Nei primi giorni di novembre 2026, una serie di attacchi informatici coordinati ha colpito i sistemi di refrigerazione di centinaia di supermercati in tutta Europa, estendendosi rapidamente anche al territorio italiano. L’offensiva, che ha ricalcato le dinamiche di un precedente attacco avvenuto in Francia nel mese di ottobre, ha preso di mira banchi frigo e celle frigorifere di diverse catene della distribuzione alimentare. Le segnalazioni di anomalie critiche hanno interessato varie regioni, tra cui Sicilia, Sardegna, Toscana ed Emilia-Romagna, colpendo sia grandi catene cooperative che aziende di ristorazione collettiva. I malintenzionati hanno manipolato fisicamente i parametri ambientali degli impianti, innalzando le temperature in alcuni casi fino a 15°C e, in scenari più estremi, portandole addirittura a 50°C, trasformando di fatto i congelatori in forni. L’incidente ha fatto emergere una vulnerabilità sistemica nel modo in cui le aziende gestiscono l’integrazione tra le reti informatiche (IT) e le tecnologie operative (OT). L’analisi di questo incidente ci ricorda una verità ineludibile: la resilienza cibernetica non si ottiene con l’acquisto di soluzioni dispendiose, ma richiede un profondo cambio di paradigma incentrato sulle competenze, sulla formazione continua del personale e su un’adeguata strategia di trasferimento del rischio.

Convergenza tra IT e OT

Per comprendere come sia stato possibile hackerare un impianto di refrigerazione commerciale, è necessario analizzare l’architettura delle moderne reti industriali. I banchi frigo dei supermercati non sono più apparati isolati, ma complessi sistemi cyber-fisici (CPS) costantemente connessi alla rete per consentire la manutenzione da remoto, il monitoraggio delle temperature e l’ottimizzazione dei consumi energetici. L’anello debole sfruttato dagli attaccanti è stato individuato nelle centraline di controllo, spesso esposte direttamente su Internet o raggiungibili tramite la rete aziendale del supermercato senza adeguate segmentazioni.

Secondo i paradigmi di sicurezza industriale, come il modello Purdue (Purdue Enterprise Reference Architecture)¹, le architetture di rete dovrebbero essere rigorosamente segmentate e gerarchiche. Il livello 0 (sensori e attuatori fisici) e il livello 1 (controllori logici programmabili o PLC) dovrebbero comunicare esclusivamente con il livello 2 (sistemi SCADA locali), i quali a loro volta dovrebbero essere separati dalla rete aziendale IT (livelli 4 e 5) attraverso una rigorosa zona demilitarizzata (DMZ industriale) situata al livello 3.5. Nella realtà della distribuzione alimentare e della logistica del freddo, per ragioni di presunta efficienza e riduzione dei costi di assistenza, manutentori di terze parti e fornitori ottengono frequentemente accesso diretto ai controllori di livello 1 tramite protocolli non sicuri, bypassando completamente i firewall e le reti private virtuali (VPN).

I dispositivi presi di mira, in larga parte prodotti dall’azienda danese Danfoss o dotati di controller obsoleti (come alcune generazioni fuori produzione di Dixell/Copeland), operavano spesso con software non aggiornato da anni. Le vulnerabilità di questi sistemi erano note: già a maggio del 2025 le agenzie di sicurezza informatica avevano individuato bug critici nei software di refrigerazione, e nell’agosto del 2026 aziende di cybersecurity avevano esplicitamente avvertito che tali falle avrebbero permesso agli hacker di “scongelare” il cibo. Nonostante gli avvertimenti, si stima che oltre 13.000 servizi di refrigerazione fossero rimasti esposti in rete, rintracciabili tramite motori di ricerca specializzati in dispositivi IoT.

L’Agenzia per la Cybersicurezza Nazionale (ACN), attraverso il CSIRT Italia, ha immediatamente diffuso il bollettino di allerta BL01/261013/CSIRT-ITA², imponendo misure urgenti di mitigazione per gli operatori della distribuzione alimentare. Tra le direttive operative figurano la rimozione immediata delle interfacce di controllo direttamente accessibili tramite IP pubblici, l’implementazione di VPN con autenticazione a più fattori (MFA), la segregazione degli ambienti OT dalle reti IT aziendali e la pianificazione di aggiornamenti per i dispositivi con firmware end-of-life. Tuttavia, queste direttive tecniche si scontrano con un ostacolo strutturale molto più profondo all’interno del panorama aziendale: la radicale mancanza di consapevolezza e di competenze.

Il dibattito tra competenze e budget

Il dibattito pubblico scaturito dagli attacchi ai supermercati ha rapidamente coinvolto i vertici istituzionali, portando alla luce un equivoco di fondo sulla natura della difesa cibernetica. Il Ministro della Pubblica Amministrazione, Paolo Zangrillo, commentando le difficoltà dello Stato nell’ingaggiare esperti capaci di individuare le falle di sicurezza, ha sollevato una problematica legata ai costi, tracciando un singolare identikit dell’hacker moderno³: giovani tra i 18 e i 25 anni che nel mercato privato guadagnano mediamente un milione di euro all’anno. Il Ministro ha evidenziato come il tetto agli stipendi pubblici, fissato a 311.000 euro annui, renda impossibile competere con tali retribuzioni, suggerendo che la Pubblica Amministrazione debba aprirsi a nuove politiche salariali.

Sebbene l’osservazione fotografi una possibile dinamica riguardante le nicchie di iper-specializzazione del mercato del lavoro, essa rischia di fuorviare l’attenzione dalla vera soluzione al problema. L’unica arma efficace che le aziende private e le pubbliche amministrazioni possiedono non risiede nell’ingaggio di un singolo super-hacker a costi esorbitanti, ma nella costruzione di una solida e pervasiva cultura della sicurezza. La difesa di una catena di supermercati, di un’industria manifatturiera o di un ente locale non è una questione puramente economica o di budget inaccessibili; è, al contrario, una stringente questione di competenze diffuse. Secondo il Data Breach Investigations Report (DBIR) 2026 di Verizon⁴, il 62% di tutte le violazioni informatiche coinvolge l’elemento umano. Gli errori di configurazione, l’uso di password deboli o predefinite per l’accesso remoto ai sistemi OT, il riutilizzo di credenziali compromesse e la caduta in trappole di ingegneria sociale (come il phishing) sono i veri vettori d’ingresso per i criminali informatici.

Un dipendente non addestrato a riconoscere un’anomalia, un manager che approva l’esposizione di un database su cloud senza protezioni o un tecnico frigorista che lascia una porta di manutenzione aperta sul router aziendale per comodità, vanificano anche le infrastrutture di sicurezza più costose. Innalzare le competenze di base del personale esistente, istruire i decisori sui rischi cyber e formare i dipendenti sulle pratiche di igiene digitale richiede investimenti infinitamente inferiori rispetto all’assunzione di figure apicali di élite o al pagamento dei danni post-incidente, garantendo al contempo un livello di protezione esponenzialmente maggiore.

La condivisione del rischio

Spostato il focus del dibattito su competenze e prevenzione occorre analizzare il modo in cui le aziende gestiscono il rischio residuo. L’approccio delle imprese al trasferimento del rischio è oggi lontano dalla realtà, specialmente se si confronta la propensione ad assicurarsi contro i danni fisici (come furto e incendio) rispetto a quelli digitali.

La quasi totalità delle aziende italiane dotate di un magazzino, di un capannone o di un punto vendita stipula polizze assicurative contro l’incendio e il furto. I dati storici dell’ANIA dimostrano che la copertura per danni alla proprietà e incendio rappresenta una costante nei bilanci aziendali, con milioni di eventi assicurati e premi versati regolarmente per tutelare i beni materiali.

Il Rapporto Clusit 2026⁵ ha registrato il numero più alto mai documentato di incidenti cyber gravi (4.911 nel 1° semestre). Il costo medio di un data breach per una PMI si attesta a circa 120.000 euro, una cifra media che tiene conto anche dei danni consequenziali legati al blocco operativo (business continuity). Nonostante la probabilità statistica di subire un attacco informatico critico sia ordini di grandezza superiore rispetto alla probabilità di subire un incendio distruttivo, la copertura assicurativa per tale rischio riflette un’era pre-digitale. Recenti stime indicano che meno del 10%⁶ delle imprese italiane possiede attualmente una polizza personalizzata per la copertura del rischio informatico (cyber insurance) adeguata alle proprie necessità. Eppure, l’Allianz Risk Barometer del 2026⁷ conferma, per l’ennesimo anno consecutivo, che il rischio informatico è percepito come il pericolo primario a livello globale, superando nettamente le tradizionali interruzioni di attività, i disastri naturali e, di conseguenza, gli incendi e i furti. Eppure, secondo rilevazioni ANIA, nelle micro e piccole imprese italiane la penetrazione delle coperture antincendio/fabbricato supera il 90%⁸.

Il mercato assicurativo sta rapidamente evolvendo per rispondere a questa asimmetria. Compagnie internazionali chiedono requisiti di assicurabilità sempre più stringenti, al punto che molte delle imprese richiedenti non soddisfa i requisiti minimi durante l’audit iniziale. Le assicurazioni negano l’emissione della polizza, o ne innalzano drasticamente il premio, in assenza di controlli di base quali l’autenticazione a più fattori (MFA), i backup offline immutabili, i piani di incident response e la segregazione delle reti OT. L’assicurazione cyber non è più un prodotto standardizzato acquistabile per scaricare le proprie inefficienze tecnologiche, ma uno strumento evoluto accessibile esclusivamente a chi dimostra di possedere una governance digitale e competenze interne strutturate.

Incident response

Avere una polizza cyber non garantisce tuttavia una soluzione automatica in caso di disastro. Le dinamiche del risarcimento danni da parte delle compagnie per incidenti informatici sono complesse e si fondano su clausole di esclusione estremamente rigide. Uno dei motivi principali di rigetto delle richieste di indennizzo da parte dei periti liquidatori è l’invocazione dell’eccezione di colpa grave da parte dell’assicurato. La colpa grave si configura qualora l’azienda agisca con macroscopica negligenza, omettendo l’applicazione delle più elementari norme di diligenza professionale previste dal contratto. In ambito di sicurezza informatica, esempi tipici di colpa grave includono il sistematico mancato aggiornamento di vulnerabilità note da mesi sui sistemi di produzione, la disattivazione deliberata di sistemi antivirus o firewall per velocizzare determinati processi industriali, l’esposizione di protocolli amministrativi insicuri direttamente sulla rete pubblica Internet, nonché l’assenza di backup testati o l’affidamento di credenziali di amministrazione a fornitori terzi senza tracciamento.

Per contrastare le eccezioni sollevate dalle compagnie assicurative e dimostrare che l’incidente non è derivato da colpa grave, l’azienda vittima ha l’onere di fornire prove tecniche sulle dinamiche dell’attacco. È proprio in questa delicata fase che le modalità del primo intervento assumono rilevante importanza. La gestione delle primissime ore determina non solo i tempi di ripristino dei servizi, ma soprattutto la possibilità di ottenere giustizia nelle aule di tribunale e di attivare le pratiche di risarcimento danni. L’errore più drammatico e comune, spesso dettato dal panico del management e dall’urgenza di ripristinare la continuità operativa, consiste nel riavviare frettolosamente i sistemi compromessi, formattare i server, spegnere i dispositivi o lanciare procedure di ripristino dai backup in modo caotico.

Queste azioni, sebbene comprensibili dal punto di vista del business, distruggono irreparabilmente le evidenze digitali (log di sistema, file temporanei, registri di connessione, contenuto della memoria volatile RAM) necessarie per comprendere l’origine dell’intrusione e dimostrare le responsabilità. Nell’immediato, è invece assolutamente necessario e prioritario isolare la scena del crimine digitale e coinvolgere tempestivamente periti informatici forensi competenti.

Solo professionisti qualificati, operando come digital evidence first responder (DEFR), possono intervenire sull’infrastruttura colpita garantendo l’acquisizione delle prove secondo metodologie scientifiche. Tale acquisizione forense deve seguire rigorosamente lo standard internazionale ISO/IEC 27037:2012. Elemento cardine di questa fase è la cristallizzazione della prova attraverso il calcolo di funzioni di hash crittografici (come lo SHA-256) e l’apposizione di marche temporali qualificate.

Raccogliere le tracce digitali nel pieno rispetto delle migliori pratiche dell’informatica forense risulta dirimente per avviare con successo qualsiasi iter legale, che si tratti di sporgere una querela presso la Polizia Postale, di intentare una causa civile per responsabilità contrattuale verso un fornitore IT negligente, o di attivare l’escussione di una polizza assicurativa.

Riferimenti e note:

1. Cos’è il Modello Purdue per la sicurezza ICS? | Fortinet, https://www.fortinet.com/it/resources/cyberglossary/purdue-model ↩︎
2. Misure urgenti di verifica e mitigazione per operatori della … | ACN, https://www.acn.gov.it/portale/w/misure-urgenti-di-verifica-e-mitigazione-per-operatori-della-distribuzione-alimentare-e-della-filiera-del-freddo ↩︎
3. Il ministro Zangrillo e gli hacker «che ci servono, ma sapete il più sfigato … | Open, https://www.open.online/2026/11/03/paolo-zangrillo-attacchi-hacker-supermercati/ ↩︎
4. 2026 Data Breach Investigations Report | Verizon, https://www.verizon.com/business/resources/T343/reports/2026-dbir-data-breach-investigations-report.pdf ↩︎
5. Rapporto Clusit 2026, https://clusit.it/rapporto-clusit/ ↩︎
6. Cyber insurance in Italia: protection gap delle PMI, https://www.ictsecuritymagazine.com/articoli/cyber-insurance-pmi/ ↩︎
7. Rischi informatici. Cinque informazioni dal Risk Barometer Allianz, https://www.allianz.ch/it/clienti-commerciali/guida-business/risk-barometer-rischi-informatici.html ↩︎
8. EDIZIONE 2026 | Ania, https://www.ania.it/wp-content/uploads/2026/07/Brochure-ANIA-Un-Paese-protetto-e-piu-forte-e-competitivo-2026.pdf ↩︎
9. Hiscox | Cyber Readiness Report 2026, https://www.hiscox.it/hiscox-cyber-readiness-report-2026 ↩︎