Supermercati francesi: frigoriferi Danfoss sabotati da remoto

Nella notte tra domenica 11 e lunedì 12 ottobre 2026 centinaia di supermercati francesi hanno trovato banchi frigo e congelatori spenti o, peggio, in riscaldamento. Gli attaccanti hanno preso il controllo da remoto dei sistemi di regolazione della refrigerazione, prodotti dalla danese Danfoss, e hanno avviato lo sbrinamento forzato degli impianti. Prodotti freschi e surgelati sono stati buttati.

Il 12 ottobre il CERT-FR ha pubblicato un’allerta sulle compromissioni dei Danfoss AK-SM e AK-SC con l’interfaccia di gestione esposta su Internet, di cui abbiamo già scritto su ARX News. Questo articolo raccoglie quello che si è saputo dopo: vittime, meccanismo, modelli colpiti e vulnerabilità note.

Cosa è successo

L’attacco è stato confermato pubblicamente da Dominique Schelcher, amministratore delegato di Coopérative U (Hyper U, Super U, U Express), che lo ha definito «di estrema gravità» e «inedito». Le cifre sui negozi colpiti variano a seconda delle fonti:

• Groupement Mousquetaires ha indicato a Infosecurity Magazine 150 Intermarché e 30 Netto; all’AFP, secondo DataBreaches.net, 150–200 Intermarché; la rete televisiva BFMTV, citata da The Record, parla di circa 300 negozi Intermarché e Netto;
• Coopérative U: meno di 100 punti vendita secondo BFMTV, quasi 100 secondo l’AFP;
• Carrefour: 80 negozi su 6.000, secondo un portavoce sentito da Infosecurity Magazine; Groupe Casino parla del 5% dei Monoprix;
• E.Leclerc è stato nominato dal commissario europeo all’agricoltura Christophe Hansen; l’insegna non ha commentato.

Nel complesso, secondo BleepingComputer, i media francesi stimano tra 250 e 350 negozi colpiti. Solo due punti vendita di Haguenau, in Alsazia, avrebbero perso merce per 270.000 euro (BFMTV). La procura di Parigi ha aperto un’indagine e l’ANSSI ha dichiarato di essere mobilitata a livello nazionale ed europeo. Nessun gruppo ha rivendicato l’attacco.

Dettagli tecnici

Il meccanismo. Secondo BFMTV, ripresa da più testate, gli attaccanti hanno forzato cicli di sbrinamento continui con una temperatura impostata fino a 50 °C. ZATAZ precisa che 50 °C è il valore impostato, non necessariamente la temperatura raggiunta nei banchi. In molti negozi le modifiche sarebbero partite intorno a mezzanotte, ore prima dell’arrivo del personale; secondo Help Net Security alcuni punti vendita hanno salvato parte della merce perché colpiti più tardi o grazie ad allarmi arrivati in tempo.

I dispositivi. Danfoss, in una dichiarazione a ZATAZ ripresa da Infosecurity Magazine e LeMagIT, parla di un «numero limitato» di sistemi e indica che la maggior parte sono:

• AK-SM800 e AK-SC355: prodotti di vecchia generazione a fine vita, senza più aggiornamenti software né di sicurezza;
• AK-SM800A con un firmware obsoleto.

Un portavoce di Intermarché ha precisato a Infosecurity Magazine che le console colpite avevano funzioni di controllo da remoto senza un canale di comunicazione adeguatamente protetto. ZATAZ, da una sola fonte di settore, riferisce che sarebbero state prese di mira versioni del software precedenti alla 4.

Vulnerabilità note. Nessuna fonte ha confermato quale via d’accesso sia stata usata. Per gli AK-SM 800A sono note:

• CVE-2025-41450, aggiramento dell’autenticazione, che secondo LeMagIT riguarda le versioni precedenti alla 4.2;
• CVE-2025-41451, iniezione di comandi con esecuzione di codice da remoto;
• CVE-2025-41452, iniezione di configurazione nel server web integrato.

Le date divergono: LeMagIT colloca il primo avviso di Danfoss a marzo 2025, BleepingComputer cita gli avvisi della CISA di maggio e agosto 2025. Infosecurity Magazine elenca anche la CVE-2023-25915. Le vulnerabilità sono state trovate dal Team82 di Claroty, che ad agosto 2026 ha mostrato come un controller compromesso possa spegnere il freddo continuando a mostrare temperature normali.

L’esposizione. Le stime dei dispositivi Danfoss raggiungibili da Internet variano: oltre 2.700 secondo Claroty, 3.726 controller in una ricerca Shodan del 19 agosto citata da Infosecurity Magazine, 2.752 sistemi di cui 1.590 in Francia secondo Baptiste Robert (Predicta Lab), quasi 3.000 in Francia secondo LeMagIT.

MITRE ATT&CK for ICS. Dai fatti riportati, la nostra lettura è: T0883 (Internet Accessible Device), T0836 (Modify Parameter) per la modifica di sbrinamento e temperatura, T0879 (Damage to Property) per la merce distrutta. Le fonti non pubblicano indicatori di compromissione.

Lo stesso 12 ottobre Ahold Delhaize ha spento alcuni sistemi per un incidente nei Paesi Bassi e in Belgio: secondo Help Net Security e BleepingComputer non c’è nessun elemento che colleghi i due casi.

Impatto per le aziende europee e italiane

Gli AK-SM e AK-SC sono diffusi in tutta Europa nella distribuzione alimentare, nella logistica del freddo e, come ricorda Claroty, anche in magazzini, farmaceutica e chimica. Il caso francese mostra che un attacco a un sistema OT poco protetto produce danni fisici immediati: merce persa, negozi da rifornire, rischi per la sicurezza alimentare. Produzione, trasformazione e distribuzione di alimenti sono tra i settori della direttiva NIS2: se la tua azienda vi rientra, la compromissione di un controller degli impianti è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN. Lo stesso vale per la catena del freddo dei farmaci in ambito sanitario.

Cosa fare subito

1. Inventario: elenca i controller Danfoss (e in generale i sistemi di regolazione del freddo) di ogni sede, con modello e versione del firmware.
2. Togli l’esposizione diretta: l’interfaccia di gestione non deve essere raggiungibile da Internet. L’accesso da remoto, anche dell’installatore, va fatto da una rete di gestione separata o da una VPN, come raccomanda anche Danfoss; nell’immediato limita l’accesso a indirizzi IP di fiducia.
3. Aggiorna gli AK-SM800A all’ultimo firmware disponibile e pianifica la sostituzione di AK-SM800 e AK-SC355, che non riceveranno più correzioni.
4. Credenziali e account: cambia le password, eliminando quelle predefinite, e verifica gli account presenti sui controller.
5. Controlla le impostazioni: programmi di sbrinamento, temperature impostate e allarmi, confrontandoli con la configurazione attesa.
6. Allarmi indipendenti: visto che un controller compromesso può falsare le letture, affianca sonde di temperatura e allarmi che non dipendano dal controller stesso.
7. In caso di sospetta compromissione segui le misure del CERT-FR: filtro dell’accesso, ripristino di fabbrica, correttivi, rotazione dei segreti e riconfigurazione completa.

Come aiuta ARXDOME

ARX Expose mostra cosa vede un attaccante da fuori: porte aperte e prodotti riconosciuti sugli indirizzi pubblici della tua azienda, per scoprire se l’interfaccia di un controller è raggiungibile da Internet. ARX Watch trova sulla rete aziendale i dispositivi su cui non è installato nulla, come i controller degli impianti, e avvisa quando ne compare uno nuovo. Con ARX Sentry i log dei firewall arrivano nel portale e gli accessi al perimetro restano sotto controllo.

Ultimo aggiornamento: 12 ottobre 2026