Nella notte tra domenica 1 e lunedì 2 novembre qualcuno è entrato nei sistemi che governano i frigoriferi di decine di supermercati in almeno sette Paesi europei e li ha trasformati in forni: congelatori fino a 50 gradi, merce da buttare, banchi vuoti all’apertura.
Belgio, Svezia, Paesi Bassi, Lussemburgo, Irlanda, Finlandia, Estonia. È la replica dell’attacco che il 12 ottobre aveva colpito centinaia di supermercati francesi, da Intermarché a Leclerc. Nessuno ha rivendicato. E, almeno pubblicamente, nessuno ha chiesto soldi.
Ed è questo il punto. Per vent’anni ci siamo abituati all’hacker che vuole qualcosa: le password, i dati, un riscatto in criptovalute. Questo non ha preso niente. Ha solo rotto. Dal furto al sabotaggio, dal computer alle cose: la nuova frontiera è questa, e passa dal banco surgelati.
Come si trasforma un frigo in un forno
Niente virus. A quanto pare, nemmeno codice malevolo.
I frigoriferi dei supermercati sono comandati da centraline collegate a internet, perché così la ditta di manutenzione può controllarli a distanza: un allarme la domenica sera si sistema dal telefono, senza uscire di casa.
Chi ha attaccato è passato da lì e ha usato i comandi previsti, come un tecnico qualsiasi. Ha acceso lo sbrinamento, il breve ciclo notturno che scalda le serpentine per sciogliere il ghiaccio, e l’ha fatto durare ore con il termostato a 50 gradi.
In Francia la procura di Parigi ha parlato anche di principi d’incendio.
Le centraline sono in gran parte della danese Danfoss, tra i colossi mondiali del freddo, e l’azienda conferma che anche stavolta ci sono di mezzo i suoi prodotti. Le autorità francesi hanno segnalato anche apparecchi di altri due marchi.
Per lo più, aveva spiegato Danfoss dopo la Francia, si tratta di modelli vecchi, fuori produzione, senza aggiornamenti di sicurezza dal 2021. Dopo il primo attacco Shodan, una specie di Google delle cose collegate alla rete, contava oltre 4.500 apparecchi Danfoss raggiungibili da internet.
Domenica notte qualcuno ha fatto il giro.
Allora il frigo era la porta, oggi è il bersaglio
Non è la prima volta che il guaio arriva dal reparto freddo. Nel 2013 i ladri che rubarono i dati di 40 milioni di carte di credito ai clienti di Target, gigante americano della distribuzione, entrarono con le credenziali sottratte a una piccola ditta della Pennsylvania che si occupava di refrigerazione e climatizzazione.
Qualche anno dopo un casinò si vide sfilare l’elenco dei clienti più facoltosi attraverso il termometro connesso dell’acquario nella hall. Allora l’oggetto era solo la porta di servizio: il colpo si faceva altrove.
Oggi porta e bersaglio coincidono. Non serve arrivare al database: basta far marcire la merce.
Un solo supermercato belga stima centomila euro di prodotti buttati, uno in Alsazia oltre duecentomila. E negli Stati Uniti il Pentagono indaga, come possibile attacco informatico, sui guasti che a fine agosto hanno mandato in riscaldamento i congelatori di almeno sei supermercati delle basi militari.
Un legame con l’Europa non è dimostrato, ma gli investigatori americani lavorano con quelli francesi.
Chi è stato? Nessuno lo sa, ed è questo che inquieta
Un attacco senza riscatto è un attacco senza biglietto da visita. Le piste restano tutte aperte: una potenza straniera, un gruppo di attivisti, semplici vandali digitali.
A metà ottobre un esperto di sicurezza ragionava così: uno Stato non si sarebbe fermato a una parte dei frigoriferi francesi, con tutti i Paesi pieni di frigoriferi connessi. Forse, diceva, ragazzini che si divertono.
Tre settimane dopo, gli altri Paesi sono arrivati. Non prova niente su chi ci sia dietro. Prova che il metodo funziona, e che qualcuno lo sta usando.
E l’intelligenza artificiale abbassa i prezzi
Fin qui servivano pazienza e mestiere: trovare la centralina dimenticata online, capire come comandarla, ripetere il giochetto in centinaia di negozi nella stessa notte. È il lavoro in cui l’intelligenza artificiale è più brava.
A ottobre due falle gravissime nel linguaggio che fa girare sette siti su dieci sono state scovate con il suo aiuto. Un anno fa Anthropic, una delle aziende che sviluppano questi sistemi, ha raccontato di aver bloccato una campagna di spionaggio attribuita a un gruppo legato allo Stato cinese, in cui l’AI faceva da sola fino al 90 per cento del lavoro: agli umani restavano solo le decisioni chiave.
Il passo successivo è più sottile. Quando a regolare la temperatura sarà un sistema che decide da solo, non servirà nemmeno prenderne il comando: basterà mentirgli. Un sensore truccato che dice «troppo freddo», e la macchina scalderà la cella convinta di fare il suo dovere.
E da noi?
L’Italia, per ora, non compare nell’elenco. Ma sono sistemi venduti in tutta Europa, e un Paese piccolo non è un Paese invisibile: per un programma che scandaglia internet, una centralina a Serravalle vale quanto una a Stoccolma.
Il supermercato sotto casa, la cella della macelleria, la vetrina della gelateria, il frigo dei farmaci, la caldaia dell’albergo, il cancello del capannone: quanti si comandano ormai da un’app, con la password lasciata dal tecnico il giorno dell’installazione? Nessuno lo sa.
Decine di supermercati europei l’hanno scoperto di notte, a cose fatte.
La buona notizia è che difendersi costa meno di un banco surgelati da buttare. Bastano tre domande a chi vi segue gli impianti: quali sono collegati a internet, chi può entrarci e con quale password, quando sono stati aggiornati l’ultima volta.
Se all’ultima la risposta è «non si possono più aggiornare», la cura è una sola: staccarli dalla rete aperta.
Un frigo che non si comanda dal divano è un po’ meno comodo. Ma resta un frigo.
Chi vuole sapere che cosa della propria azienda si vede da internet, prima che lo scopra qualcun altro, può scriverci su strategic.sm.
Osservatorio Strategic.sm
