Nella notte tra domenica 11 e lunedì 12 ottobre 2026, poco dopo la mezzanotte, qualcuno ha cambiato a distanza le impostazioni degli impianti frigoriferi di centinaia di supermercati francesi. All'apertura il personale ha trovato banchi e congelatori a temperature fino a 50 gradi e la merce da buttare: almeno 350 negozi secondo il conteggio di Reuters, circa 700 secondo il ministro dell'Economia. Tre settimane dopo, nella notte tra l'1 e il 2 novembre, lo stesso schema si è ripetuto in mezza Europa, dal Belgio alla Svezia, dal Portogallo alla Sicilia.
Non era la prima volta. Ad agosto i congelatori di diversi commissariati delle basi militari statunitensi si erano guastati nel cuore della notte, e oggi il Pentagono li tratta come un sospetto attacco informatico. In primavera, secondo la società che ha gestito l'incidente, un gruppo legato all'Iran aveva sabotato la refrigerazione di un impianto alimentare israeliano fino a distruggerne tre compressori. Già nel 2022, stando a Danfoss, erano stati colpiti negozi in Russia e in Israele.
Episodi isolati, resi possibili da impianti vulnerabili lasciati in rete, oppure una campagna internazionale di sabotaggio contro la filiera alimentare? È la domanda da cui siamo partiti con BackBox AI e il suo profilo Threat Hunter. Le risposte, con le fonti su cui poggiano, sono raccolte in una dashboard interattiva che aggiorneremo a ogni nuovo ciclo di ricerca.
Una domanda, molte fonti, nessuna scorciatoia
Il Threat Hunter ha lavorato il 3 novembre in tre cicli di ricerca, usando soltanto fonti pubbliche: allerte dei CERT, avvisi dei produttori, atti giudiziari, ricerche di sicurezza e stampa in una decina di lingue. Ogni fonte è entrata in un registro con un identificativo, un tipo, un grado di affidabilità e uno stato di verifica; ogni incidente, ipotesi sugli attori e famiglia di controllori ha ricevuto un identificativo stabile, che resterà lo stesso nei cicli successivi. Il primo ciclo ha ricostruito il quadro internazionale, il secondo si è concentrato sull'Italia, colpita proprio in quelle ore, il terzo è tornato sulle fonti originali e ha seguito nuove piste, dalla Germania al codice d'attacco pubblicato in rete.
Come nell'indagine sulle proteste di ottobre, ogni affermazione porta uno stato. Un fatto verificato poggia su una fonte ufficiale o primaria, oppure su più testate indipendenti; un'informazione da confermare ha alle spalle una sola fonte credibile; un'ipotesi è una deduzione e dichiara chi la sostiene. Nella dashboard questi tre stati accompagnano ogni riga. In una vicenda dove circolano cifre gonfiate e attribuzioni frettolose, distinguere tra «è successo» e «qualcuno sostiene che» è il cuore del lavoro, non un dettaglio di forma.
Prima della pubblicazione le fonti sono state verificate sugli originali, dove raggiungibili, e il quadro è stato aggiornato con gli sviluppi delle ore successive.
Che cosa è successo
Il registro conta undici episodi, dal 2022 a oggi. Messi in fila, raccontano un problema vecchio che nel giro di poche settimane è diventato di massa.
I precedenti. Nell'ottobre 2025 Danfoss, tra i principali produttori di controllori per la refrigerazione commerciale, ha reso noto che all'inizio della guerra in Ucraina sedici supermercati russi dotati del suo system manager AK-SM 800 erano stati attaccati, e che nel 2022 erano stati violati quaranta negozi israeliani, tutti senza firewall né VPN. Nel dicembre 2025 il Dipartimento di Giustizia statunitense ha accusato il gruppo filorusso CARR, che descrive come fondato e diretto dall'intelligence militare russa, di aver colpito un impianto di lavorazione della carne a Los Angeles nel novembre 2024: migliaia di libbre di carne andate a male e una fuga di ammoniaca.
Israele, primavera 2026. L'attacco più distruttivo del registro è documentato da Profero, la società che ha gestito la risposta all'incidente. In uno stabilimento alimentare gli attaccanti hanno riscritto setpoint, soglie di protezione e limiti di allarme di un impianto a CO2, hanno azzerato la configurazione di un secondo impianto e hanno bloccato aperte le valvole, distruggendo tre compressori; sulla rete aziendale attendeva un trojan dotato di un modulo per cancellare i dischi. Profero attribuisce l'operazione a Cyber Isnaad Front, un gruppo dall'aspetto hacktivista che collega con confidenza alta a una società vicina ai Pasdaran. Lo stesso gruppo ha diffuso a ottobre un video sui suoi attacchi in Israele, compreso quello a una catena di alimentari kosher.
Stati Uniti, agosto. Tra il 26 e il 27 agosto almeno sei commissariati militari hanno annunciato guasti notturni ai congelatori; a Fort Huachuca, in Arizona, erano andati tutti in sbrinamento senza alcun blackout. A fine ottobre il Pentagono trattava i guasti come un sospetto attacco informatico. Due persone informate dei fatti hanno indicato hacker legati all'Iran, e due ex funzionari sentiti da NPR parlano di indizi in quella direzione, ma senza una confidenza alta. Quanto agli apparati, la presenza di controllori Danfoss nelle basi colpite dice poco: l'inventario dell'agenzia che gestisce i commissariati li indica in 80 negozi su 185, e uno dei commissariati colpiti usa un altro produttore.
Francia, ottobre. È l'episodio che ha reso pubblico il problema. Nella notte tra l'11 e il 12 ottobre sono stati colpiti negozi di tutte le principali catene, da Intermarché a Carrefour, da Coopérative U a Monoprix. Il CERT-FR ha confermato numerose compromissioni di controllori Danfoss e, dal 13 ottobre, dei supervisori XWEB di Copeland e Dixell; l'amministratore delegato di Les Mousquetaires ha stimato il danno in decine di milioni di euro in un solo giorno. La procura di Parigi ha aperto un'indagine. Nessuno ha rivendicato l'attacco e nessuno ha chiesto un riscatto.
Europa, novembre. Nella notte tra l'1 e il 2 novembre lo stesso tipo di attacco ha colpito di nuovo, questa volta in Belgio, con almeno 72 siti tra cui oltre 40 Delhaize, e poi in Lussemburgo, Paesi Bassi, Svezia (30 negozi), Estonia, Irlanda, Portogallo e Italia. In Germania gestori e polizia hanno confermato almeno sette siti in quattro Länder, tra cui due mercati CAP, un REWE e due Edeka, e a Oldenburg e Landshut sono aperte indagini; nel Regno Unito l'NCSC ha confermato un paio di casi, con un impatto minimo, in piccole aziende di lavorazione della carne. In Finlandia, Romania e Grecia, al 3 novembre, i casi restavano da confermare. Sommando le dichiarazioni di catene e autorità si arriva a circa 170 siti, Italia compresa; un totale ufficiale non esiste. La Commissione europea ha parlato di un tentativo deliberato di colpire la catena di approvvigionamento alimentare.
C'è poi un filone parallelo, meno visibile ma significativo. Secondo Forescout, dal gennaio 2026 gruppi hacktivisti filorussi, tra i quali i più attivi sono Z-Pentest Alliance e NoName057(16), hanno rivendicato oltre venti attacchi alla refrigerazione di magazzini di frutta, cantine e supermercati in Spagna, in Italia e in altri Paesi europei, modificando temperature e sbrinamento da pannelli raggiungibili via Internet. Le singole rivendicazioni non sono verificate, ma la tecnica è la stessa delle due notti di massa. E c'è un filo che riporta a CARR, che il Dipartimento di Giustizia statunitense indica anche con il nome Z-Pentest. Sul ruolo del GRU, però, le fonti ufficiali non concordano: per l'avviso statunitense Z-Pentest Alliance agisce senza il suo coinvolgimento, per il governo britannico è quantomeno collegata a un'unità dell'intelligence militare russa.
Come funziona un attacco ai frigoriferi
Dietro i banchi frigo di un supermercato c'è quasi sempre un controllore di supervisione: un piccolo computer che regola temperature e cicli di sbrinamento, raccoglie gli allarmi e li inoltra al manutentore. Per comodità di assistenza molti sono raggiungibili da Internet, spesso attraverso la linea del negozio o un router cellulare, e una parte usa ancora le password di fabbrica. Le scansioni di ottobre ne contano migliaia. ONYPHE ha trovato 6.212 indirizzi IP con un'interfaccia Danfoss StoreView in 95 Paesi, 2.836 dei quali in Francia, e 1.960 con un supervisore Copeland XWEB EVO, una generazione fuori supporto dal marzo 2026 che non riceverà più correzioni; Forescout conta 12.976 servizi esposti su 6.017 indirizzi, in dieci famiglie di prodotti. Dopo l'attacco la Francia si è scollegata in fretta: secondo Censys i pannelli Danfoss esposti nel Paese sono scesi da 1.825 a 537 in tre giorni, con lo stesso calo per i firmware aggiornati e per quelli vecchi, segno che gli operatori li hanno staccati dalla rete invece di aggiornarli. Molti, però, restano in rete: il 3 novembre un tracker indipendente ne contava circa 2.100 raggiungibili nel mondo.
Per colpire non serve un malware. Chi entra nell'interfaccia di amministrazione può fare quello che fa un tecnico: portare un congelatore da -22 a +50 gradi, forzare lo sbrinamento o allungarlo da una a otto ore, allargare le soglie di allarme o spegnerle. Il compressore smette di raffreddare, le resistenze scaldano e, se l'allarme notturno tace, il danno si scopre all'apertura. Nel catalogo MITRE ATT&CK for ICS sono tecniche note: dispositivo accessibile da Internet, credenziali di fabbrica, modifica dei parametri, cambio della modalità operativa, modifica o soppressione degli allarmi.
I produttori avevano già corretto parecchie falle. Il Danfoss AK-SM 800A aveva un codice del giorno nascosto, ricavato dalla data del dispositivo, corretto nel 2025; i Copeland XWEB Pro avevano 23 vulnerabilità, sistemate a febbraio 2026; i Site Supervisor un account amministrativo con una password che cambiava ogni giorno in modo prevedibile. Per i Danfoss non aggiornati, poi, la strada si è accorciata subito dopo l'attacco francese: il 13 ottobre è comparso in rete un proof of concept per le tre falle del 2025, il giorno dopo un laboratorio ha pubblicato l'algoritmo del codice del giorno e dal 19 ottobre i record CVE lo segnalano come exploit pubblico. Tre settimane prima dell'ondata di novembre, entrare in un AK-SM 800A non aggiornato era alla portata di chiunque. Il 21 ottobre, però, l'ANSSI, l'agenzia francese per la cybersicurezza, ha spiegato al Senato che per l'attacco francese non sono servite vulnerabilità note: sono bastate carenze elementari, interfacce esposte direttamente su Internet e password deboli. I dati raccolti nel resto d'Europa vanno nella stessa direzione. Nei Paesi Bassi le vittime avevano ancora le password di fabbrica, in Svezia gli apparati colpiti erano collegati fuori dalla rete centrale delle catene, in Estonia è stato colpito l'unico negozio non ancora passato al nuovo sistema, in Romania si parla di router cellulari esposti, e in Germania l'AWO, che gestisce uno dei mercati colpiti, dice che l'attacco è passato dalla ditta che ne manutiene gli impianti da remoto.
L'Italia
In Italia l'ondata è arrivata nella stessa notte, tra le 3 e le 4 di lunedì 2 novembre. In Sicilia il delegato regionale di Federdistribuzione conta una ventina di negozi tra le province di Palermo, Catania e Ragusa; i casi indicati dalle aziende sono una decina, cioè almeno quattro punti vendita di un gestore Coop in franchising, tre Conad e tre Decò in franchising. Conad ha segnalato anche due negozi in Veneto. A Silvi Marina, in Abruzzo, i banchi di un supermercato sono stati impostati a un impossibile 150 gradi e hanno raggiunto i 40 prima che l'allarme richiamasse i tecnici. A Sassari due supermercati di una catena locale sono saliti a circa 15 gradi: la stampa sarda ne parla come di un caso possibile, mentre un dispaccio ANSA lo colloca nella notte tra il 2 e il 3 novembre, il che ne farebbe una seconda notte italiana, ancora da confermare.
L'attacco non si è fermato alla grande distribuzione. In Toscana una società pubblico-privata che prepara 1,8 milioni di pasti l'anno per mense scolastiche, aziendali e ospedaliere ha rilevato un'anomalia nei sistemi di controllo della refrigerazione e l'ha circoscritta: è l'unica notifica di incidente ricevuta dall'ACN in base alla disciplina NIS. In Emilia-Romagna è stata l'Agenzia stessa a scoprire un attacco, non notificato, ai danni di un produttore di surgelati.
I racconti delle vittime descrivono le stesse vie d'accesso viste altrove. Un responsabile d'area del gestore Coop colpito a Palermo spiega che gli attaccanti si sono collegati alla VPN aziendale e hanno portato a 50 gradi unità che dovevano restare tra -18 e -25, mentre l'allarme notturno non è scattato. Il delegato di Federdistribuzione parla di ingressi attraverso i call center della telegestione e di accessi diretti agli indirizzi IP dei frigoriferi, e osserva che i negozi del suo gruppo sono rimasti indenni, mentre sono stati colpiti tre punti vendita in franchising che non avevano applicato i protocolli previsti. Per Palazzo Chigi sono state colpite poche unità commerciali, per lo più ancora dotate di sistemi di sicurezza obsoleti, con interfacce esposte e autenticazione debole, e non è emerso alcun rischio per la salute dei cittadini.
Resta aperta la domanda più importante per il nostro Paese: quali apparati sono stati colpiti. Nessuna fonte pubblica indica produttore o modello, e le principali catene dicono di non usare software Danfoss. Il candidato più ovvio sono i Copeland XWEB EVO, di cui l'Italia ha il parco esposto più grande al mondo, ma resta un'ipotesi: Grecia e Spagna, che hanno anch'esse parchi EVO consistenti, hanno avuto al massimo casi isolati. La risposta dovrà arrivare dalle analisi dell'ACN e della polizia postale. Nel frattempo l'Agenzia ha ripubblicato il bollettino del 13 ottobre con le verifiche urgenti per la filiera del freddo, a Palazzo Chigi si è tenuta una riunione con il ministro dell'Agricoltura, l'ACN e i vertici dell'intelligence, e il Copasir aveva in calendario, già prima degli attacchi, le audizioni dei direttori di AISI e ACN, il 3 e il 4 novembre. Il ministro dell'Interno ha parlato di un'iniziativa presumibilmente coordinata a livello europeo, ammettendo di non avere dati aggiornati: una valutazione politica, non un'attribuzione.
Campagna o opportunismo?
Le evidenze non danno ragione a nessuna delle due tesi nella forma più netta, e la risposta va data per punti, perché ciascuno poggia su basi diverse.
- Ogni ondata è stata un'operazione coordinata. Centinaia di negozi di catene diverse, con apparati di più produttori, manomessi nelle stesse ore: per la Francia lo affermiamo con confidenza alta, per novembre con confidenza da moderata ad alta, perché qualche caso isolato potrebbe essere opera di imitatori.
- Non è un'estorsione. Nessuna richiesta di riscatto, da nessuna parte: il danno avviene prima che qualcuno possa pagare. Confidenza alta.
- Il metodo non identifica un attore. Lo rivendicano gli hacktivisti filorussi in Europa, lo ha usato in una versione più distruttiva un gruppo legato all'Iran in Israele, ed è alla portata di chiunque sappia usare uno scanner. Confidenza alta.
- Lo stesso attore a ottobre e a novembre? È possibile, con confidenza da bassa a moderata: il metodo è identico, ma a novembre era ormai di dominio pubblico, da metà ottobre circolava codice d'attacco per i Danfoss non aggiornati e nessun indicatore tecnico lega le due notti.
- Un'unica campagna, da Israele all'Europa? È la lettura più suggestiva, ma le evidenze sono deboli: il racconto di chi ha gestito l'incidente israeliano, un sospetto anonimo sull'Iran che riguarda soltanto i commissariati statunitensi e nessun legame tecnico. Confidenza bassa.
- Una regia statale dietro gli attacchi europei? Le informazioni sono insufficienti. Nessun governo ha attribuito gli attacchi, nessuno li ha rivendicati, e il centro belga per la cybersicurezza ha detto che gli autori potrebbero non essere mai individuati.
Sugli attori la dashboard mette a confronto sette ipotesi, dall'Iran ai gruppi vicini al GRU, dagli hacktivisti agli imitatori, fino a un attore solitario, che Sophos considera il secondo scenario più plausibile. Il quadro più onesto, oggi, è che per le ondate europee nessuna ipotesi prevale. L'Iran ha dalla sua l'unico sospetto espresso da funzionari, ma riguarda gli Stati Uniti; l'ecosistema filorusso ha il repertorio più vicino, ma i suoi gruppi rivendicano le proprie azioni, mentre le notti di ottobre e novembre sono rimaste mute. La matrice delle correlazioni mostra, incidente per incidente, che cosa torna e che cosa no.
Una dashboard che seguirà l'indagine
La dashboard raccoglie l'intero lavoro: i numeri principali; il registro degli incidenti, con le singole affermazioni e il loro stato; una mappa che mostra dove hanno colpito le ondate e dove grandi parchi esposti non hanno avuto casi confermati; la cronologia dal 2022; la matrice delle correlazioni; le ipotesi sugli attori con la confidenza per incidente; le tecniche ATT&CK; i controllori con vulnerabilità ed esposizione; gli indicatori di compromissione pubblicati per l'impianto israeliano; le domande aperte e un registro consultabile di 111 fonti. Ogni voce rimanda alle sue fonti, e ogni fonte elenca i punti della dashboard in cui è citata.
È pensata per crescere. A ogni ciclo di ricerca il workspace di BackBox AI produrrà un nuovo database, e uno strumento di confronto elencherà i record nuovi o modificati, che passeranno dalla stessa verifica prima di entrare nella dashboard. Gli identificativi non cambiano, un dato superato resta visibile insieme al motivo e ogni versione ha la sua voce nel registro delle modifiche. I prossimi cicli partiranno dalle domande aperte: come sono entrati gli attaccanti in ciascun Paese, quali apparati sono stati colpiti in Italia, se ci sarà una terza notte.
Dove si fermano le fonti aperte
Nessun investigatore ha pubblicato indicatori tecnici sugli attacchi in Francia, in Europa o negli Stati Uniti, quindi i collegamenti tra gli episodi poggiano su comportamenti, tempi e dichiarazioni, non su infrastrutture comuni. Diverse fonti sono a pagamento e sono state lette attraverso le testate che le riprendono; i numeri dei primi giorni vengono corretti di continuo, e quelli di novembre lo saranno ancora. L'assenza di rivendicazioni è un dato da osservare, non una prova.
La dashboard nomina aziende, istituzioni e ruoli, non persone: chi è imputato e i dipendenti citati dalla stampa restano anonimi, e le piccole attività vengono descritte senza essere nominate. Non è uno strumento di attribuzione né una prova utilizzabile in giudizio, ma un quadro ragionato di ciò che è pubblico, con il grado di certezza di ciascuna affermazione.
A chi serve, e che cosa fare subito
Per chi gestisce supermercati, magazzini, mense e stabilimenti alimentari, la lezione pratica di questa vicenda costa poco. Bisogna togliere i controllori da Internet, compresi quelli collegati dal manutentore con un router cellulare; consentire l'accesso remoto solo attraverso una VPN con autenticazione a più fattori e account separati; cambiare le password di fabbrica; confrontare ogni giorno la configurazione attiva con quella autorizzata, a partire da setpoint, sbrinamento e allarmi; affiancare alla supervisione una sonda di temperatura indipendente, perché è l'unico controllo che un attaccante non può riscrivere. Sono le misure indicate dal CERT-FR e dall'ACN, e la dashboard le riporta una per una.
Ad analisti, CERT e giornalisti offriamo un registro riproducibile e aggiornato, in cui ogni numero ha una fonte e ogni attribuzione ha un grado di confidenza. Se devi seguire le minacce che riguardano il tuo settore, o capire quanto della tua infrastruttura è visibile da Internet, scrivici.
Aggiornamenti
- 3 novembre 2026, ore 18:00 UTC. Prima pubblicazione, con i dati della versione 1.0 della dashboard.