Attacco ai frigoriferi francesi: firmware Danfoss obsoleto e…

Centinaia di negozi francesi colpiti da attacco ai controller di refrigerazione Danfoss. Firmware non aggiornato, temperature forzate a 50°C, danni fisici

Il 12 ottobre 2026 il procuratore di Parigi ha confermato un attacco su larga scala ai controller di refrigerazione connessi di diverse catene alimentari francesi. Gli attaccanti hanno forzato temperature fino a 50°C in frigoriferi e congelatori, causando perdite alimentari e incendi in centinaia di supermercati. L'agenzia francese per la sicurezza informatica ANSSI ha identificato nel software di Danfoss, azienda danese specializzata in componenti per refrigerazione industriale, il punto di ingresso della compromissione.

Danfoss ha confermato che le unità colpite eseguivano firmware obsoleto. La società aveva precedentemente rilasciato aggiornamenti software per risolvere vulnerabilità documentate, ma i sistemi compromessi non erano stati aggiornati. Il caso riapre il dibattito sul gap di gestione patch nell'IoT industriale, dove la convenienza della manutenzione remota si traduce in superficie d'attacco esposta a Internet.

Punti chiave

L'ANSSI ha identificato una vulnerabilità nel software Danfoss come causa dell'attacco ai sistemi di refrigerazione di centinaia di supermercati francesi.
Danfoss ha confermato che le unità colpite eseguivano firmware obsoleto; la società aveva rilasciato aggiornamenti software precedenti.
Intermarché ha riferito circa 150 negozi colpiti con riscaldamento forzato a 50°C per sei ore nella notte; Carrefour ha confermato 80 supermercati.
La ricerca Claroty Team82 del 9 agosto 2026 ha documentato vulnerabilità nel controller Danfoss AK-SM 800A, con bypass dell'autenticazione ed esecuzione di codice.

L'ANSSI individua Danfoss, il vendor conferma firmware non aggiornato

Il procuratore di Parigi ha qualificato l'incidente come un attacco "su larga scala" che ha colpito "frigoriferi connessi in diverse grandi catene di distribuzione alimentare in tutta la Francia". Il Primo Ministro Sébastien Lecornu ha incaricato l'ANSSI di condurre le indagini tecniche. Secondo quanto riferito da fonti vicine all'esecutivo, l'agenzia ha individuato nel software fornito da Danfoss la vulnerabilità sfruttata.

Danfoss ha rilasciato una dichiarazione in cui conferma che le unità compromesse "eseguivano firmware obsoleto" e che l'azienda "aveva da tempo consigliato ai clienti di mantenere aggiornati i sistemi supportati". La formulazione del comunicato suggerisce che gli aggiornamenti erano disponibili prima dell'attacco, ma non specifica se fossero stati rilasciati in risposta a una advisory precedente o come parte del ciclo di manutenzione ordinario. Il dossier non chiarisce inoltre se i sistemi AK-SM800 e AK-SC355 citati da Danfoss nel contesto dell'incidente corrispondano al modello AK-SM 800A analizzato da Claroty.

Centoquaranta negozi Intermarché, ottanta Carrefour: le cifre delle catene colpite

Le catene alimentari hanno fornito dati parziali ma convergenti sulla portata dell'attacco. Les Mousquetaires, gruppo proprietario di Intermarché, ha riferito che circa 150 negozi sono stati colpiti, con frigoriferi riscaldati a 50°C per sei ore durante la notte. Carrefour ha confermato 80 supermercati compromessi. Monoprix ha dichiarato che il 5% della propria rete è stata bersagliata. Coopérative U, attraverso il proprio CEO Dominique Schelcher, ha confermato di aver subito l'attacco, definendolo "di estrema gravità e senza precedenti".

Felix Aime di Sekoia Threat Detection and Research ha riferito che l'attacco si è esteso oltre i confini francesi, coinvolgendo Spagna, Portogallo, Polonia, Germania e Belgio. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a un gruppo attribuito allo stato attuale. L'identità degli attaccanti rimane non confermata, così come il movente: il dossier non documenta richieste estorsive, né esclude che si tratti di sabotaggio puro.

I danni economici documentati con precisione si concentrano su due punti vendita di Haguenau, in Alsazia. Secondo Hackread, un negozio Intermarché della zona ha stimato perdite per circa 50.000 euro, mentre un punto vendita Super U ha quantificato danni per circa 220.000 euro. La somma dei soli due casi documentati ammonta a circa 270.000 euro. Il dossier non fornisce stime sul totale delle perdite nazionali o internazionali.

Da agosto il lavoro di Claroty su AK-SM 800A: bypass e esecuzione codice

Il 9 agosto 2026, due mesi prima dell'attacco, Claroty Team82 ha pubblicato ricerca sul controller Danfoss AK-SM 800A. Lo studio documenta vulnerabilità che consentono di bypassare i controlli di autenticazione ed eseguire codice sui dispositivi compromessi. Danfoss ha rilasciato aggiornamenti software per risolvere le vulnerabilità identificate da Claroty. La correlazione temporale tra la pubblicazione della ricerca e l'inizio dell'attacco è documentata; non è tuttavia provato che gli attaccanti abbiano sfruttato le stesse vulnerabilità descritte da Claroty.

I controller di refrigerazione industriale sono tipicamente accessibili via Internet per manutenzione remota. Questa interconnessione, funzionale alla gestione distribuita di migliaia di punti vendita, espone i dispositivi a superfici di attacco raggiungibili da attori remoti. Il meccanismo documentato dall'attacco — la manipolazione dei cicli di sbrinamento in riscaldamento continuo — dimostra che la compromissione logica si traduce in impatto fisico immediato sulla catena del freddo.

"Targeting equipment essential to the preservation of fresh products and to the food supply of the French people is of extreme gravity and is unprecedented" — Dominique Schelcher, CEO Coopérative U

Ahold Delhaize separato, incendi confermati: i confini dell'incidente

Il procuratore di Parigi ha citato esplicitamente "perdite alimentari e incendi" tra le conseguenze dell'attacco. CBS News ha riferito che i frigoriferi "hanno generato incendi". La natura fisica del danno — il riscaldamento forzato di apparecchiature progettate per operare a temperature di refrigerazione — ha superato la soglia del mero disservizio digitale.

Ahold Delhaize, operatore nei Paesi Bassi e in Belgio, ha confermato un "security issue" separato ma ha esplicitamente negato collegamenti con l'attacco francese. La distinzione, ribadita da The Guardian, serve a delimitare l'ambito dell'incidente principale: il dossier non documenta una campagna coordinata a livello europeo, bensì un attacco focalizzato sulla Francia con estensione documentata in almeno cinque Paesi aggiuntivi.

Perché è importante

Il dossier non documenta misure correttive specifiche imposte o raccomandate alle vittime. Non specifica il vettore di accesso iniziale: accesso remoto esposto, credenziali compromesse o altri meccanismi non sono dettagliati. Non è confermato se l'attacco rappresenti un'estorsione ransomware o un sabotaggio senza richiesta economica. Il numero totale esatto di negozi colpiti resta incerto: le stime variano dalle centinaia indicate dal procuratore alle cifre specifiche fornite dalle singole catene, con discrepanze tra fonti editoriali.

La fonte non specifica la natura dei dati eventualmente esposti, né se i sistemi compromessi contenessero informazioni sensibili oltre ai parametri di controllo termico. Il dossier non chiarisce inoltre se gli aggiornamenti software rilasciati da Danfoss fossano applicabili ai modelli effettivamente colpiti, né quanti clienti abbiano implementato le correzioni prima dell'attacco.

L'incidente costituisce un precedente documentato di attacco OT con impatto fisico diretto nel settore retail alimentare, un dominio tradizionalmente classificato come non critico rispetto alle infrastrutture nazionali. La dipendenza funzionale da controller connessi per la catena del freddo, combinata con l'inadempimento alla gestione delle patch, espone un vettore di rischio che interseca sicurezza alimentare, continuità operativa e regolamentazione UE sui dispositivi IoT.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter