Internet of Things nel mirino

Supermercati e riserve di plasma. Gli hacker industriali ora puntano a elettricità e acqua

La sequenza di attacchi alla grande distribuzione e ai fornitori dell’ente francese che gestisce le trasfusioni indica una escalation. La rivendicazione dei gruppi filorussi alza il tiro. E la platea è ampia. L’Acn mappa oltre 21.800 soggetti NIS, disciplinati dalle norme di cybersecurity: più di 2.000 nell’energia, 500 nei trasporti, 2.000 nella sanità, 3.000 nell’alimentare e 4.000 nella manifattura

di Piero Matica

4 novembre 2026

Aggiungi Il Sole 24 Ore
ai preferiti su Google

Dipendenti di una catena di supermercati svedese, ICA Kvantum, impegnati a svuotare celle frigorifere dopo un attacco hacker AFP

4' di lettura

English Version

4' di lettura

English Version

Nella notte fra il primo e il 2 novembre la catena del freddo è stata colpita per l’ennesima volta. In questo caso attraverso un fornitore dell’Établissement français du sang (Efs), il servizio pubblico francese per le trasfusioni di sangue e plasma. Secondo la stampa, i sistemi di tre siti, normalmente impostati a meno 30 gradi, sono stati riprogrammati a 110 gradi. Il bersaglio, secondo la stampa francese, è stato Coolworld, fornitore e manutentore di numerosi depositi. Gli allarmi hanno segnalato l’anomalia, il tecnico di turno è intervenuto e i prodotti e le sacche sono state messe in sicurezza. Frédéric Pacoud, presidente dell’Efs, assieme al ministero della Salute hanno escluso conseguenze sanitarie e interruzioni nella raccolta e distribuzione. Il blitz contro le sacche di sangue arriva però dopo l’ondata di attacchi hacker ai frigoriferi della grande distribuzione in Europa e anche a numerose macchine presenti nelle basi militari americane su territorio Usa. È chiaro, dunque, che l’ondata assume un significato molto ampio. Che mette in discussione le basi stesse dell’IoT, Internet of Things.

Chiedilo al Sole

Domande di approfondimento generate da 24Ore AI

Come sono avvenuti gli attacchi

Il 12 ottobre CERT-FR, il centro francese di cybersecurity, aveva già segnalato numerose compromissioni di sistemi Danfoss AK-SM e AK-SC e piattaforme Copeland-Dixell XWEB nella refrigerazione commerciale. L’autorità chiedeva di eliminare le interfacce pubbliche, verificare configurazioni, sbrinamenti e allarmi. Il 2 novembre sono arrivati report olandesi e svedesi; l’allerta ha coinvolto anche Belgio, Irlanda, Lussemburgo, Finlandia e Italia. Il 3 novembre la Commissione europea ha riunito Enisa (agenzia cyber dell’Ue), Europol, EU-CyCLONe (la Rete europea delle organizzazioni di collegamento per le crisi informatiche) e autorità nazionali.

NoName057(16) e Z-Pentest, gruppi filorussi, hanno rivendicato con un video le intrusioni nella refrigerazione commerciale europea. Sostengono di aver utilizzato funzioni integrate dei sistemi Danfoss e Xweb senza malware e dichiarano di poter intervenire su acqua, centrali elettriche e impianti industriali. È una rivendicazione, non una prova: le autorità non hanno confermato che i gruppi siano responsabili di tutti gli episodi, né del caso Efs.

La tecnica evocata è però credibile. Nel living-off-the-land l’aggressore può usare una console di gestione raggiungibile dall’esterno, credenziali sottratte o l’account di un manutentore, senza introdurre software industriale nuovo. Con il potere di cambiare set-point, sbrinamenti o allarmi, l’identità esegue operazioni normali ma non autorizzate. Gli investigatori dovranno risalire a sessione, permessi, ordine di lavoro, modifica e risposta del controllore. Se un account altera anche gli allarmi, il guasto può restare nascosto.

Nel febbraio 2026 Copeland ha pubblicato ben 18 vulnerabilità per determinati Xweb Pro fino al firmware 1.12.1. Le generazioni Danfoss AK-SM differiscono per autenticazione e impostazioni di sicurezza. Per questo il controllo andrà esercitato sulla configurazione installata, sugli accessi concessi e sui backup affidabili, non solo sul nome del produttore.

Il fornitore può però moltiplicare il rischio. Un frigorista può sorvegliare numerosi negozi, magazzini e servizi di allarme, talvolta per clienti diversi. Senza separazione dei privilegi per sito, un account compromesso può coinvolgere più impianti. CERT-FR ha ricordato che staccare il telecontrollo può interrompere gli allarmi ai manutentori, con effetti sui contratti e sulle coperture assicurative. Il caso Efs rende così tangibile questa tensione: l’accesso presso una società esterna ha interessato depositi sanitari, mentre misure e allarmi hanno consentito l’intervento prima della perdita delle scorte.

Il 2 novembre Acn, l’Agenzia per la Cybersicurezza Nazionale italiana, ha richiamato grande distribuzione, logistica e società di manutenzione a verificare l’esposizione dei sistemi di teleassistenza. Emergevano casi nella ristorazione toscana e nei surgelati emiliani. La Siaf di Bagno a Ripoli, attiva nelle mense scolastiche, ospedali e aziende, ha confermato un attacco ai sistemi refrigeranti, dichiarando di avere salvaguardato la continuità grazie al rilevamento tempestivo. Il 3 novembre Federdistribuzione ha riferito di non aver riscontrato criticità nelle reti medio-grandi associate.

I numeri delle infrastrutture

L’Acn ha mappato nel 2025 oltre 21.800 soggetti NIS disciplinati dalle norme di cybersecurity: più di 2.000 nell’energia, 500 nei trasporti, 2.000 nella sanità, 3.000 nell’alimentare e 4.000 nella manifattura. CSIRT Italia ha trattato 2.729 eventi cyber, dei quali 615 classificati come incidenti con impatto confermato; l’attività proattiva ha segnalato 31.050 dispositivi o servizi a rischio e 10.312 potenzialmente compromessi.

L’elettricità sostiene numerosi servizi: Terna registra 312,2 terawattora di domanda, da cui dipendono anche acqua, trasporti, sanità e industria. Rfi indica 13.736 chilometri di linee con controllo remoto della circolazione Nell’acqua la transizione digitale incontra debolezze già note. Istat misurava nel 2022 il 42,4% di perdite nelle reti comunali: sono perdite fisiche. Telecontrollare pompe, serbatoi e trattamento aiuta a governare le reti, ma rende essenziali accessi circoscritti e misure autonome della qualità. Nel maggio 2024 Cisa, Fbi, Nsa hanno documentato negli Stati Uniti interferenze fisiche limitate presso impianti idrici con interfacce scarsamente protette.

Le intrusioni attese

Enisaha registrato nel solo 2025 4.709 rivendicazioni hacktiviste relative a Stati membri, oltre l’89% legate a denial-of-service; le rivendicazioni OT sono salite da 37 nel terzo trimestre a 124 nel quarto. Germania, Francia e Italia rappresentavano rispettivamente il 16%, il 14,8% e il 10,5% delle rivendicazioni complessive. La possibilità che i prossimi target siano nel settore elettrico e idrico è, dunque, elevata.

L’attacco francese al plasma si è fermato prima del danno ai pazienti; l’interrogativo aperto è quanti altri impianti europei possano dimostrare la stessa capacità di riconoscere e contenere una modifica ostile. I sistemi IoT sono chiaramente messi in discussione per la loro capillarità e vulnerabilità. Quando in futuro gli attacchi si concentreranno anche sui veicoli connessi a quel punto il tema esploderà. E i rischi cresceranno li modo esponenziale. Bisogna per questo già da subito fare una importante riflessione sulla sicurezza quantistica e sulla protezione delle infrastrutture attraverso il quantum computing. Perché alcune filiere potrebbero proteggersi con una regressione all’analogico. Ma altre non hanno possibilità di disconnessione.