La settimana scorsa centinaia di supermercati francesi sono stati colpiti da un attacco informatico che ha fatto salire le temperature dei frigoriferi e dei congelatori, rovinando cibi freschi e surgelati per un ammontare stimato di svariati milioni di euro. L’attacco ha colpito anche Spagna, Portogallo, Polonia, Germania e Belgio. E tutto perché qualcuno ha ignorato allegramente gli avvisi di sicurezza informatica.
Le catene colpite sono Netto, Intermarché, Carrefour, Monoprix, E.Leclerc, Coopérative U. In tutto sono stati circa 400 (secondo alcune stime anche 700) i punti vendita colpiti su un totale nazionale di circa 15.000.
La tecnica di attacco è stata molto semplice. Gli aggressori hanno preso il controllo del software dei controller che permettono di regolare da remoto la temperatura dei frigoriferi e dei freezer e l’hanno portata ben oltre lo zero. Un breve innalzamento temporaneo notturno delle temperature fa parte delle normali procedure di sbrinamento, ma gli aggressori hanno prolungato questo aumento della temperatura, facendo sgelare la merce surgelata e interrompendo così la catena del freddo che ne garantisce la conservazione. Alcuni apparati hanno raggiunto i 50°C per sei ore di seguito. Praticamente una cottura lenta.
Prendere il controllo di questo software è stato possibile per una combinazione di motivi perfettamente evitabile. Tutti gli apparecchi colpiti usavano controller e software forniti dalla ditta danese Danfoss ed erano esemplari non recenti il cui software non era più aggiornabile per correggere una falla identificata dal fabbricante. Danfoss aveva avvisato da tempo i clienti di questo difetto.
La falla riguardava tre modelli di controller e consentiva a un aggressore di effettuare login da remoto con le stesse autorizzazioni di un amministratore di sistema. Danfoss aveva pubblicato avvisi di sicurezza a marzo e agosto 2025 (DSA-2025-08-01 e DSA-2025-03-01); la Cybersecurity and Infrastructure Security Agency statunitense aveva pubblicato ad agosto 2025 un avviso corredato da istruzioni per mitigare il problema. Ne aveva poi pubblicato un altro a febbraio 2026 a proposito dei software della Copeland statunitense (proprietaria di Danfoss).
Il problema, insomma, era noto da più di un anno.
Ma quello che colpisce è l’approccio demenziale alla “sicurezza” di questi prodotti. Questi controller generavano password nuove tutti i giorni. Bello, direte voi. Il problema è che tutti i controller generavano le stesse password basandosi su data e ora. Un errore di progettazione assolutamente dilettantesco: “Diamo la stessa password a migliaia di dispositivi che contengono prodotti deperibili per migliaia di euro, cosa mai potrebbe andare storto?”.
Di conseguenza, tutto quello che doveva fare un aggressore era procurarsi una copia del firmware di questi controller, che è pubblicamente disponibile, analizzarla e capire il criterio di generazione delle password giornaliere. In questo modo avrebbe ottenuto la password del giorno di tutti i frigoriferi e freezer che usavano questi controller non aggiornati.
Non è finita. A quanto risulta, i frigoriferi e freezer colpiti non erano protetti da una VPN e da una lista limitata di indirizzi IP autorizzati a collegarsi: mancavano insomma due precauzioni assolutamente basilari per qualunque dispositivo connesso a Internet e comandabile da remoto.
Quello che rattrista, di incidenti come questo, è la catena di inettitudine collettiva che dimostrano. I progettisti dei controller che usano un sistema idiota per generare le password e pensano che dare a tutti gli apparecchi la medesima password sia una buona idea; i responsabili della sicurezza delle aziende che non intervengono (o non vengono autorizzati a intervenire dalla dirigenza “perché fare queste cose costa, tanto non succederà nulla”) nonostante gli avvisi siano stati diramati; gli apparecchi obsoleti e insicuri lasciati connessi a Internet senza precauzioni e raggiungibili da chiunque.
Chissà se adesso i dirigenti di queste aziende che hanno perso milioni di euro faranno finalmente qualcosa per la sicurezza informatica, invece di vederla come un costo fastidioso.
Fonti: BBC, Ars Technica.
[…] Francia, attacco informatico ai freezer dei supermercati, merce rovinata. Un disastro perfettamente evitabile, causato da misure di sicurezza ridicolmente inette. Ne parlo in questo mio articolo. […]
Ma come erano (sono?) esposti su internet? Perché dubito siano raggiungibili direttamente, come minimo sono dietro ad un router. E per raggiungerli occorre essere nella LAN del supermercato, dove per entrarci serve conoscere almeno user e password; saranno state l’accoppiata “admin”+”123456”? Se così fosse, credo che gli attaccanti avrebbero fatto molti più danni.
Oppure i dispositivi e gli utenti si collegano al server della Danfoss, più o meno come gli interruttori smart? In questo caso il produttore, dopo aver avvisato i clienti, avrebbe dovuto impedire qualsiasi azione da remoto ma permettere la possibilità di consultare lo stato di funzionamento, IMHO.
“dietro a un router”: anche i computer sui quali gli utenti installano Teamviewer o simili sono dietro a un router. Questo non impedisce di comandarli da fuori.
Non c’è bisogno di entrare nella LAN del supermercato se il device è stato configurato appositamente per essere raggiungibile da qualunque manutentore via Internet.
Ti riporto anche questa info che ho letto altrove:
Ci manca solo questa….
verrebbe da dire “bah, impossibile”… se non fosse che anch’io in questi 20+ anni di lavoro ho toccato con mano vulnerabilità… ecco diciamo “imbarazzanti”.
E anche la mia azienda (Paolo sa quale) produce software per uso industriale – anzi, la Danfoss è pure mio cliente… siete/siamo in buone mani, gente…
È questo che mi preoccupa. Che bisogno c’è di ipotizzare super-hacker governativi o intelligenze artificiali impazzite? Basta l’inettitudine naturale.