In questo articolo Indice dei contenuti 2 sezioni
Un attacco informatico contro i sistemi frigoriferi ha messo in seria difficoltà centinaia di supermercati francesi nella notte tra l’11 e il 12 ottobre 2026. Gli aggressori hanno preso il controllo dei dispositivi che regolano la refrigerazione e i cicli di sbrinamento e hanno alterato il funzionamento di frigoriferi, congelatori e celle refrigerate. In alcuni casi le temperature sono arrivate fino a 50 °C, con grandi quantità di alimenti da buttare, danni economici considerevoli e perfino segnalazioni di incendi.
Le stime più ampie parlano di quasi 700 punti vendita della grande distribuzione coinvolti, anche se i conteggi sono cambiati durante le indagini e non tutti i negozi hanno subìto danni della stessa gravità. L’aspetto più amaro della vicenda è che il pericolo era noto da tempo. Già a maggio 2025 le autorità statunitensi avevano pubblicato avvisi di sicurezza su alcuni dispositivi Danfoss. Ad agosto 2026, appena due mesi prima dell’offensiva, i ricercatori di Claroty Team82 avevano spiegato pubblicamente come compromettere alcuni sistemi di supervisione della refrigerazione, dimostrando che era possibile alterare le apparecchiature e far deteriorare il cibo senza far scattare allarmi evidenti.
Come funzionano i controller industriali e dove sta il punto debole
In un supermercato convivono tanti dispositivi distribuiti tra banchi refrigerati, celle frigorifere, evaporatori e gruppi di compressione. I singoli field controller raccolgono i valori dei sensori e comandano le parti fisiche dell’impianto come compressori, ventole, resistenze di sbrinamento e relè. Un gradino più su lavora il supervisory controller, ruolo svolto proprio da prodotti come Danfoss AK SM o Copeland XWEB, che centralizza configurazione, monitoraggio, programmazione e gestione degli allarmi. Così un tecnico autorizzato può controllare le temperature dei vari reparti e modificare i parametri senza dover raggiungere fisicamente ogni macchina.
Spesso il collegamento con i controller industriali locali passa da una rete seriale RS485 associata al protocollo Modbus RTU, mentre il supervisore dispone anche di una connessione Ethernet e di un’interfaccia web per l’amministrazione. Il guaio nasce quando questa interfaccia, pensata per facilitare la manutenzione a distanza, è raggiungibile direttamente da Internet. Una password non basta a proteggere il sistema perché eventuali difetti nel software possono permettere di aggirare del tutto l’autenticazione. Un pannello esposto sulla rete pubblica può essere scovato con scansioni automatiche e preso di mira senza sosta. La strada giusta passa da VPN, segmentazione della rete e controlli rigorosi sulle autorizzazioni.
Le falle scoperte su Danfoss e Copeland
La ricerca pubblicata il 9 agosto 2026 da Claroty, società specializzata nella sicurezza delle tecnologie operative, ha analizzato le piattaforme Danfoss AK SM 800A e Copeland XWEB Pro. Nel primo caso il firmware conteneva un meccanismo di accesso alternativo basato su un codice giornaliero, gestito da una routine chiamata checkcodeof_day. In certe condizioni il controllo non confrontava il valore ricevuto con la password dell’amministratore ma con un codice calcolato a partire dalla data dell’orologio di sistema. Ricostruendo l’algoritmo tramite reverse engineering chiunque poteva generarne uno valido. A questa vulnerabilità se ne aggiungeva una seconda nella configurazione delle notifiche email, che apriva la porta a una OS command injection e quindi all’esecuzione di comandi sul sistema operativo. Una terza falla consentiva di alterare la configurazione del server web Nginx integrato fino a provocare condizioni di Denial of Service.
Sulla famiglia Copeland, che comprende modelli come XWEB300D PRO e XWEB500D PRO, i ricercatori hanno contato 23 vulnerabilità di cui 21 di gravità elevata. Una riguardava la logica di autenticazione scritta in Lua dietro al server Lighttpd: davanti a una modalità di accesso inattesa la funzione restituiva una tabella vuota che il codice considerava comunque valida, regalando a un client non autenticato l’accesso alle funzioni da amministratore. Un’altra falla rendeva prevedibili le password giornaliere, generate a partire da data, indirizzo MAC e chiavi incorporate nel firmware. Il team ha anche costruito un impianto frigorifero sperimentale e ha mostrato che un aggressore può manipolare i dati visualizzati dal pannello per nascondere il malfunzionamento. Questo non prova che in Francia siano state sfruttate proprio queste falle, perché saranno le indagini a stabilire quali dispositivi e versioni firmware siano stati colpiti, ma conferma che scenari tecnicamente compatibili erano noti da tempo.
La statunitense CISA, l’agenzia federale del Department of Homeland Security che protegge le reti civili del governo e le infrastrutture critiche nazionali, aveva inserito la prima falla dei controller Danfoss AK SM 8xxA nei propri bollettini già a maggio 2025. Ad agosto dello stesso anno risultavano documentate anche le altre due, legate all’esecuzione di comandi e alla manipolazione dell’interfaccia web. A febbraio 2026 sono poi arrivate ulteriori segnalazioni su numerose vulnerabilità dei controller Copeland XWEB e XWEB Pro, tra cui aggiramento dell’autenticazione e Denial of Service.
Fonte: TecnoAndroid