Hacker sui frigoriferi dei supermercati francesi: cosa deve controllare una PMI su impianti e dispositivi connessi

Che cosa è successo, in breve

Secondo quanto riportato da Il Sole 24 Ore, Open, CNN e CyberSecItalia, catene come Intermarché, Coopérative U ed E.Leclerc hanno confermato di essere state colpite. Altre insegne, tra cui Carrefour e Monoprix, compaiono nelle ricostruzioni giornalistiche con numeri ancora da consolidare. Gli aggressori avrebbero sfruttato una normale funzione di manutenzione, il ciclo di sbrinamento, tenendola attiva per ore. La procura di Parigi ha aperto un'indagine, che riguarda anche alcuni principi d'incendio. Il primo ministro Sébastien Lecornu ha incaricato l'ANSSI, l'agenzia francese per la cybersicurezza, che ha individuato una vulnerabilità nel software di controllo della refrigerazione del produttore danese Danfoss.

Danfoss ha riconosciuto incidenti su un numero limitato di sistemi. L'azienda ha precisato che si tratta in gran parte di centraline di vecchia generazione delle serie AK-SM e AK-SC con firmware obsoleto, in alcuni casi non più coperte da aggiornamenti di sicurezza, e ha ricordato di aver raccomandato da tempo l'aggiornamento o la sostituzione. La falla effettivamente sfruttata non è stata ancora indicata pubblicamente. Le perdite complessive non sono quantificate, ma le stime parlano di milioni di euro di merce. Secondo Open, Intermarché teme che le polizze assicurative non coprano questo tipo di danno. Il direttore dell'ANSSI, Vincent Strubel, ha chiesto di scollegare questi controller da internet oppure di proteggerli con filtri di rete molto restrittivi.

Perché riguarda anche chi non vende alimentari

Lo schema è ricorrente. Il dispositivo è installato e gestito da un fornitore esterno ed è raggiungibile da internet per comodità di assistenza. Il firmware non viene aggiornato da anni e in azienda nessuno lo considera parte dell'informatica. Questa descrizione si adatta a moltissime PMI: centrali di climatizzazione, celle frigorifere, PLC e controller delle linee produttive, inverter degli impianti fotovoltaici, videosorveglianza, controllo accessi, rilevatori presenze.

La differenza rispetto a un attacco tradizionale sta nelle conseguenze, che sono fisiche ed economiche e arrivano subito: merce deteriorata, produzione ferma, impianti danneggiati e, nei casi peggiori, rischi per la sicurezza delle persone. In questi casi non basta ripristinare un backup.

Cosa fare, in ordine di priorità

• 1. Fare l'inventario dei dispositivi connessi. Vanno censiti anche gli apparati che non sono PC o server. Per ciascuno annotate che cosa fa, chi l'ha installato, chi lo gestisce, quale versione di firmware monta e come comunica con l'esterno. Senza questo elenco tutte le altre misure procedono alla cieca.
• 2. Verificare che cosa è esposto su internet. È la prima indicazione dell'ANSSI. Controllate i port forwarding sul router e sul firewall, gli indirizzi IP pubblici e le piattaforme cloud dei costruttori. Se un dispositivo non ha bisogno di essere raggiungibile dall'esterno, l'accesso va chiuso.
• 3. Gestire aggiornamenti e fine vita. Chiedete ai fornitori lo stato del firmware e i bollettini di sicurezza dei loro prodotti, poi programmate gli aggiornamenti in finestre compatibili con l'operatività. Nel caso francese gli aggiornamenti erano stati raccomandati, ma molte centraline non li avevano ricevuti. Per gli apparati non più supportati serve un piano di sostituzione con tempi e budget; fino ad allora vanno isolati.
• 4. Segmentare la rete. Impianti e dispositivi IoT devono stare in una rete separata da quella degli uffici, con un firewall che ammette solo le comunicazioni necessarie. In questo modo un PC compromesso non raggiunge la cella frigorifera, e una centralina vulnerabile non diventa la porta d'ingresso verso il gestionale.
• 5. Mettere in ordine gli accessi remoti dei manutentori. Programmi di controllo remoto sempre attivi, VPN con credenziali condivise e password di fabbrica vanno eliminati. Ogni intervento esterno deve passare da un punto di accesso unico e controllato, con credenziali personali e autenticazione a più fattori. L'accesso va abilitato solo quando serve e ogni sessione va registrata.
• 6. Monitorare e avere allarmi indipendenti. I parametri critici, come temperature, pressioni o stati macchina, devono generare allarmi su un canale che non dipenda dal sistema che potrebbe essere compromesso. A questo vanno affiancati il monitoraggio del traffico di rete e la revisione dei log di accesso. In Francia molti punti vendita si sono accorti del problema solo all'apertura.
• 7. Preparare un piano di risposta. Il piano deve stabilire chi si chiama, come si passa al funzionamento manuale, come si isola l'impianto e come si documentano i danni. Conviene anche verificare con l'assicuratore se la polizza copre i danni materiali causati da un attacco informatico.

Il richiamo della NIS2 alla catena di fornitura

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, include tra le misure obbligatorie di gestione del rischio la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti. Tra i settori coperti c'è anche la produzione, trasformazione e distribuzione di alimenti. Chi non rientra direttamente nell'ambito della norma spesso è fornitore di un soggetto che vi rientra, e quindi ricevere richieste di garanzie sulla propria sicurezza.

Il caso francese mostra bene perché la norma insiste su questo punto. Il rischio non nasceva da un errore dei supermercati sui propri sistemi informatici. Nasceva dal prodotto di un fornitore e dal modo in cui era stato installato e mantenuto nel tempo. Per questo nei contratti con impiantisti e costruttori conviene chiarire:

• chi è responsabile degli aggiornamenti;
• entro quanto tempo vanno comunicate le vulnerabilità;
• con quali modalità è consentito l'accesso remoto;
• che cosa succede quando un prodotto arriva a fine supporto.

Come può aiutarvi Hi-Keep

Hi-Keep affianca le PMI nella messa in sicurezza di impianti e dispositivi connessi. Concretamente può:

• censire gli apparati IoT e OT presenti in azienda;
• verificare quali sono esposti su internet;
• progettare la segmentazione della rete e configurare i firewall;
• organizzare un accesso remoto controllato per i manutentori esterni;
• impostare monitoraggio e allarmi.

Hi-Keep può anche aiutarvi a definire con i vostri fornitori le regole su aggiornamenti e fine vita dei prodotti, coerenti con gli obblighi NIS2 sulla catena di fornitura. Se volete partire da una verifica della situazione attuale, potete contattarci per fissare un primo incontro.