Controllori di refrigerazione Danfoss e Dixell: frigoriferi fino a 50 °C in centinaia di supermercati francesi, ACN chiede verifiche alla filiera del freddo

Nella notte dell'11 ottobre 2026 frigoriferi e congelatori di centinaia di supermercati francesi sono stati messi da remoto in sbrinamento e lasciati scaldare, con la merce da distruggere e in alcuni casi principi d'incendio. Fra le catene colpite ci sono Carrefour, Coopérative U, E.Leclerc, Intermarché e Monoprix; nei negozi Intermarché le temperature sono rimaste a 50 °C per sei ore. La procura di Parigi ha aperto un'inchiesta e il 13 ottobre il ministro dell'Economia Roland Lescure ha parlato di circa 700 supermercati colpiti sui circa 10.000 del paese, contro i 300-350 delle prime ricostruzioni. Gli attaccanti sono passati dai supervisori della refrigerazione, le interfacce web da cui operatori e manutentori regolano a distanza temperature, cicli di sbrinamento e allarmi. Il 12 ottobre il CERT-FR, il centro di risposta dell'agenzia nazionale francese ANSSI, ha diramato un'allerta sui controllori Danfoss delle serie AK-SM e AK-SC, estesa il giorno dopo ai supervisori XWEB di Copeland e Dixell; lo stesso 13 ottobre ACN ha pubblicato un proprio bollettino con misure urgenti per la grande distribuzione, la logistica alimentare, la refrigerazione industriale e i manutentori. Nessuno ha rivendicato l'attacco né chiesto un riscatto: il danno è tutto fisico, sulla merce e sugli impianti.

Il CERT-FR dichiara di essere a conoscenza di numerose compromissioni dei controllori e ritiene che campagne d'attacco contro questi apparati siano probabilmente ancora in corso; l'avviso, aggiornato l'ultima volta il 16 ottobre, non indica una vulnerabilità specifica e finora nessuna CVE è stata collegata all'attacco. Secondo SecurityWeek, Danfoss ha spiegato che gran parte degli apparati colpiti sono AK-SM 800, a fine vita dal 2021, e AK-SC 355, fuori produzione dal 2016, che non ricevono più aggiornamenti, insieme ad alcuni AK-SM 800A con firmware non aggiornato. Il 14 ottobre Copeland Controls ha riconosciuto in un advisory una vulnerabilità su una generazione di supervisori XWEB EVO fuori commercio e a fine vita, e la filiale francese di Dixell ricorda nello stesso documento che gli XWEB PRO ed EVO escono di fabbrica con utente Admin e password Admin. I dati di Censys danno la misura dell'esposizione: l'11 ottobre i pannelli Danfoss StoreView raggiungibili da internet erano quasi 3.000, 1.825 dei quali in Francia, e in maggioranza giravano su firmware precedenti alla 4.2, che consentono l'accesso amministrativo con un codice calcolabile dalla data del giorno; nessuna fonte indica però questo difetto, corretto da Danfoss nel 2025, come la via usata dagli attaccanti. Il 14 ottobre in Francia ne restavano 537, con un calo analogo, intorno al 70%, fra versioni aggiornate e vulnerabili: gli operatori hanno scollegato gli apparati invece di aggiornarli.

SecurityWeek riporta segnalazioni di casi anche in Spagna, Portogallo, Polonia, Germania e Belgio, ancora senza dettagli. In Italia non sono stati resi noti incidenti, e le misure di ACN vanno lette come un avviso preventivo davanti a una campagna confermata oltralpe; il legame con il nostro paese passa però dal produttore, perché l'advisory sugli XWEB porta in calce l'indirizzo di Copeland Controls ad Alpago, in provincia di Belluno. A doversene preoccupare è chi ha supervisori Danfoss AK-SM o AK-SC, oppure Copeland e Dixell XWEB, raggiungibili da internet, anche in modo indiretto tramite inoltro di porte, DMZ o un router 4G installato dal frigorista per la teleassistenza. Oltre alla grande distribuzione e alla logistica del freddo, nel perimetro pubblico rientrano cucine centralizzate, mense scolastiche e ospedaliere, magazzini alimentari e farmaceutici e mercati all'ingrosso, spesso con impianti gestiti a distanza da un manutentore esterno: è a lui che va chiesto per primo se l'impianto risponde da fuori. ACN estende lo stesso discorso alla climatizzazione e ai sistemi di gestione degli edifici. Il rischio non è nuovo: in una newsletter di ottobre 2025 Danfoss ricordava gli attacchi del 2022 contro 16 supermercati russi e 40 negozi israeliani, tutti con AK-SM 800 e, in Israele, senza firewall o VPN adeguati. Il frigorifero è diventato un apparato di rete, e come tale va censito.

• Versioni affette: controllori Danfoss della serie AK-SM (AK-SM 800, a fine vita dal 2021, e AK-SM 800A con firmware non aggiornato: la 4.3.1 è la prima versione che chiude le vulnerabilità note del 2025) e della serie AK-SC (AK-SC 355, fuori produzione dal 2016); supervisori Copeland XWEB e Dixell XWEB, in particolare la generazione XWEB EVO, fuori commercio e a fine vita. A prescindere dalla versione, è a rischio qualsiasi supervisore di questi tipi con l'interfaccia web raggiungibile da internet.
• Azione raccomandata: censire supervisori, controllori, HMI e accessi di teleassistenza, compresi router cellulari e collegamenti predisposti dai manutentori; togliere subito l'esposizione diretta su internet (niente inoltro di porte, DMZ o indirizzo IP pubblico) e verificarla dall'esterno, per esempio aprendo l'indirizzo pubblico del sito da un telefono con il Wi-Fi spento: la pagina di login non deve comparire; usare il filtraggio sugli indirizzi IP del manutentore solo come misura temporanea e consentire l'accesso remoto solo via VPN con autenticazione a più fattori, limitato ai sistemi necessari; cambiare le credenziali predefinite, usare account nominativi, disattivare quelli inutilizzati e ruotare le password dopo ogni intervento esterno; non lasciare software di controllo remoto come AnyDesk o TeamViewer su postazioni sempre accese; aggiornare gli AK-SM 800A almeno alla 4.3.1 (l'ultima è la 5.3.2) e attivare il livello di sicurezza Strict indicato dal CERT-FR; pianificare la sostituzione di AK-SM 800, AK-SC 355 e XWEB EVO, isolandoli nel frattempo in segmenti di rete dedicati; confrontare temperature impostate, durata e frequenza degli sbrinamenti, soglie e destinatari degli allarmi con la configurazione autorizzata, anche con strumenti indipendenti dalla supervisione, e analizzare i log degli ultimi 90 giorni; in caso di compromissione isolare l'impianto, conservare log e configurazioni, ripristinare con il supporto del produttore o del manutentore (sugli apparati a fine vita il solo ripristino di fabbrica non basta, perché restano vulnerabili) e segnalare al CSIRT Italia; far valutare la merce esposta a temperature anomale ai responsabili della sicurezza alimentare.

Fonti: ACN, CERT-FR, Copeland / Dixell, Danfoss, Censys, SecurityWeek