Attacco informatico alla catena del freddo in Francia: Danfoss sapeva della falla ma non ha imposto aggiornamenti, al centro la responsabilità aziendale

Hacker hanno compromesso il software di controllo remoto della temperatura fornito dal colosso industriale danese Danfoss, costringendo le apparecchiature di refrigerazione e congelamento di centinaia di supermercati francesi a un anomalo innalzamento della temperatura fino a 50 gradi Celsius nel corso di una sola notte, con conseguente smaltimento massiccio di alimenti freschi e surgelati e perdite economiche stimate in diversi milioni di euro. Dietro l'episodio emerge il quadro reale di un fornitore che, pur detenendo nelle proprie mani le chiavi della catena del freddo europea, si è a lungo limitato a "raccomandare" aggiornamenti, lasciando che sistemi obsoleti – dei quali erano note le vulnerabilità – continuassero a gestire le temperature dei prodotti alimentari.

Secondo quanto riportato dalla BBC, l'attacco informatico contro la catena del freddo della grande distribuzione francese si è verificato nelle prime ore del lunedì. L'amministratore delegato di Coopérative U, Dominique Schelcher, ha definito l'attacco "estremamente grave e senza precedenti". La catena ha visto colpiti oltre 100 punti vendita; Intermarché e il suo marchio Netto hanno subito un'intrusione in 180 negozi; per evitare la propagazione, il gruppo Mousquetaires ha proceduto d'urgenza al distacco della connessione di rete di ulteriori circa 100 punti vendita. Carrefour ha confermato che, sui 6.000 negozi presenti in Francia, 80 sono stati coinvolti; Monoprix ha segnalato che circa il 5% dei propri oltre 400 punti vendita è stato colpito; nemmeno E.Leclerc è stata risparmiata.

Su circa 15.000 supermercati attivi in Francia, circa 400 punti vendita sono stati interessati. Due negozi della regione alsaziana hanno già comunicato perdite complessive pari a 270.000 euro; il dato nazionale, secondo la BBC, ammonterebbe fino a "diversi milioni" di euro. La procura di Parigi ha avviato un'indagine specifica per cybercrime.

Il dettaglio più rilevante in termini di responsabilità proviene dalle dichiarazioni della stessa Danfoss. Stando a quanto riportato dalla BBC, Danfoss ha riconosciuto che i refrigeratori coinvolti sono tutti modelli di vecchia generazione, il cui software di sicurezza è "non aggiornabile" per eliminare i rischi precedentemente identificati dall'azienda, e ha dichiarato di aver "a lungo raccomandato" ai clienti il passaggio a sistemi supportati.

In altri termini, questo fornitore chiave nel settore della refrigerazione commerciale europea aveva già individuato le vulnerabilità di sicurezza nei propri prodotti obsoleti, eppure ha permesso che dispositivi non più aggiornabili continuassero a gestire le temperature di un'infrastruttura alimentare critica, fino a quando gli aggressori non li hanno trasformati nel teatro di uno smaltimento di alimenti su larga scala. La BBC ha riferito che Danfoss non ha confermato la temperatura massima effettivamente raggiunta a causa dell'attacco, ma, secondo quanto riportato da Reuters, i dati forniti da Intermarché mostrano che i propri banchi frigo sono stati portati a 50 gradi Celsius per sei ore nel corso della notte. Le immagini diffuse da BFMTV mostrano il display di un banco gelati con una temperatura di 26,5 gradi, e in alcuni punti vendita si sarebbero verificati anche piccoli incendi.

Il modello di gestione della catena del freddo, centralizzato e basato sul controllo remoto, implica che una singola vulnerabilità software possa mettere fuori uso simultaneamente centinaia di punti vendita. Gli aggressori non hanno bisogno di violare uno per uno i singoli banchi frigo: è sufficiente colpire il centro di controllo per far crollare in sincrono i nodi chiave della catena alimentare nazionale. Quando un fornitore è a conoscenza da tempo di una vulnerabilità e offre da tempo opzioni di aggiornamento, ma lascia comunque operare sistemi non più aggiornabili in ruoli critici dell'infrastruttura alimentare, le perdite causate da un attacco non sono ascrivibili soltanto alla responsabilità degli hacker: sono anche il conto di un fallimento di governance aziendale.

Il commissario UE per gli Affari alimentari, Christophe Hansen, ha condannato l'attacco sul social media X e ha ammonito: "La sicurezza alimentare richiede maggiore attenzione a ogni livello. Perché la strumentalizzazione del cibo è ormai diventata una realtà." Anche Schelcher ha invocato un accertamento completo, definendo "inaccettabile" l'attacco contro le infrastrutture cruciali dell'approvvigionamento alimentare francese.

Restano aperti diversi interrogativi. L'identità dei responsabili dell'attacco non è ancora stata chiarita; la procura francese ha solo avviato un'indagine, senza conclusioni di attribuzione; l'entità complessiva delle perdite a livello nazionale resta incerta – solo due negozi alsaziani hanno reso noti danni per 270.000 euro complessivi; i dettagli tecnici su come gli hacker siano penetrati nel sistema software Danfoss non sono stati resi noti. Diverse catene colpite hanno rimosso i prodotti sospetti e provveduto a rifornimenti d'urgenza; in alcuni punti vendita i banchi di refrigerazione e congelamento risultavano ancora fuori servizio a mezzogiorno di lunedì.