ACN: misure urgenti per GDO e filiera del freddo dopo l’attacco ai supermercati francesi

• ACN avvisa GDO, logistica alimentare e refrigerazione industriale dopo l'attacco a supermercati francesi
• Interfacce esposte e sistemi obsoleti hanno permesso di alterare sbrinamento e parametri, rompendo la catena del freddo
• Priorità: rimuovere esposizioni, segregare IT/OT, VPN con MFA, verificare parametri e log a 90 giorni

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato il 13 ottobre 2026 un avviso con misure urgenti di verifica e mitigazione. Si rivolge a grande distribuzione organizzata (GDO), logistica alimentare, refrigerazione industriale e servizi di manutenzione connessi. Il motivo è il recente incidente informatico che ha colpito numerose catene di supermercati francesi.

Come è avvenuto l’attacco

Secondo l’ACN, gli autori hanno sfruttato installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e carenze nell’autenticazione. In questo modo hanno attivato da remoto i cicli di sbrinamento e modificato i parametri operativi degli impianti. Ne sono derivati l’interruzione della catena del freddo e ingenti danni economici.

Il quadro tecnico

L’agenzia distingue tre ambiti, tutti da considerare nelle verifiche:

• IT: postazioni, server, servizi di identità e applicativi gestionali. Se non è segregato, un sistema IT compromesso può diventare un punto d’accesso agli ambienti di controllo.
• OT: controllori della refrigerazione, sensori, attuatori e sistemi che regolano temperature, compressori e sbrinamento.
• SCADA: piattaforme di supervisione che possono agire su più impianti o siti. Non tutti gli impianti ne dispongono, quindi vanno considerati anche controllori autonomi, HMI e altri sistemi di telecontrollo.

La compromissione può alterare temperature, durata e frequenza dello sbrinamento, soglie di allarme e notifiche. Dati falsati o allarmi disabilitati possono ritardare la scoperta del problema. L’ACN precisa che una pagina di login o un certificato HTTPS non bastano: HTTPS protegge le comunicazioni, ma non ferma lo sfruttamento di vulnerabilità o l’uso di credenziali compromesse.

Cosa fare subito

Le attività vanno coordinate tra responsabili della sicurezza, degli impianti e manutentori, evitando interruzioni non controllate della refrigerazione. Le priorità sono la rimozione delle esposizioni e la verifica dei parametri.

• Censimento: controllori, SCADA, HMI, gateway OT/IoT e servizi di teleassistenza, con produttore, modello, versione e stato di supporto. Vanno cercati anche router cellulari e collegamenti predisposti dai manutentori. Le scansioni attive su dispositivi OT vanno concordate con i responsabili degli impianti.
• Segregazione: eliminare l’esposizione diretta delle interfacce amministrative, separare OT e IT, creare reti di amministrazione dedicate e applicare firewall con approccio «nega tutto». Le sole VLAN non sostituiscono il filtraggio. Se la rimozione non è immediata, restringere l’accesso a IP fidati e rafforzare il monitoraggio.
• Accessi remoti: VPN aggiornate con autenticazione a più fattori, accesso limitato ai soli sistemi necessari (anche tramite jump host), accessi dei fornitori circoscritti nel tempo e registrati. Disabilitare l’amministrazione via HTTP e protocolli non cifrati.
• Account: disattivare quelli inutilizzati o non riconosciuti, sostituire credenziali predefinite o deboli, usare account individuali con privilegi minimi e revocare sessioni e token in caso di sospetto furto di credenziali.
• Verifica dei parametri: confrontare le configurazioni con quelle autorizzate, controllare le temperature reali anche con strumenti indipendenti, analizzare i log fino a 90 giorni, ove disponibili, e preservarli prima di operazioni che possano cancellarli.
• Dispositivi fuori supporto: individuare quelli a fine vita (EOL), applicare i correttivi disponibili previa verifica di compatibilità e dismettere quelli non necessari. Se non è possibile, isolarli. L’isolamento, avverte l’ACN, è temporaneo e non elimina le vulnerabilità.

Rafforzamento nel medio periodo

L’avviso indica anche interventi più lunghi. Tra questi: verificare l’effettiva segregazione delle reti e limitare i privilegi della gestione centralizzata, in modo che la compromissione di un punto vendita o di un account non dia accesso agli altri impianti. Vanno inoltre riesaminati i collegamenti di teleassistenza, compresi gli agenti software e le connessioni avviate dall’interno verso servizi esterni. Seguono la gestione di VPN e certificati, il monitoraggio OT, i backup protetti delle configurazioni e i test di ripristino.

Fonte: ACN