Hacker scaldano i congelatori francesi a 50 gradi

Sei ore di sbrinamento, ordinate da remoto

Nella notte tra domenica 11 e lunedì 12 ottobre, alcuni aggressori hanno preso il controllo del software di gestione remota delle unità frigorifere di supermercati francesi e le hanno messe in sbrinamento. Invece di un breve riscaldamento notturno, frigoriferi e congelatori hanno continuato a scaldarsi. Intermarché ha detto che le sue unità si sono scaldate fino a 50 gradi per circa sei ore e che ha buttato tutto ciò che era interessato per escludere rischi sanitari.

I direttori arrivati lunedì mattina hanno trovato un'ondata di aria calda dai congelatori e in alcuni punti vendita c'erano piccoli incendi. Il primo ministro Sébastien Lecornu ha incaricato l'agenzia nazionale di cybersicurezza ANSSI di indagare, e la procura di Parigi ha aperto un'inchiesta su quello che ha definito un attacco su larga scala alle celle frigorifere di diverse grandi catene alimentari. Nessun autore è stato nominato.

Questi numeri vengono dalle catene e da giornalisti che hanno scritto a ore diverse. Leggeteli come intervalli. Nessuna fonte indica un totale complessivo confermato.

I controller più vecchi non hanno una patch da installare

Danfoss dice che la maggior parte delle unità colpite sono modelli più vecchi il cui software di sicurezza non può essere aggiornato. Ha aggiunto che da tempo consiglia ai clienti di tenere i sistemi supportati con il firmware aggiornato.

The Hacker News riferisce che l'AK-SM 800 è a fine vita da maggio 2021 e che l'AK-SC 355 è stato ritirato nel 2016, e che nessuno dei due riceve aggiornamenti software o di sicurezza. Secondo quanto riferito sono state colpite anche alcune unità dell'AK-SM 800A, un modello attuale, che usavano firmware non aggiornato. L'allerta del CERT-FR, aggiornata il 13 ottobre, elenca come prodotti interessati le serie Danfoss AK-SC e AK-SM insieme ai controller Copeland xweb e Dixell xweb.

Il CERT-FR aggiunge un avvertimento che conta per chi ha apparecchi vecchi: un ripristino di fabbrica da solo non basta per le apparecchiature a fine vita che restano esposte a internet, perché verranno probabilmente compromesse di nuovo. Per quelle unità restano due strade, toglierle da internet o sostituirle.

Come siano entrati resta ignoto

Secondo BleepingComputer, nessuna informazione pubblica spiega ancora come siano stati compromessi i controller.

Il Team82 di Claroty ha pubblicato ad agosto una ricerca sull'AK-SM 800A: un bypass dell'autenticazione (CVE-2025-41450, CVSS 8,2), un'iniezione di comandi (CVE-2025-41451, 7,6) e una falla di negazione del servizio (CVE-2025-41452, 5,4). Le scansioni di Censys hanno contato 2.765 di queste unità raggiungibili da internet, e Danfoss ha rilasciato poi un aggiornamento. Nessuna fonte collega quelle falle a questo attacco, quindi sono contesto e non la causa.

L'esposizione di lunedì era comunque ampia. Baptiste Robert, amministratore delegato di Predicta Lab, ha trovato 2.752 sistemi Danfoss online, 1.590 dei quali in Francia, e Shodan ne censisce più di 4.500 raggiungibili da internet.

L'attacco potrebbe non essere solo francese. L'analista di Sekoia Félix Aimé ha detto a Reuters che anche Spagna, Portogallo, Polonia, Germania e Belgio sono stati colpiti, senza dettagli, e una persona vicina al primo ministro ha detto che l'ANSSI è in contatto con le agenzie di altri paesi europei. Ahold Delhaize ha annunciato lo stesso lunedì un problema di sicurezza nella propria rete e ha messo offline alcuni sistemi con i negozi aperti, ma il suo comunicato non cita la Francia e BleepingComputer non ha visto prove di un collegamento.

Intermarché ha avvertito che l'assicurazione potrebbe non pagare

Intermarché ha detto che i punti vendita colpiti hanno dovuto gettare tutti i prodotti freschi e surgelati e ha avvertito che le polizze assicurative potrebbero non pagare, perché non coprono questo tipo di incidente nei negozi.

L'entità del danno resta poco chiara. Thierry Cotillard di Les Mousquetaires prevede perdite di decine di milioni di euro in tutta la Francia, secondo The Hacker News, e la BBC parla di cibo per milioni di euro. Due supermercati dell'Alsazia hanno dichiarato insieme 270.000 euro di perdite. Coopérative U ha detto che la catena del freddo ha retto nella maggior parte dei suoi 80 punti vendita colpiti e che solo una minoranza ha perso merce.

Le indicazioni del CERT-FR dicono di verificare le condizioni assicurative prima di interrompere il collegamento dati con il fornitore della refrigerazione. Il parere dell'assicuratore sul monitoraggio remoto va messo nella stessa conversazione della decisione di scollegare.

Cosa chiede il CERT-FR, passo dopo passo

L'allerta CERTFR-2026-ALE-012 del CERT-FR, emessa il 12 ottobre e aggiornata il 13, dà ai gestori un breve ordine di lavoro.

Se l'apparecchiatura non è compromessa: eliminare l'esposizione a internet delle unità interessate e di ogni unità con indirizzo IP pubblico; rivedere l'intera configurazione, soprattutto i programmi di sbrinamento; ripristinare l'accesso solo tramite una VPN sicura o una rete protetta, accettando il filtraggio degli indirizzi IP di origine del fornitore solo come misura d'emergenza; e applicare le buone pratiche del produttore, che per Danfoss significano livello di sicurezza su Strict e password predefinite cambiate.

Se l'apparecchiatura potrebbe essere compromessa: eliminare l'esposizione, ripristinarla con un ripristino di fabbrica, riportare l'accesso solo tramite una VPN sicura, riconfigurare l'unità prima di rimetterla in servizio e poi applicare le misure del produttore. Il CERT-FR dice che le campagne di attacco sono probabilmente ancora in corso.

Chiedete al fornitore della refrigerazione, questa settimana, tre cose: quali modelli di controller e quali versioni del firmware ci sono in ogni sede, quali sono oltre la fine del ciclo di vita e chi può raggiungerli da remoto e da dove.

Da leggere ora: La Francia esclude OpenAI dalla propria ciberdifesa  |  I worm di IA potrebbero colpire prima l'IoT economico