uffici. Se in contabilità qualcuno apre l’allegato sbagliato, non c’è una separazione di rete che impedisca di raggiungere la pressa.
Il fornitore ha predisposto un accesso remoto per l’assistenza. A volte è un programma di controllo remoto vecchio di dieci anni con la password su un post-it attaccato al monitor, a volte è una porta aperta sul router «per comodità», e nessuno si ricorda più che c'è.
La NIS2 (articolo 21, paragrafo 2, lettera d, recepito in Italia dall'articolo 24 del D.Lgs. 138/2024) chiede ai soggetti essenziali e importanti di gestire la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti. Se il tecnico del costruttore si collega da remoto alla vostra pressa, dovete gestire il rischio legato a quell’accesso e poter mostrare all’ACN, l’Agenzia per la cybersicurezza nazionale, come lo fate. Chi fornisce un’azienda soggetta alla NIS2 si vedrà chiedere queste misure dal cliente nel contratto, anche se la direttiva non si applica direttamente al fornitore.
In queste condizioni, una macchina di fabbrica può essere esposta quanto i banchi frigo francesi, anche se chi la usa ogni giorno non se ne accorge.
A fine ottobre Reuters ha rivelato che il Pentagono sta trattando come un possibile attacco hacker una serie di guasti agli impianti di refrigerazione di almeno sei negozi dentro basi militari americane. I guasti risalgono ad agosto, due mesi prima degli attacchi in Francia. A Fort Huachuca, in Arizona, il congelatore era andato in sbrinamento e aveva «cotto» il cibo. Ken Munro di Pen Test Partners ha ipotizzato che dietro ci siano ragazzini che si divertono. Può darsi. Se davvero dei ragazzini riescono ad avviare lo sbrinamento in un supermercato francese o in una base dell’esercito americano, a preoccuparmi di più è la facilità con cui qualcuno riesce a entrare.
Anche una piccola azienda può essere colpita senza essere stata presa di mira. Gli attaccanti usano motori di ricerca che scandiscono Internet a caccia di dispositivi vulnerabili e colpiscono quelli che trovano. Le dimensioni dell’azienda contano poco se i suoi dispositivi sono raggiungibili da Internet.
Per i costruttori, le norme internazionali IEC 62443 sulla sicurezza dei sistemi di automazione e controllo industriale stanno diventando il riferimento per dimostrare il rispetto di due regolamenti europei. Il primo è il nuovo Regolamento Macchine (UE) 2023/1230, obbligatorio dal 20 gennaio 2027, che per la prima volta chiede di proteggere i sistemi di controllo dalle manomissioni. Il secondo è il Cyber Resilience Act, di cui avevamo parlato a giugno, che si applicherà integralmente da dicembre 2027. In CEN-CENELEC si sta preparando la versione europea della norma, la EN IEC 62443. Era ora. Finora nessuno chiedeva a chi vendeva una macchina per quanti anni l'avrebbe tenuta aggiornata.
Si può cominciare mettendo in sicurezza le macchine già in uso. Fare l’inventario di ogni PC, PLC e controller collegato in rete, con il suo sistema operativo e il nome di chi lo gestisce. Se non sapete cosa avete, non potete proteggerlo.
Separare la rete di produzione da quella degli uffici con un firewall, e isolare del tutto i sistemi che non si possono più aggiornare.
Eliminare gli accessi remoti «fai da te». Per l’assistenza del fornitore, usare un solo punto di accesso controllato, con autenticazione a due fattori, e abilitarlo soltanto quando serve.
Chiedere a ogni fornitore di macchine fino a quando garantisce gli aggiornamenti di sicurezza. Per le macchine nuove, chiedere anche la conformità alla IEC 62443. Poi scriverlo nel contratto.
Monitorare la rete OT. Anche uno strumento open source può segnalare se qualcuno si collega alla vostra pressa alle tre di notte.
Per chi rientra nella NIS2, mettere in sicurezza questi sistemi è un obbligo. Per le altre aziende resta una questione di buon senso.
E voi, lo sapete quanti PC con Windows XP ci sono ancora nel vostro stabilimento?
Per maggiori informazioni:
Sito web: www.seccomarco.com