Analisi editoriale · Fonti primarie
La Francia conferma numerose compromissioni dei controller frigoriferi mentre gli attacchi potrebbero continuare
CERT-FR ha ampliato l’incidente dei supermercati francesi: sono confermate numerose compromissioni di controller Danfoss, Copeland e Dixell e le campagne di attacco sono probabilmente ancora attive.
Incidente, divulgazione e aggiornamento
L’incidente operativo è iniziato nella notte tra l’11 e il 12 ottobre 2026. Il 12 ottobre il presidente di Coopérative U, Dominique Schelcher, ha confermato pubblicamente attacchi informatici agli impianti di produzione del freddo di diversi punti vendita [1]. CERT-FR ha pubblicato il primo avviso lo stesso giorno e lo ha aggiornato il 13 ottobre aggiungendo altre apparecchiature prese di mira. Il bollettino ufficiale segnala ora numerose compromissioni di controller Danfoss AK-SM e AK-SC e sistemi Copeland/Dixell xweb [2].
Cosa è cambiato
L’aggiornamento amplia sostanzialmente l’esposizione oltre un singolo rivenditore e una famiglia di fornitori. CERT-FR ritiene probabile che le campagne siano ancora in corso e avverte che il ripristino di fabbrica non basta se un dispositivo non supportato o non aggiornato rimane esposto direttamente a Internet: sarà probabilmente compromesso di nuovo [2]. Resta un’intrusione confermata nella tecnologia operativa; le fonti primarie pubbliche non stabiliscono una specifica CVE sfruttata, una famiglia di malware o un attore.
Chi deve valutare l’esposizione
Rivenditori alimentari, operatori frigoriferi e logistici, team delle strutture e fornitori di manutenzione devono identificare famiglie interessate, esposizione tramite IP pubblici, firmware a fine vita e percorsi di accesso remoto di terze parti. Occorre esaminare l’attività almeno dall’11 ottobre: modifiche a set-point, cicli di sbrinamento, allarmi, utenti e configurazione di rete. Includere gli asset gestiti dai fornitori anche se esterni all’inventario IT aziendale.
Risposta e priorità di missione
Per le unità non compromesse, CERT-FR raccomanda di rimuovere l’esposizione diretta, verificare l’intera configurazione e ripristinare l’accesso solo tramite VPN sicura o rete protetta. Per le unità compromesse, rimuovere l’esposizione, ripristinare le impostazioni di fabbrica, riconfigurare e aggiornare prima della riconnessione [2]. Se possibile, conservare prima le prove da controller, firewall, identità e accessi dei fornitori. Verificare indipendentemente temperature e sicurezza dei prodotti, preparare operazioni manuali e coordinare sicurezza, strutture, sicurezza alimentare, legale, comunicazione e fornitori. NIST integra risposta, gestione del rischio e ripristino [4].
Governance, incognite e fiducia
La direzione deve imporre firmware supportato, modifica delle password predefinite, modalità di sicurezza rigorose, logging indipendente, accesso contrattuale durante gli incidenti e procedure di isolamento testate. Numero esatto delle vittime, accesso iniziale, identità e obiettivo dell’attore e tutte le conseguenze fisiche non sono verificati nelle fonti primarie esaminate. La fiducia è alta sulla compromissione di più famiglie e sul rischio di nuova intrusione, ma media su portata complessiva e causa.
Fonti
- Dominique Schelcher (Coopérative U), public incident statement on X, 12 October 2026 (accessed 15 October 2026)
- CERT-FR, CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, initial version 12 October and update 13 October 2026 (accessed 15 October 2026)
- Centre for Cybersecurity Belgium, Warning: Security incidents in France targeting remote controllers for refrigeration, last update 13 October 2026 (accessed 15 October 2026)
- NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, final, April 2025 (accessed 15 October 2026)