Attacchi ai frigoriferi: il vero rischio è nei manutentori

Il contesto degli attacchi ai frigoriferi

Il 12 ottobre i banchi frigo di diversi supermercati francesi sono stati portati a 50 °C, una notizia che sembrava più una curiosità di cronaca che una minaccia reale. Quattro settimane dopo lo stesso fenomeno si è verificato in Italia, con i primi casi registrati in Sicilia e segnalazioni in altre regioni. L’evento è finito all’ordine del giorno del Comitato nazionale per l’ordine e la sicurezza pubblica e, nelle riunioni con i clienti, la domanda è diventata ricorrente: “noi siamo messi così?”.

Le indagini hanno già ricostruito una prima ricostruzione degli eventi; tuttavia, l’obiettivo di questo articolo è spostare l’attenzione dal “chi” al “come” e, soprattutto, al ruolo dei manutentori nella gestione di questi impianti.

Fatti concreti: cosa è successo in ottobre‑novembre 2024

Tra l’11 e il 13 ottobre, in tutta la Francia, circa 700 supermercati hanno riscontrato problemi di temperatura nei frigoriferi e nelle celle frigorifere. Il CERT‑FR ha identificato i controller più diffusi nella refrigerazione commerciale: le piattaforme Danfoss, Copeland e Dixell XWEB.

Nei primi giorni di novembre lo stesso schema è ricomparso in diversi paesi europei, Italia compresa. In Italia i primi casi sono stati segnalati in Sicilia, seguiti da altre regioni del Sud e del Nord.

Dal punto di vista tecnico, l’ANSSI non ha rilevato malware su misura, zero‑day o logiche particolari all’interno dei dispositivi. Gli attaccanti hanno sfruttato interfacce di amministrazione esposte su Internet, credenziali di fabbrica o molto deboli, e hanno operato tramite le funzioni native del costruttore: impostazione di setpoint più alti, sbrinamenti forzati e disattivazione delle notifiche di allarme.

Le attività di ricognizione sono state tipiche: scansioni di IP pubblici, attacchi di forza bruta su VNC e utilizzo di dizionari di password di default. Si tratta di tecniche che un penetration tester esperto avrebbe individuato in un assessment di mezza giornata.

Dati di osservazione

• 22 ottobre, Forescout ha contato 12.976 osservazioni di servizi di controllo della refrigerazione su 6.017 indirizzi IP in 99 paesi.
• Bitsight, sul solo Danfoss StoreView, ha registrato quasi il raddoppio dei risultati grezzi tra ottobre e il 3 novembre; tuttavia, escludendo honeypot e rumore, il numero di eventi credibili è stato significativamente inferiore.
• Questi numeri, pur da prendere con cautela, indicano che non si tratta di casi isolati, ma di un modello operativo diffuso.

Perché gli impianti sono esposti: il ruolo della manutenzione

I controller di refrigerazione sono progettati per operare in reti chiuse. Tuttavia, la necessità di manutenzione a distanza porta spesso ad aprire porte sul router o a configurare accessi remoti per consentire al frigorista o all’installatore di monitorare gli allarmi senza dover percorrere grandi distanze.

Una volta aperta la porta, l’accesso rimane attivo e nessuno ne verifica più la necessità. Questo crea una zona grigia in cui l’IT gestisce server, PC e posta, mentre gli impianti (refrigerazione, condizionamento, videosorveglianza, building automation) sono governati dall’ufficio tecnico o dal fornitore, senza una visibilità chiara su:

• quanti dispositivi sono collegati;
• chi vi accede;
• con quali credenziali;
• da dove avvengono gli accessi.

Le indagini in Germania hanno evidenziato che fornitori esterni di gestione remota, con un singolo account di teleassistenza compromesso o un gateway condiviso, possono propagare modifiche su più catene di supermercati contemporaneamente. Non va esclusa la possibilità che credenziali rubate da un infostealer sul portatile di un tecnico siano la causa principale.

Implicazioni per la NIS2

Per le organizzazioni soggette alla NIS2, recepita in Italia con il d.lgs. 138/2024, la sicurezza della catena di approvvigionamento e la gestione degli accessi non sono più semplici buone pratiche, ma obblighi normativi. Un fornitore che accede da remoto a un impianto critico è considerato parte della catena di approvvigionamento e deve rispettare gli stessi standard di sicurezza.

Misure concrete per ridurre il rischio

Non è necessario ricostruire interamente l’infrastruttura. È sufficiente adottare un approccio sistematico e responsabile:

1. Inventario completo

Partire dagli IP pubblici dei siti e verificare cosa risponde da fuori. Se l’azienda non dispone delle competenze interne, è possibile affidarsi a scanner esterni per ottenere una mappatura iniziale.

2. Rimozione delle interfacce di amministrazione da Internet

Gli accessi devono avvenire esclusivamente tramite VPN o sistemi di accesso remoto che garantiscano:

• autenticazione forte (MFA);
• registrazione delle sessioni;
• cambio obbligatorio delle password di fabbrica, con credenziali uniche per ogni sito.

3. Revisione dei contratti con i manutentori

Gli accordi devono prevedere:

• apertura degli accessi su richiesta e chiusura immediata al termine dell’intervento;
• obbligo per il fornitore di dichiarare le proprie misure di protezione delle credenziali e dei dispositivi;
• avviso tempestivo in caso di anomalie o compromissioni.

4. Monitoraggio indipendente

Se un attore può spegnere gli allarmi, è indispensabile un controllo autonomo su temperature e configurazioni, con notifiche anche fuori orario. Una sonda con SIM che invia SMS è una soluzione a basso costo e indipendente dall’impianto.

5. Segmentazione della rete e piano di risposta

L’impianto di refrigerazione non deve comunicare direttamente con la rete delle casse o degli uffici. Inoltre, chi gestisce il punto vendita deve conoscere:

• chi contattare in caso di incidente;
• le procedure per passare a una gestione manuale.

Conclusioni: la lezione da trarre

Gli attacchi ai frigoriferi non sono stati sofisticati; è proprio questa loro semplicità a renderli istruttivi. Dimostrano che la superficie d’attacco di un’organizzazione non coincide con il perimetro tradizionale dell’IT e che il primo punto d’ingresso è spesso un accesso aperto per comodità e poi dimenticato.

Che gli aggressori siano gruppi filorussi in cerca di visibilità o semplici opportunisti, la risposta resta la stessa: conoscere i dispositivi collegati, sapere chi vi accede e rilevare rapidamente comportamenti anomali. Tutte queste azioni possono essere implementate in poche settimane, ma è fondamentale farle prima che il prossimo bersaglio sia un impianto più critico di un semplice banco frigo.