Le organizzazioni che dipendono dalla refrigerazione dovrebbero chiudere l'accesso a internet ai propri controllori, mentre gli aggressori prendono di mira in tutto il mondo i sistemi di raffreddamento e di monitoraggio della temperatura: lo hanno avvertito CISA e FBI il 5 novembre 2026. Il loro avviso congiunto descrive attacchi che potrebbero rovinare le scorte, danneggiare le apparecchiature e privare gli operatori delle letture di temperatura necessarie per individuare problemi.
Le linee guida riguardano fornitori di servizi sanitari, impianti chimici, aziende alimentari e agricole e operatori dei trasporti, inclusi i servizi di trasporto refrigerato. Le agenzie indicano esplicitamente come bersagli i controllori elettronici della temperatura e i controllori per la refrigerazione commerciale presenti nei supermercati e negli impianti di stoccaggio a freddo. I dispositivi non aggiornati o i controllori raggiungibili via internet potrebbero esporre vulnerabilità che gli aggressori possono sfruttare.
Anche i dipartimenti statunitensi della Salute e dei servizi umani (HHS), dell'Agricoltura e dei Trasporti hanno partecipato alla scheda informativa congiunta. Questi sistemi fanno più che accendere e spegnere le apparecchiature di raffreddamento: consentono al personale di controllare le temperature da remoto, conservare registrazioni continue delle temperature, programmare lo sbrinamento e gestire il consumo energetico.
Incidenti europei segnalati separatamente
La scheda statunitense non nomina questi incidenti europei. BleepingComputer ha riferito che gli aggressori hanno compromesso i controllori della refrigerazione in circa tra 250 e 350 supermercati francesi a ottobre, attivando da remoto le funzioni di sbrinamento e alzando così le temperature all'interno di frigoriferi e congelatori.
BleepingComputer ha riferito che una seconda ondata a novembre ha colpito oltre 115 negozi in sei Paesi europei, lasciando alcuni sistemi di raffreddamento completamente spenti e altri a temperature fino a 50 °C (122 °F).
BleepingComputer ha riferito che l'Établissement français du sang (EFS) ha confermato il 3 novembre che un incidente che ha coinvolto un fornitore di apparecchiature per la refrigerazione aveva modificato le impostazioni di temperatura e sbrinamento in tre impianti che conservano prodotti del sangue.
Nel comunicato della CISA, il vice direttore esecutivo facente funzioni per la cybersicurezza Chris Butera ha dichiarato che l'agenzia monitora la minaccia insieme a partner governativi, industriali e internazionali. Ha esortato ogni organizzazione che dipende dalla refrigerazione e dal monitoraggio a considerarsi un potenziale bersaglio. Anche Brett Leatherman, direttore delle operazioni del Cyber Branch dell'FBI, ha affermato che l'agenzia registra attività mirate contro i settori delle infrastrutture critiche in tutto il mondo e ha invitato gli operatori ad attuare le linee guida e a segnalare le attività sospette.
Come l'accesso ai controllori minaccia scorte e apparecchiature
Le agenzie descrivono tre possibili vie d'accesso ai controllori: il bypass dell'autenticazione, che aggira i controlli di accesso; l'iniezione di codice arbitrario, che introduce codice scelto dall'aggressore; e le configurazioni non sicure.
Una volta che gli aggressori possono manipolare le impostazioni da remoto, potrebbero lasciare le unità in riscaldamento o in sbrinamento continuo. Le variazioni di temperatura che ne derivano potrebbero distruggere le scorte, ridurre la durata delle apparecchiature o creare un rischio di incendio. I consumatori potrebbero anche subire danni se consumano prodotti conservati in condizioni non sicure.
Un attacco potrebbe compromettere il monitoraggio oltre al raffreddamento. La scheda informativa definisce la perdita delle letture di temperatura attuali una condizione di «denial-of-view», cioè di negazione della visibilità: gli operatori perdono il controllo sulle condizioni che le loro apparecchiature stanno mantenendo.
Chiudere le lacune di accesso remoto e applicare limiti operativi sicuri
Le agenzie chiedono un'azione immediata, con raccomandazioni allineate ai Cross-Sector Cybersecurity Performance Goals sviluppati da CISA e dal National Institute of Standards and Technology. Tali obiettivi definiscono un insieme minimo di protezioni raccomandate.
Proprietari e operatori dovrebbero innanzitutto individuare i sistemi esposti a internet ed eliminare tale esposizione, soprattutto per i pannelli dei controllori. Disattivare l'accesso remoto che non ha uno scopo necessario. Per le connessioni che devono restare attive, installare un firewall o un dispositivo di frontiera (edge), ovvero l'apparecchiatura che protegge il perimetro della rete, e aggiornarlo all'ultima versione.
Tenere separati i controlli della refrigerazione dalle reti aziendali. Le linee guida raccomandano una rete locale virtuale (VLAN) dedicata per separare la tecnologia operativa, cioè i sistemi che controllano le apparecchiature fisiche, dai normali sistemi aziendali. Mantenere elenchi di dispositivi e indirizzi IP autorizzati, in modo che solo i sistemi autorizzati possano apportare modifiche.
Sostituire le password predefinite, imporre password più robuste tramite policy vincolanti e introdurre l'autenticazione a più fattori resistente al phishing, ove possibile. Questa aggiunge un'autenticazione oltre la password tramite metodi progettati per resistere ai siti di accesso fraudolenti. Mantenere aggiornato il firmware dei controllori, ovvero il software integrato nel dispositivo. Stabilire un processo gestito per individuare, dismettere e sostituire le apparecchiature giunte a fine vita e non più supportate dal produttore.
Per il rilevamento, attivare i registri di attività e controllarli regolarmente per individuare comportamenti anomali. Se le apparecchiature non forniscono registri, o se questi usano formati non standard, raccogliere il traffico di rete e le comunicazioni tra i dispositivi. Mantenere backup aggiornati, sia offline sia fuori sede, e testarli.
Gli operatori dovrebbero inoltre impostare limiti ragionevoli alle temperature target che i dispositivi a valle dei controllori possono accettare, quindi configurare avvisi quando le condizioni escono dagli intervalli di sicurezza.
Le organizzazioni statunitensi dovrebbero segnalare attività sospette o criminali al Centro operativo CISA attivo 24 ore su 24, all'indirizzo [email protected] o al numero 1-844-729-2472, oppure all'FBI tramite l'Internet Crime Complaint Center o un ufficio locale sul campo. Includere, ove disponibili, data, ora e luogo dell'incidente; l'attività e le apparecchiature coinvolte; il numero di persone interessate; il nome dell'organizzazione segnalante e il referente designato.
Le organizzazioni sanitarie che necessitano di assistenza per possibili interruzioni dell'assistenza causate da effetti sulla catena di approvvigionamento sanitaria e medica possono contattare l'HHS all'indirizzo [email protected] oppure il suo Centro operativo attivo 24 ore su 24 al numero 202-619-7800.
