Gli hacker nei frigoriferi: siamo già nella guerra ibrida

di PAOLO POLETTI ♦

Gli attacchi ai sistemi di refrigerazione dei supermercati europei hanno trasformato un’intrusione informatica in un danno materiale: alimenti deteriorati, reparti bloccati, costi di ripristino. L’ondata più estesa documentata ha colpito in ottobre la Francia, con centinaia di supermercati coinvolti. Il 2 novembre gli attacchi hanno interessato soprattutto il Belgio, con decine di punti vendita, e sono stati segnalati anche in Svezia e in altri Paesi europei, compresa l’Italia.

Fra i gruppi e le insegne coinvolti figurano Ahold Delhaize in Belgio e Lussemburgo, Carrefour e alcuni negozi Spar della rete Colruyt in Belgio, ICA e Coop in Svezia, SuperValu del gruppo Musgrave in Irlanda. È stato interessato anche un punto vendita IKEA in Belgio. La Coop svedese è distinta dalla rete italiana.

Secondo le dichiarazioni del gruppo Radenza, sono stati interessati almeno quattro punti vendita a marchio Coop in Sicilia, tre a Catania e uno a Palermo. L’azienda ha indicato nel telecontrollo dei banchi surgelati il sistema attaccato. Non si tratta, dunque, di un coinvolgimento accertato dell’intera rete Coop italiana. L’Agenzia per la cybersicurezza nazionale, ACN, ha inoltre segnalato casi nella ristorazione collettiva toscana e nella produzione emiliana di surgelati. Per il 3 novembre è stata convocata a Palazzo Chigi una riunione con l’Agenzia e i vertici dell’intelligence.

La portata della vicenda supera il valore della merce perduta: colpire la conservazione del cibo significa interrompere un servizio quotidiano essenziale.

IoT e OT collegano il digitale alla vita fisica

La cybersicurezza viene ancora troppo spesso ricondotta all’IT, Information Technology, cioè all’informatica che gestisce dati e informazioni. L’OT, Operational Technology, comprende invece i sistemi che sorvegliano e governano processi fisici; l’IoT, Internet of Things o Internet delle cose, collega in rete oggetti dotati di sensori e capacità digitali. Questi ambiti si intrecciano nei servizi, nella logistica, negli edifici e nella domotica, l’automazione della casa, ben oltre le fabbriche.

Nei supermercati, i sensori misurano la temperatura e le centraline regolano raffreddamento, valvole e cicli di sbrinamento. I tecnici possono sorvegliare gli impianti e modificarne le impostazioni a distanza. È un sistema cyberfisico: il software interviene sul funzionamento di una macchina, con effetti materiali. Se un intruso raggiunge i comandi, può alterare la temperatura o prolungare lo sbrinamento fino a deteriorare gli alimenti. Il rischio nasce quando gli accessi remoti sono esposti senza adeguate protezioni, le credenziali sono deboli o gli apparati non ricevono gli aggiornamenti necessari.

Le interazioni fra questi sistemi sono spesso sottovalutate: un accesso compromesso può aprire la strada ad altri apparati e il blocco di un impianto può interrompere i servizi che ne dipendono. IoT e OT costituiscono ormai una componente essenziale delle infrastrutture della vita sociale: governano la conservazione degli alimenti, il movimento delle merci e il funzionamento degli edifici. La loro protezione deve avere un ruolo centrale nella sicurezza collettiva, perché da questi sistemi dipendono la continuità dei servizi e l’incolumità delle persone.

Un problema particolare riguarda gli apparati legacy: dispositivi di precedenti generazioni, ancora in servizio ma talvolta privi di aggiornamenti di sicurezza. Un frigorifero può continuare a funzionare per anni dopo la fine del supporto informatico del suo controllore, restando esposto a vulnerabilità irrisolte. Aggiornare questi sistemi può richiedere una sospensione del servizio: per questo la manutenzione di sicurezza deve essere programmata insieme alle esigenze operative. Rinviarla sistematicamente significa lasciare aperte vulnerabilità note. È una responsabilità organizzativa e gestionale, che non può essere scaricata sul singolo addetto.

La verifica deve quindi comprendere sensori, controllori, programmi e accessi dei manutentori. Anche apparecchiature recenti possono essere vulnerabili se configurate male: l’obsolescenza è un fattore di rischio, non una causa già dimostrata per tutti gli attacchi.

Secondo informazioni raccolte dall’autore, nelle settimane precedenti circolavano sul dark web, la parte della rete accessibile con strumenti specifici, discussioni sulle vulnerabilità degli impianti frigoriferi e richieste mirate su dispositivi obsoleti o non aggiornati. Segnali di interesse per quelle debolezze, anche se non dimostrano, da soli, la preparazione degli attacchi.

Il valore geopolitico degli attacchi

Negli articoli “Siamo davvero in guerra cibernetica con la Russia?” e “La guerra senza fronte”, quest’ultimo scritto con Delfina Angeloni, abbiamo descritto una pressione che attraversa le società civili: intrusioni informatiche, sabotaggi e disinformazione concorrono a indebolire un avversario senza aprire un confronto militare diretto. Siamo già dentro la guerra ibrida.

Per gli attacchi ai frigoriferi, le fonti pubbliche consultate non riportano ancora un’attribuzione accertata. La mia valutazione è tuttavia netta: sono attacchi di matrice statale, nation-state nel linguaggio della cybersicurezza, condotti da apparati pubblici o da cybergang mercenarie sostenute da Stati. Il loro valore è geopolitico: provocare danni, spaventare, alimentare incertezza e sfiducia nella capacità delle istituzioni di proteggere la società.

Nella mia lettura, queste operazioni servono regimi la cui ostilità supera le singole crisi internazionali e investe i principi del nostro ordinamento: libertà individuali, pluralismo, Stato di diritto. Destabilizzare le società democratiche significa anche cercare di condizionarne le scelte.

L’assenza di richieste pubbliche di riscatto è coerente con questa interpretazione: il vantaggio strategico spetta al mandante, mentre gli esecutori vengono remunerati per l’operazione.

Il richiamo di Guido Crosetto, nelle dichiarazioni riportate dal Corriere della Sera del 3 novembre, alla continuità degli attacchi e alla manipolazione delle opinioni pubbliche coglie il punto: il loro effetto cumulativo rischia di sfuggire alla valutazione dei singoli episodi.

Dall’attrito alla scintilla

È un’azione asimmetrica: chi attacca sceglie il bersaglio e il momento; chi difende deve proteggere molti impianti mantenendoli operativi. La modifica di pochi parametri può produrre danni più che proporzionali rispetto ai mezzi impiegati. Il valore del danno dipende dall’attività governata dal dispositivo, non dal prezzo del dispositivo stesso.

Questo attrito può alimentare un’escalation. Conseguenze impreviste, attribuzioni sbagliate o risposte interpretate come aggressioni possono innescare una successione di reazioni fino alla scintilla del confronto armato. Un attacco informatico particolarmente grave potrebbe portare all’applicazione dell’articolo 5 della NATO, l’Alleanza atlantica, che prevede l’assistenza degli alleati al Paese colpito. La risposta può essere anche militare, ma non è automatica: viene decisa caso per caso.

La resilienza, cioè la capacità di resistere, continuare a operare e ripristinare i servizi, riduce questo rischio. Contenere i danni lascia più tempo per accertare le responsabilità e assumere decisioni ponderate.

Una cultura che riguarda tutti

Le tecnologie informatiche, e sempre più l’intelligenza artificiale, fanno parte della nostra cultura e della nostra vita: influenzano il lavoro, l’informazione, le decisioni e le relazioni. Viviamo in una realtà ibrida, nella quale dimensione fisica e digitale si intrecciano. Di fronte a una minaccia persistente, serve perciò una “postura culturale”: integrare la sicurezza nel modo di comprendere e abitare questa realtà, nelle decisioni delle organizzazioni e nei comportamenti individuali.

Alcune intrusioni sfruttano credenziali autentiche sottratte attraverso il phishing: messaggi e pagine ingannevoli che inducono a rivelare dati di accesso. Un account compromesso può aprire la strada ad attacchi verso altri sistemi o rendere credibili nuove truffe, con conseguenze che vanno oltre il singolo utente.

La formazione deve accompagnarsi a sistemi capaci di contenere l’errore umano: accessi limitati alle necessità del lavoro, verifiche aggiuntive oltre alla password e procedure semplici per segnalare anomalie. Cittadini e lavoratori devono poter riconoscere il rischio e sapere a chi rivolgersi.

L’intelligenza artificiale aumenta l’urgenza. Nell’analisi del 3 novembre, il National Cyber Security Centre, NCSC, il centro britannico per la cybersicurezza, prospetta entro il 2028 attacchi alle infrastrutture critiche con programmi malevoli potenziati da questa tecnologia. La capacità offensiva cresce mentre molte debolezze restano irrisolte.

Le norme devono diventare capacità operative

La NIS2 è la direttiva europea che impone misure di cybersicurezza e obblighi di segnalazione degli incidenti alle imprese e alle amministrazioni più rilevanti per la vita sociale. Il problema è tradurre le regole in capacità effettive.

L’indagine NIS Investments 2025 dell’ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, offre un’indicazione concreta: fra le 1.080 organizzazioni coinvolte, quasi un terzo non aveva effettuato una valutazione della cybersicurezza nei dodici mesi precedenti; il 28% impiegava più di tre mesi per correggere vulnerabilità critiche. Questi dati documentano carenze operative, senza dimostrare specifiche violazioni da parte delle aziende oggi colpite.

Un programma realistico parte dal censimento degli impianti e degli accessi e dalla valutazione delle conseguenze di un’interruzione. Deve assegnare priorità, responsabili, risorse e scadenze; proteggere e separare le reti, controllare gli accessi dei fornitori e aggiornare gli apparati. Per quelli non più supportati, occorre programmare la sostituzione e limitarne nel frattempo l’esposizione.

Servono allarmi tempestivi e procedure di emergenza, accompagnati da esercitazioni che verifichino la capacità di mantenere o ripristinare le attività. La direzione ne risponde, con il contributo di informatici, responsabili degli impianti e manutentori.

Una protezione civile cibernetica

Le imprese più piccole e le pubbliche amministrazioni meno attrezzate hanno bisogno di sostegno. Propongo una protezione civile cibernetica incentrata su ACN: una rete di sensibilizzazione, formazione, assistenza tecnica e risposta agli incidenti, raccordata con l’ACN e le altre autorità competenti. Renderebbe accessibili competenze e strumenti che molte organizzazioni non possono procurarsi da sole.

Il sostegno pubblico deve accompagnare gli investimenti tecnologici e la preparazione delle persone, dalle scuole ai luoghi di lavoro. La responsabilità diffusa richiede obblighi precisi per chi gestisce i servizi.

Questa priorità deve orientare anche ReArm Europe, oggi associato al programma Readiness 2030, che già comprende investimenti nella cybersicurezza. A mio giudizio, la difesa europea deve cominciare dalla resilienza delle infrastrutture tecnologiche sulle quali poggia la vita sociale: energia, acqua, sanità, trasporti, comunicazioni, pagamenti e approvvigionamenti alimentari.

Da questi servizi dipendono anche l’efficacia militare e la possibilità concreta di esercitare i nostri diritti. Proteggerli significa difendere le condizioni nelle quali la democrazia funziona, preservando riservatezza, pluralismo e libertà di critica.

Gli attacchi ai frigoriferi mostrano quanto sia vicino questo fronte. La protezione degli apparati che collegano il digitale alla realtà fisica deve diventare un impegno verificabile, capace di garantire la continuità della vita quotidiana.

PAOLO POLETTI