Attacchi informatici contro i sistemi di refrigerazione hanno compromesso la conservazione degli alimenti e costretto diversi supermercati svedesi a chiudere temporaneamente. Secondo Tgcom24, tra la sera del 1 novembre e la mattina del 2 novembre sono stati colpiti punti vendita Ica e Coop: gli aggressori hanno modificato da remoto le temperature impostate per frigoriferi e congelatori, portandole fino a 70 °C. All’interno erano conservati migliaia di prodotti.
La testata, citando quotidiani locali, riferisce danni per centinaia di migliaia di corone e chiusure durate diverse ore. Sarebbero diventate inutilizzabili anche alcune casse, ma il collegamento di questo disservizio con l’attacco non è chiarito.
Dalla Svezia agli altri supermercati europei
Episodi analoghi sono stati segnalati contemporaneamente in Belgio e Lussemburgo, mentre altre notizie riguardano Irlanda ed Estonia. Per il caso estone, Tgcom24 richiama la televisione pubblica ERR: gli intrusi avrebbero raggiunto il sistema di controllo di una grande catena e impostato un congelatore a 50 °C.
In Belgio risultano coinvolti decine di negozi Spar, Delhaize e Carrefour. In Francia, le indagini hanno ricostruito la compromissione di circa 700 unità di refrigerazione presso Intermarché, Coopérative U, Carrefour, Leclerc e Monoprix. Il numero riguarda apparecchiature, non supermercati.
Il punto comune è il controllo remoto della refrigerazione: l’accesso abusivo alla gestione delle temperature può interrompere la catena del freddo, con conseguenze sulle merci e sulla continuità delle vendite. Le somiglianze tra gli episodi non bastano però ad attribuirli a un unico gruppo.
Quali sistemi sono coinvolti e quanto conta l’esposizione su Internet
Per gli attacchi francesi, Claroty riporta la dichiarazione di Intermarché secondo cui gli aggressori hanno raggiunto sistemi Danfoss e modificato le temperature fino a 50 °C. La catena ha indicato 150 negozi coinvolti.
Nell’aggiornamento del 13 ottobre, Claroty riferisce inoltre che un avviso CERT-FR ha esteso il perimetro a Copeland XWEB e Dixell XWEB, oltre alle serie Danfoss AK-SM e AK-SC, segnalando numerose compromissioni. Sono piattaforme usate per monitorare e gestire impianti di refrigerazione e climatizzazione. Per gli episodi svedesi, il resoconto di Tgcom24 non identifica modelli o versioni.
L’esposizione delle console di amministrazione è un rischio concreto. Nella propria ricerca sul Danfoss AK-SM 800A, Team82 aveva individuato 2.765 dispositivi accessibili pubblicamente attraverso Censys. È una misura della superficie raggiungibile, non un conteggio delle vittime degli attacchi. Non è stabilito quanti dei sistemi censiti siano stati successivamente aggiornati o rimossi dall’esposizione diretta.
Le CVE note e le misure per gli operatori
La ricerca di Team82 sui controller Danfoss descrive vulnerabilità nell’interfaccia web, ma non dimostra che siano state impiegate negli attacchi ai supermercati. Claroty precisa che il metodo di accesso usato negli episodi francesi non era ancora noto al momento del suo resoconto.
Due falle documentate interessano la serie Danfoss AK-SM8xxA nelle versioni precedenti alla 4.3.1:
- CVE-2025-41451 consente, dopo l’autenticazione, l’esecuzione remota di codice attraverso una command injection nei campi della configurazione degli avvisi via email.
- CVE-2025-41452 permette a un utente autenticato di intervenire sulla configurazione dell’interfaccia web, con possibile interruzione del servizio. Il punteggio CVSS v3 è 5.4: esprime la gravità tecnica, non una prova di sfruttamento.
Secondo Team82, Danfoss ha corretto entrambe nella release R4.3.1. La ricerca descrive anche un meccanismo nascosto denominato “code-of-the-day”, utilizzabile per aggirare l’autenticazione ordinaria; questo risultato non identifica la tecnica impiegata nei casi riportati.
Per chi gestisce questi impianti, la priorità indicata dal CERT-FR, come riportato da Claroty, è rimuovere l’esposizione diretta a Internet. Claroty raccomanda inoltre di censire i dispositivi, limitare l’amministrazione a reti fidate o accessi protetti tramite VPN e segmentare le reti operative. Sui Danfoss AK-SM8xxA interessati dalle due CVE, l’aggiornamento a R4.3.1 corregge quelle specifiche vulnerabilità e va affiancato alla protezione degli accessi remoti.
