Nella notte tra l’11 e il 12 ottobre 2026 gli impianti di refrigerazione di centinaia di supermercati francesi sono stati manomessi da remoto, con banchi frigo e celle fino a 50 °C. Il problema non riguarda solo il freddo.
Lo stesso può accadere alla centrale termica di uno stabilimento, al compressore di un’officina o alla linea di imbottigliamento di una cantina. In generale, a qualsiasi impianto controllato o assistito a distanza. È il tema della cybersecurity OT, la sicurezza informatica degli impianti.
Il 13 ottobre l’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato il bollettino Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo. Le verifiche che indica valgono per ogni azienda con impianti connessi.
Cosa è successo agli impianti di refrigerazione in Francia?
Gli attaccanti hanno hackerato i sistemi informatici che regolano a distanza temperature, allarmi e sbrinamenti delle unità frigorifere. Secondo le ricostruzioni di stampa, hanno attivato sbrinamenti forzati. Le catene coinvolte hanno riferito che l’attacco ha colpito un fornitore esterno incaricato della gestione degli impianti e le autorità francesi hanno avviato un’indagine.
Cybersecurity OT: quali impianti aziendali sono esposti allo stesso rischio?
È esposto qualsiasi impianto gestito da un dispositivo connesso e raggiungibile da remoto. I sistemi OT (Operational Technology, tecnologia operativa) sono l’hardware e il software che monitorano o controllano processi fisici come temperature, pressioni, flussi e consumi.
Alcuni esempi dai settori più diffusi sul territorio:
- manifattura: centrali termiche e frigorifere, compressori, cabine elettriche, macchine con assistenza remota del costruttore;
- agroalimentare: celle di stagionatura di salumifici e caseifici, controllo della fermentazione in cantina, linee di confezionamento;
- logistica: magazzini automatici e celle a temperatura controllata;
- edilizia e servizi: sistemi che gestiscono riscaldamento, climatizzazione e accessi degli edifici, impianti fotovoltaici, depuratori.
Molti di questi impianti sono installati e assistiti da fornitori esterni, che vi accedono con un modem, un router o un software di controllo a distanza. Le debolezze ricorrenti sono le stesse in tutti i settori:
- teleassistenza sempre attiva;
- credenziali di fabbrica mai cambiate;
- rete degli impianti collegata senza filtri a quella degli uffici;
- apparati non più aggiornati dal produttore.
A differenza di un computer, su un controllore spesso non si può installare un antivirus. La protezione dipende quindi dall’architettura di rete e dal controllo degli accessi.
Cosa chiede l’ACN e come si applica a ogni impianto?
L’ACN raccomanda di verificare subito i sistemi OT. La priorità è eliminare gli accessi esposti su Internet e controllare i parametri impostati. Le indicazioni sono scritte per la filiera del freddo, ma qualsiasi azienda con impianti connessi può applicarle allo stesso modo.
Il bollettino indica sei ambiti di verifica:
- Censimento: controllori, sistemi SCADA (piattaforme di supervisione), PLC (controllori programmabili), gateway (apparati di collegamento) e servizi di teleassistenza. Per ciascuno vanno indicati ubicazione, responsabile, modello, versione e stato di supporto.
- Esposizione su Internet: apparati e interfacce di amministrazione raggiungibili direttamente dalla rete pubblica.
- Separazione delle reti: divisione effettiva tra rete aziendale (IT) e reti degli impianti (OT), compresi i collegamenti con sedi e fornitori.
- Teleassistenza: tutti i collegamenti remoti dei fornitori, con responsabilità, autorizzazioni e modalità di revoca.
- Credenziali e aggiornamenti: password predefinite, deboli o condivise e stato di supporto dei dispositivi.
- Continuità: procedure manuali di emergenza e soluzioni alternative quando l’impianto non è affidabile.
L’ACN chiede anche di monitorare le modifiche non autorizzate dei parametri e gli accessi remoti da indirizzi sconosciuti. Gli strumenti sono i registri degli eventi (log) di firewall, VPN (reti private virtuali) e piattaforme di supervisione. Se emergono indizi di compromissione, l’ACN raccomanda di conservare i log per l’analisi forense e di informare il CSIRT Italia, la struttura dell’ACN che gestisce gli incidenti informatici.
Nell'ambito delle attività di adeguamento alla NIS2 e di gestione dei rischi informatici, il censimento degli impianti connessi e degli accessi dei fornitori rappresenta spesso il primo passo.
La NIS2 riguarda anche gli impianti?
Sì, per le imprese soggette al D.Lgs. 4 settembre 2024, n. 138, il decreto NIS che recepisce la direttiva (UE) 2022/2555. Il decreto considera sistema informativo e di rete anche qualsiasi dispositivo che esegue un trattamento automatico di dati digitali (art. 2). Un controllore di impianto connesso rientra in questa definizione.
L’ACN ha fissato le misure di sicurezza di base con la Determinazione n. 379907/2025. Riguardano tra l’altro l’inventario dei beni, il controllo degli accessi e la sicurezza dei fornitori, e valgono quindi anche per gli impianti e per chi li gestisce da remoto. Scadenze, misure e sanzioni sono descritte nel nostro articolo sulla scadenza NIS 2 di ottobre 2026.
Le imprese fuori dal perimetro NIS non hanno questi obblighi, ma restano esposte allo stesso rischio. Se forniscono soggetti NIS, possono inoltre ricevere richieste di requisiti di sicurezza nei contratti.
Cosa rischia l’azienda quando un impianto viene manomesso?
Il primo danno è operativo. L’ACN elenca deterioramento delle merci, indisponibilità degli impianti, sospensione delle attività e costi di ripristino. A questo si aggiungono gli obblighi di settore, che restano in capo all’azienda anche quando la causa è un attacco informatico.
- Alimentare: il Regolamento (CE) n. 852/2004 sull’igiene dei prodotti alimentari stabilisce che la catena del freddo non deve essere interrotta (Allegato II, Capitolo IX, punto 5). I prodotti esposti a temperature non idonee vanno valutati e, se non sicuri, eliminati.
- Ambiente: se un attacco altera i parametri di un depuratore o di un impianto di abbattimento delle emissioni, scarichi ed emissioni possono superare i limiti autorizzati.
- Sicurezza delle persone: negli impianti che gestiscono pressioni, temperature elevate o sostanze pericolose, un valore modificato può creare un rischio per i lavoratori.
Come buona prassi, le procedure di gestione delle emergenze e i piani di autocontrollo possono già considerare lo scenario informatico. Alcuni esempi sono sonde e allarmi indipendenti dal sistema di controllo, procedure manuali e criteri per valutare prodotti e impianti dopo un’anomalia.
Per la maggior parte delle imprese la priorità non è acquistare nuove tecnologie, ma sapere quali impianti sono raggiungibili da remoto, quali fornitori vi accedono e come gestire i rischi associati. Da questa verifica preliminare emergono le principali criticità organizzative e le priorità di intervento.
Studio Quality supporta le imprese nella gestione dei fornitori, nella definizione di procedure e responsabilità interne, nell'adeguamento ai requisiti della NIS2 e nell'aggiornamento della documentazione aziendale connessa alla continuità operativa e alla gestione delle emergenze. Supportiamo inoltre la formazione del personale sui comportamenti di sicurezza e sulla corretta gestione degli eventi che possono compromettere la continuità operativa aziendale.
