Controllori di refrigerazione Danfoss dirottati in centinaia di supermercati francesi, con sbrinamento continuo forzato e perdita massiccia di alimenti

Nella notte tra l'11 e il 12 ottobre 2026, degli attaccanti hanno preso il controllo da remoto dei controllori di supervisione della refrigerazione Danfoss in diverse centinaia di supermercati francesi e hanno forzato banchi frigo, congelatori e celle frigorifere in un ciclo di sbrinamento continuo, con setpoint alzati a circa 50 °C. Le prime manipolazioni sono state registrate poco dopo la mezzanotte; l'Intermarché di Grand-Couronne (Seine-Maritime) ha datato la modifica sul proprio sistema alle 4:44. Il personale arrivato lunedì mattina ha trovato congelatori normalmente mantenuti a -18 °C che segnavano temperature positive, un display Danfoss che indicava ancora 26 °C e, all'Intermarché di La Haye (Manche), banchi deformati dal calore, che secondo le testimonianze avrebbe raggiunto gli 80 °C. La procura di Parigi ha dichiarato che l'attacco ha causato perdite di alimenti e incendi; in un punto vendita della Gironda una cella frigorifera arrivata a 50 °C ha attivato l'impianto sprinkler. Le Monde ha riferito che gli attaccanti hanno anche allungato la durata dello sbrinamento da una a otto ore, ritardando così gli allarmi di temperatura, e diversi dipendenti dei punti vendita hanno raccontato al sito di settore Je Bosse en Grande Distribution che la funzione di allerta era stata disattivata, per cui i frigoristi reperibili non sono mai stati chiamati. Le apparecchiature compromesse erano system manager Danfoss ADAP-KOOL: l'AK-SM 800 (dichiarato a fine vita nel maggio 2021), l'AK-SC 355 (ritirato dal mercato nel 2016) e unità di generazione corrente AK-SM 800A con firmware obsoleto. Danfoss ha dichiarato all'AFP che la maggior parte delle unità colpite erano prodotti legacy che non ricevono più aggiornamenti software o di sicurezza. L'AK-SM 800A era stato oggetto dell'avviso CISA ICSA-25-140-03 relativo alla CVE-2025-41450, un bypass di autenticazione tramite un login di supporto nascosto con "codice del giorno" derivato dalla data (CVSS v3.1 8.2, corretto nella release R4.2 nel marzo 2025), insieme alla CVE-2025-41451, una command injection post-autenticazione nelle impostazioni di invio degli allarmi via e-mail, e alla CVE-2025-41452, una injection nella configurazione di nginx, entrambe corrette nella R4.3.1 nell'agosto 2025. Claroty Team82 ha pubblicato la ricerca di base con il titolo "Freeze the Controller, Defrost the Food" (congela il controllore, scongela il cibo) il 9 agosto 2026 e ha contato 2.765 interfacce web AK-SM 800A raggiungibili da Internet. Il 12 ottobre Predicta Lab ha contato 2.752 sistemi Danfoss esposti, 1.590 dei quali in Francia, e LeMagIT ha individuato quasi 3.000 indirizzi IP francesi che servivano la console Danfoss StoreView. Una nota tecnica Danfoss dell'ottobre 2025 aveva già descritto attacchi del 2022 contro 16 supermercati in Russia e 40 punti vendita in Israele che utilizzavano unità AK-SM 800 senza protezione di firewall o VPN. Né Danfoss, né l'ANSSI, né la procura hanno confermato quale vulnerabilità o via di accesso sia stata utilizzata, e nulla di pubblico indica che l'infrastruttura hosted di Danfoss sia stata violata. Gli investigatori non hanno escluso controllori legacy esposti, lo sfruttamento delle CVE pubblicate, credenziali di manutenzione rubate o una sessione di accesso remoto dirottata presso un'impresa di manutenzione frigorifera. Les Mousquetaires (Intermarché e Netto) ha segnalato almeno 300 punti vendita colpiti, circa 100 dei quali hanno smaltito tutta la merce refrigerata. Coopérative U ha segnalato poco meno di 100 punti vendita, Carrefour ha confermato 80 dei suoi circa 6.000 negozi, Monoprix circa 30 ed E.Leclerc ha dichiarato che "diversi punti vendita" sono stati colpiti attraverso uno dei suoi fornitori di impianti frigoriferi. I dipendenti hanno segnalato problemi anche presso Carrefour Market, Carrefour City, Metro, Picard e macellerie indipendenti, nessuno dei quali confermato ufficialmente. Una nota interna Intermarché datata 12 ottobre "conferma l'esistenza di un attacco informatico avvenuto nella notte presso Danfoss", e alle 11 si è tenuta una riunione di crisi con Danfoss e l'impresa di manutenzione frigorifera Axima. La sezione per la criminalità informatica della procura di Parigi ha aperto un'indagine lo stesso giorno e l'ha affidata all'Office anti-cybercriminalité (OFAC). Il primo ministro Sébastien Lecornu ha incaricato l'ANSSI, che ha dichiarato di aver identificato una vulnerabilità nel software del fornitore danese, contattato Danfoss, avviato la ricerca di altri operatori francesi esposti e iniziato a coordinarsi con le controparti europee. Il CERT-FR ha emesso un avviso in cui dichiarava di essere a conoscenza di numerose compromissioni di dispositivi Danfoss delle serie AK-SM e AK-SC e che esporre un'interfaccia di gestione a Internet è contrario alle buone pratiche. Il commissario europeo all'Agricoltura Christophe Hansen ha affermato che "l'uso del cibo come arma è diventato una realtà". Nessun gruppo ha rivendicato l'attacco e non è stata formulata alcuna attribuzione. Nello stesso fine settimana, Ahold Delhaize ha reso noto un distinto "incidente di cybersicurezza" iniziato nel pomeriggio di domenica 11 ottobre. L'incidente ha messo fuori servizio siti web, app, servizio clienti e sistemi logistici di Albert Heijn, Etos e Gall & Gall nei Paesi Bassi, ha bloccato gli ordini online di Delhaize in Belgio, ha fermato il lavoro in diversi centri di distribuzione Albert Heijn, ha lasciato le etichette elettroniche da scaffale con i prezzi promozionali della settimana precedente e ha messo offline i siti web di Food Lion, Hannaford, Stop & Shop e Giant negli Stati Uniti. Nessun elemento collega i due eventi.

Merce fresca e surgelata distrutta in diverse centinaia di punti vendita in tutta la Francia: almeno 300 negozi Intermarché e Netto, poco meno di 100 negozi Coopérative U, 80 negozi Carrefour, circa 30 negozi Monoprix e diversi negozi E.Leclerc. Le perdite segnalate per singolo punto vendita andavano da circa 50.000 euro (Intermarché Haguenau, Intermarché Guerlédan) a 150.000-200.000 euro (60 metri cubi di alimenti in un negozio della Gironda) e 220.000 euro (Super U Wasselonne). Les Mousquetaires ha stimato le perdite nazionali in diversi milioni di euro, e Intermarché ha avvertito che le polizze assicurative dei punti vendita potrebbero non coprire questo tipo di evento. Sono stati segnalati incendi e attivazioni degli sprinkler, e a La Haye i banchi hanno subito danni fisici. I reparti fresco e surgelati sono rimasti chiusi per giorni, i fornitori hanno visto annullare gli ordini e alcuni punti vendita prevedevano di riaprire i reparti surgelati solo a fine settimana. In Francia non sono stati segnalati feriti, furti di dati né interruzioni dei sistemi di cassa. Il concomitante incidente Ahold Delhaize ha sospeso la consegna a domicilio della spesa online nei Paesi Bassi e in Belgio, annullato tutti gli ordini già effettuati, fermato diversi centri di distribuzione e lasciato le etichette elettroniche da scaffale con prezzi non aggiornati.