Poco dopo la mezzanotte di lunedì 12 ottobre 2026, i controllori di refrigerazione di diverse centinaia di supermercati francesi hanno iniziato a riscaldare anziché raffreddare. Degli attaccanti che avevano ottenuto accesso remoto alle unità di supervisione Danfoss hanno alzato i setpoint di temperatura a circa 50 °C e bloccato le apparecchiature in un ciclo di sbrinamento continuo. Quando i direttori dei punti vendita sono arrivati, i congelatori che normalmente mantengono -18 °C segnavano temperature positive, un display Danfoss indicava ancora 26 °C e all’Intermarché di La Haye (Manche) i banchi si erano deformati sotto un calore che il personale ha stimato in 80 °C. La procura di Parigi ha confermato perdite di alimenti e incendi. Danfoss ha confermato che i suoi controllori erano il bersaglio. Il primo ministro Sébastien Lecornu ha affidato il caso all’ANSSI nel pomeriggio dello stesso giorno. La scheda completa dell’incidente è nel database.
Che cosa hanno fatto gli attaccanti
La refrigerazione commerciale di un supermercato è gestita da un controllore di supervisione a livello di sito che coordina i controllori di banco di ogni vetrina espositiva, cella frigorifera e centrale compressori. Danfoss commercializza questo livello come la linea di system manager ADAP-KOOL e dichiara di avere più di 50.000 installazioni di questo tipo nella distribuzione alimentare. Ogni banco esegue uno sbrinamento programmato, in genere una o due ore al giorno, durante il quale resistenze elettriche o gas caldo sciolgono il ghiaccio dall’evaporatore mentre il prodotto resta dietro una porta chiusa. Gli attaccanti hanno abusato di questa funzione. Invece di un breve ciclo quotidiano, lo sbrinamento è rimasto attivo in continuo con la temperatura obiettivo impostata a 50 °C.
L’Intermarché di Grand-Couronne, vicino a Rouen, ha datato la modifica sul proprio sistema alle 4:44. Le Monde ha riferito che gli attaccanti hanno anche allungato la durata dello sbrinamento da una a otto ore, spostando in avanti il momento in cui sarebbero scattati gli allarmi di temperatura. Diversi dipendenti hanno raccontato al sito di settore Je Bosse en Grande Distribution che la stessa funzione di allerta era stata disattivata, per cui i frigoristi reperibili non sono mai stati chiamati. I punti vendita che per caso hanno aperto presto, o i cui direttori ricevevano ancora un avviso remoto, hanno salvato parte della merce. La maggior parte no. In un negozio della Gironda una cella frigorifera arrivata a 50 °C ha fatto scattare l’impianto sprinkler. Thomas Lazzaroni di Cyberattaque.org ha descritto il metodo come una deviazione della modalità di sbrinamento in un ciclo prolungato di diverse ore, e Antoine Hautin della società di consulenza Almond ha dichiarato all’AFP che colpire centinaia di unità contemporaneamente indicava un certo grado di sofisticazione e una ricognizione preliminare.
L’operazione non ha sottratto dati e non ha toccato i sistemi di cassa. In base alle norme francesi sulla catena del freddo, un prodotto che è uscito dalla propria fascia di temperatura non può essere venduto, quindi i punti vendita colpiti hanno seguito una procedura prestabilita: registrare le temperature, fotografare ogni unità, ottenere un verbale di ufficiale giudiziario (constat d’huissier) per l’assicuratore, rimuovere e contare la merce e distruggerla.
Le apparecchiature e le vulnerabilità note
Danfoss ha dichiarato all’AFP il 12 ottobre che la maggior parte delle unità colpite erano prodotti legacy che non ricevono più aggiornamenti software o di sicurezza. Ha citato l’AK-SM 800, dichiarato a fine vita nel maggio 2021, e l’AK-SC 355, ritirato dal mercato nel 2016, e ha riconosciuto che alcune unità AK-SM 800A di generazione corrente utilizzavano firmware obsoleto. L’azienda ha affermato di essere in stretto contatto con i clienti francesi colpiti e di stare distribuendo “aggiornamenti firmware dove disponibili, protezioni di rete rafforzate e la rimozione dell’esposizione diretta a Internet dove applicabile”.
L’AK-SM 800A ha una storia di sicurezza documentata. All’inizio del 2025 Tomer Goldschmidt di Claroty Team82 ha segnalato a Danfoss un percorso di autenticazione nascosto nell’interfaccia web integrata del controllore: un login di supporto la cui password è derivata dalla data corrente del dispositivo, che i ricercatori sono riusciti a ricostruire. Danfoss ha pubblicato l’avviso DSA-2025-03-01 e la release R4.2 il 24 marzo 2025, e la falla è diventata la CVE-2025-41450 (CVSS v3.1 8.2) quando CISA ha emesso l’avviso ICSA-25-140-03 il 20 maggio 2025. Altri due bug, una command injection post-autenticazione attraverso le impostazioni di invio degli allarmi via e-mail (CVE-2025-41451) e una injection nella configurazione di nginx (CVE-2025-41452), sono stati corretti nella R4.3.1 nell’agosto 2025 e aggiunti all’avviso CISA il 26 agosto 2025. Team82 ha presentato pubblicamente il lavoro il 9 agosto 2026 con il titolo “Freeze the Controller, Defrost the Food” (congela il controllore, scongela il cibo), insieme a 23 vulnerabilità nei supervisori Copeland XWEB Pro, e ha riferito che una scansione Censys aveva individuato 2.765 interfacce di gestione AK-SM 800A esposte a Internet.
I numeri sull’esposizione rilevati dopo l’attacco erano peggiori. Il 12 ottobre Baptiste Robert di Predicta Lab ha contato 2.752 sistemi Danfoss raggiungibili da Internet, 1.590 dei quali in Francia. Valéry Rieß-Marchive di LeMagIT ha individuato quasi 3.000 indirizzi IP francesi che servivano la console Danfoss StoreView, alcuni con date di ultima modifica comprese tra il 2021 e il 2024. Shodan ha restituito più di 4.500 dispositivi Danfoss nel mondo. Una nota tecnica Danfoss dell’ottobre 2025 aveva già descritto due precedenti incidenti dello stesso tipo: 16 supermercati in Russia e 40 punti vendita in Israele attaccati nel 2022 attraverso unità AK-SM 800 esposte su Internet senza firewall né VPN.
Nulla di tutto questo dimostra quale percorso abbiano seguito gli attaccanti l’11 ottobre. L’avviso CISA, alla sua ultima revisione, non registrava alcuno sfruttamento noto delle tre CVE. Le unità AK-SM 800 e AK-SC 355 che costituivano la maggior parte delle vittime sono del tutto anteriori alla ricerca sull’AK-SM 800A, e un dispositivo del 2016 esposto su un indirizzo pubblico può non richiedere alcuna vulnerabilità. Nulla di pubblico suggerisce che l’infrastruttura hosted di Danfoss sia stata violata, anche se Les Mousquetaires ha scelto di descrivere l’evento come un attacco “presso Danfoss”. Gli investigatori non hanno escluso controllori legacy esposti, lo sfruttamento delle CVE pubblicate, credenziali di manutenzione rubate o una sessione di accesso remoto dirottata presso un’impresa di manutenzione frigorifera. L’avviso del CERT-FR del 12 ottobre afferma soltanto che l’agenzia è a conoscenza di numerose compromissioni di dispositivi delle serie AK-SM e AK-SC e che esporre un’interfaccia di gestione a Internet è contrario alle buone pratiche.
Scala e perdite
I conteggi dei punti vendita sono cambiati per tutta la giornata e differiscono ancora a seconda della fonte. Les Mousquetaires, che gestisce Intermarché e Netto, è passato da circa 150 negozi al mattino ad almeno 300 in serata, con circa 100 punti vendita che hanno smaltito l’intero assortimento refrigerato. Coopérative U ha segnalato poco meno di 100 punti vendita. Carrefour ha confermato 80 dei suoi circa 6.000 negozi francesi. Monoprix ha indicato circa 30 negozi, pari al 5 per cento della propria rete. E.Leclerc ha dichiarato che diversi punti vendita sono stati colpiti attraverso uno dei suoi fornitori di impianti frigoriferi. I dipendenti hanno segnalato perdite anche presso Carrefour Market, Carrefour City, Metro e Picard, e presso macellerie indipendenti che utilizzano la stessa piattaforma di supervisione. Le stime aggregate andavano da 250-350 punti vendita (BleepingComputer) a più di 400 (RTS) e circa 500 (Cooling Post). L’osservazione di un dipendente riassume lo schema: ogni negozio il cui monitoraggio della temperatura passava dalla piattaforma Danfoss è stato colpito, a prescindere dall’insegna.
Le perdite per singolo punto vendita sono state stimate in circa 50.000 euro all’Intermarché di Haguenau e all’Intermarché di Guerlédan, tra 150.000 e 200.000 euro per 60 metri cubi di alimenti in un negozio della Gironda e 220.000 euro al Super U di Wasselonne. Les Mousquetaires ha stimato il totale nazionale in diversi milioni di euro. Intermarché ha avvertito che l’assicurazione standard dei punti vendita potrebbe non coprire un attacco informatico agli impianti frigoriferi, e resta aperta la questione di chi pagherà alla fine: l’assicuratore, l’impresa di manutenzione frigorifera o Danfoss. I reparti fresco e surgelati sono rimasti chiusi per giorni, i fornitori hanno visto annullare gli ordini e alcuni punti vendita non prevedevano di riaprire i reparti surgelati prima della fine della settimana.
Risposta ufficiale
L’amministratore delegato di Coopérative U Dominique Schelcher ha reso pubblica la notizia su X nella tarda mattinata del 12 ottobre, confermando che “un attacco informatico sta colpendo dalla scorsa notte gli impianti di produzione del freddo di diversi punti vendita della nostra rete” e definendo “estremamente grave e senza precedenti” un attacco ad apparecchiature essenziali per la conservazione degli alimenti. Una nota interna Intermarché datata lo stesso giorno “conferma l’esistenza di un attacco informatico avvenuto nella notte presso Danfoss”, e alle 11 è iniziata una riunione di crisi con Danfoss e l’impresa di manutenzione frigorifera Axima.
La sezione per la criminalità informatica della procura di Parigi ha aperto d’ufficio a mezzogiorno un’indagine riguardante “l’attacco informatico su larga scala che colpisce i frigoriferi di diverse grandi catene della distribuzione alimentare in tutta la Francia” e l’ha affidata all’Office anti-cybercriminalité (OFAC). Nel pomeriggio l’ufficio del primo ministro ha dichiarato che Lecornu seguiva personalmente il caso e aveva incaricato l’ANSSI, la quale ha riferito di aver identificato una vulnerabilità nel software del fornitore danese, contattato Danfoss, avviato la ricerca di altri operatori francesi che utilizzano le stesse apparecchiature e iniziato a coordinarsi con le controparti europee, perché altri paesi potrebbero essere colpiti. Il commissario europeo all’Agricoltura Christophe Hansen ha condannato l’attacco, scrivendo che “la sicurezza alimentare richiede maggiore attenzione a tutti i livelli perché l’uso del cibo come arma è diventato una realtà”. Nessun gruppo ha rivendicato l’attacco e nessun organismo ufficiale ha proposto un’attribuzione.
L’incidente Ahold Delhaize
Lo stesso fine settimana ha prodotto un secondo incidente nel settore della distribuzione alimentare, che in base alle evidenze attuali non è collegato. Ahold Delhaize, casa madre di Albert Heijn, Delhaize e cinque insegne statunitensi, ha iniziato a subire quello che in seguito ha definito un incidente di cybersicurezza nel pomeriggio di domenica 11 ottobre e lo ha reso noto alle 08:29 del 12 ottobre in una comunicazione depositata come informazione privilegiata ai sensi del regolamento UE sugli abusi di mercato. L’azienda ha messo offline i sistemi in via precauzionale. Nei Paesi Bassi, siti web, app e servizio clienti di Albert Heijn, Etos e Gall & Gall sono andati fuori servizio, la consegna a domicilio della spesa online si è fermata, tutti gli ordini effettuati sono stati annullati, i programmi fedeltà tra cui Koopzegels e Air Miles hanno smesso di funzionare e il lavoro si è fermato in diversi centri di distribuzione Albert Heijn. Le etichette elettroniche da scaffale nei negozi hanno continuato a mostrare i prezzi promozionali della settimana precedente, tanto che Albert Heijn ha invitato i clienti a conservare gli scontrini per il rimborso. Delhaize in Belgio non poteva accettare nuovi ordini online. Negli Stati Uniti i siti web di Food Lion, Hannaford, Stop & Shop, Giant Food e The Giant Company sono andati offline, e il personale di Stop & Shop ha segnalato di aver perso l’accesso ai turni e alle buste paga.
Tom’s Hardware e altri hanno riportato i due eventi insieme come un attacco informatico ai supermercati europei che ha colpito refrigerazione, consegne e prezzi in negozio. Ahold Delhaize non ha detto che cosa sia successo, nessun gruppo ransomware lo ha rivendicato e né le autorità francesi né quelle olandesi lo hanno collegato all’attacco Danfoss. Ahold Delhaize aveva subito un precedente incidente nel novembre 2024 che aveva esposto i dati di più di 2 milioni di persone e messo offline l’e-commerce di Hannaford.
Precedenti nell’archivio
La refrigerazione è già stata attaccata in passato, ma mai con questa ampiezza. Nel novembre 2024 l’identità hacktivista CARR, diretta dal GRU, ha raggiunto il sistema di controllo di un impianto di lavorazione carni di Los Angeles attraverso un HMI VNC esposto a Internet, ha fatto deperire migliaia di libbre di carne e ha causato una perdita di ammoniaca. Nel maggio 2026 un’identità collegata all’Iran ha riconfigurato i controllori di refrigerazione industriale di un’azienda alimentare israeliana, ha bloccato le valvole in posizione aperta e ha distrutto tre compressori. L’attacco ransomware ad Americold del 2020 e l’attacco a JBS Foods del 2021 hanno interrotto la catena del freddo dal lato IT. A fine agosto 2026, i congelatori di più di una dozzina di spacci militari statunitensi (commissary) si sono guastati nel giro di due giorni, e Fort Huachuca ha riferito che ogni congelatore era stato messo in modalità sbrinamento; gli investigatori dell’Esercito e dell’Aeronautica non hanno pubblicato una causa.
L’analogo strutturale più vicino è lo sfruttamento di massa di un singolo modello di controllore esposto a Internet presso molti piccoli operatori: la campagna CyberAv3ngers contro i PLC Unitronics del 2023 e gli attacchi ai Rockwell MicroLogix dei sistemi idrici del Minnesota del luglio 2026. In ciascun caso le vittime condividevano un prodotto con una debolezza pubblica e un’interfaccia di gestione su un indirizzo instradabile, e l’attaccante non aveva bisogno di alcun punto d’appoggio in una rete aziendale. L’attacco ai supermercati francesi rientra nello stesso schema, con la refrigerazione della distribuzione al posto del trattamento delle acque.
Che cosa dovrebbero trarne i difensori
Refrigerazione, illuminazione, etichette elettroniche da scaffale, bilance e gestione dell’edificio in un supermercato sono di norma installate e mantenute da imprese esterne e restano fuori dalla governance IT del punto vendita. L’incidente francese mostra tutte le modalità di guasto contemporaneamente: apparecchiature da cinque a dieci anni oltre il fine vita, unità correnti senza firmware aggiornato, interfacce di gestione su indirizzi pubblici, un sistema di allerta che poteva essere silenziato dalla stessa interfaccia controllata dall’attaccante e nessun monitoraggio indipendente della temperatura su cui ripiegare. Gli operatori di unità AK-SM 800A dovrebbero verificare di essere sulla R4.3.1 o successiva; gli operatori di unità AK-SM 800 e AK-SC 355 non hanno alcuna patch da applicare e dovrebbero rimuovere i dispositivi da Internet e pianificarne la sostituzione. Registratori di temperatura indipendenti con allerta fuori banda avrebbero trasformato una perdita totale in una chiamata notturna al tecnico nella maggior parte dei punti vendita colpiti.