Danfoss AK-SM e AK-SC: compromissioni con interfaccia esposta

Il 12 ottobre 2026 il CERT-FR, il centro di risposta agli incidenti dell’agenzia francese ANSSI, ha pubblicato il bollettino d’allerta CERTFR-2026-ALE-012 sui dispositivi Danfoss delle serie AK-SM e AK-SC. Il CERT-FR dichiara di essere a conoscenza di numerose compromissioni di questi dispositivi e richiama l’attenzione sull’esposizione dell’interfaccia di gestione su Internet.

Per ora l’unica fonte è l’avviso del CERT-FR: di seguito riportiamo quello che dice, e segnaliamo quello che non dice, senza aggiungere ipotesi.

Cosa è successo

Secondo il CERT-FR:

• sono in corso numerose compromissioni di dispositivi Danfoss delle serie AK-SM e AK-SC;
• i sistemi interessati sono indicati come serie AK-SC e serie AK-SM, senza distinzione di modelli o di versioni del firmware;
• il livello di rischio è «non specificato dal produttore»;
• esporre un’interfaccia di gestione su Internet è contrario alle buone pratiche.

L’avviso è nella versione iniziale, del 12 ottobre 2026. Potrà essere aggiornato con nuovi dettagli.

Di che dispositivi si tratta

AK-SM e AK-SC sono unità Danfoss di supervisione e controllo (system manager e system controller) per impianti di refrigerazione e climatizzazione, usate soprattutto nei punti vendita della distribuzione alimentare. Sono dispositivi di tecnologia operativa (OT): sorvegliano e regolano impianti fisici, e chi ne controlla l’interfaccia di gestione può agire sulle loro impostazioni.

Dettagli tecnici: cosa dice e cosa non dice l’avviso

• CVE: l’avviso non ne indica.
• Versioni colpite: non indicate; l’avviso parla delle serie nel loro insieme.
• Vettore: l’interfaccia di gestione raggiungibile da Internet. Il CERT-FR non precisa come siano entrati gli attaccanti (una vulnerabilità, credenziali deboli o di fabbrica, altro) né cosa abbiano fatto sui dispositivi compromessi.
• Indicatori di compromissione: nessuno pubblicato.
• MITRE ATT&CK for ICS: l’accesso a un dispositivo industriale raggiungibile direttamente da Internet corrisponde alla tecnica T0883 (Internet Accessible Device). L’avviso non elenca le tecniche usate.

Tra le azioni di bonifica, il CERT-FR chiede di applicare tutti i correttivi di sicurezza disponibili, di ruotare i segreti e di verificare gli account esistenti: controlla quindi con Danfoss o con il tuo installatore quale sia l’ultima versione disponibile per i tuoi dispositivi.

Impatto per le aziende europee e italiane

L’avviso è francese, ma riguarda dei prodotti, non un paese: vale per chiunque abbia un AK-SM o un AK-SC raggiungibile da Internet. Le realtà da controllare per prime sono le catene della distribuzione alimentare, la logistica del freddo e le aziende che affidano la manutenzione degli impianti a un fornitore esterno con accesso da remoto: proprio i fornitori sono gli unici a cui il CERT-FR consente di lasciare l’accesso, in caso di sospetta compromissione.

La produzione, la trasformazione e la distribuzione di alimenti sono tra i settori della direttiva NIS2. Se la tua azienda vi rientra, la compromissione di un sistema che controlla gli impianti è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN.

Cosa fare subito

Le misure indicate dal CERT-FR:

1. Scollega o filtra l’accesso alle istanze AK-SM e AK-SC.
2. Se l’amministrazione da remoto è indispensabile, come prima misura temporanea limita l’accesso a indirizzi IP di fiducia. Il CERT-FR consiglia comunque di seguire le sue raccomandazioni di rafforzamento, in particolare il documento CERTFR-2025-DUR-003, «Raccomandazioni per gli operatori del settore dell’energia e dell’acqua».

In caso di sospetta compromissione, il CERT-FR indica di:

1. filtrare l’accesso di rete alle istanze AK-SM e AK-SC, consentendolo solo ai fornitori di servizi;
2. eseguire un ripristino alle impostazioni di fabbrica (factory reset);
3. applicare tutti i correttivi di sicurezza disponibili;
4. ruotare i segreti (password e altre credenziali);
5. verificare gli account esistenti;
6. riconfigurare completamente il dispositivo.

Il ripristino di fabbrica cancella la configurazione, che va poi rifatta (l’ultimo passo): pianificalo con chi gestisce l’impianto, per limitare il fermo della refrigerazione.

Per sapere se sei esposto, parti dall’inventario: quali dispositivi AK-SM e AK-SC hai, in quali sedi, e se la loro interfaccia di gestione è raggiungibile da Internet, direttamente o tramite le regole aperte per l’installatore sul router o sul firewall della sede.

Come aiuta ARXDOME

ARX Expose mostra cosa vede un attaccante da fuori: porte aperte e prodotti riconosciuti sugli indirizzi pubblici della tua azienda, utili per scoprire se un’interfaccia di gestione è raggiungibile da Internet. ARX Watch trova sulla rete aziendale i dispositivi su cui non è installato nulla, ne identifica porte e servizi e avvisa quando ne compare uno nuovo. Con ARX Sentry i log dei firewall arrivano nel portale, e il perimetro resta sotto controllo.

Ultimo aggiornamento: 12 ottobre 2026