Frigoriferi sotto attacco: Danfoss e il divario fra patch e protezione

Gli attacchi alla catena del freddo, i controllori Danfoss e le vulnerabilità già documentate. Che cosa era stato corretto e che cosa resta da dimostrare.

Giovanni Panza11 Novembre 2026 · 7 min

Illustrazione originale · Oltre l’Algoritmo

ANALISI · Fonti verificate l’11 novembre 2026

Un attacco informatico può arrivare fino al banco frigo di un supermercato. Il 4 novembre 2026 ENISA ha confermato incidenti contro sistemi di refrigerazione commerciali in diversi Stati dell’Unione europea, a partire dall’11 ottobre, e una nuova ondata tra il 1° e il 2 novembre. È un caso concreto di come la sicurezza digitale possa incidere sul funzionamento di un servizio quotidiano. [1]

Il punto da chiarire subito è questo: esistevano vulnerabilità note e protezioni disponibili, ma non è corretto riassumere tutto dicendo che «nessuno aveva corretto la falla». Occorre distinguere i prodotti aggiornabili da quelli fuori supporto, e le debolezze dimostrate dai ricercatori dal meccanismo effettivamente usato negli incidenti.

Di quali frigoriferi e di quale azienda parliamo?

Il nome centrale è Danfoss, produttore di tecnologie e sistemi di controllo per la refrigerazione. Nel caso dell’AK-SM 800A analizzato da Claroty, si tratta di un supervisore: una console che permette di monitorare circuiti frigoriferi, temperature, allarmi e programmi di funzionamento. Identificare il produttore del controllore non equivale quindi a identificare il marchio di ogni frigorifero o banco refrigerato dell’impianto. [3]

L’allerta francese del 12 ottobre, poi aggiornata, documenta numerose compromissioni di controllori Danfoss delle serie AK-SM e AK-SC, oltre a sistemi Copeland XWEB e Dixell XWEB. Parlare di un problema limitato a un solo produttore sarebbe incompleto. [2]

L’UFCS svizzero distingue inoltre gli AK-SM 800 e AK-SC 355 a fine vita dalla famiglia AK-SM 800A / AK-SM 8xxA con firmware obsoleto. Descrive accessi alle interfacce di gestione esposte su Internet e la possibilità di alterare temperature, sbrinamento e allarmi. La conseguenza può essere il deterioramento delle merci e l’interruzione dell’attività. [8]

La vulnerabilità: un accesso alternativo alla password

Nella ricerca pubblicata il 9 agosto 2026, Claroty Team82 descrive per l’AK-SM 800A un meccanismo nascosto di autenticazione, il code of the day, associato alla CVE-2025-41450. Il codice viene ricavato dalla data del dispositivo attraverso un algoritmo: non significa che bastasse scrivere la data come password. Ricostruendo il calcolo, i ricercatori hanno mostrato la possibilità di superare il normale controllo della password amministrativa. [3]

È un problema di autenticazione: proteggere l’accesso ordinario con una password robusta non risolve un percorso alternativo vulnerabile. L’avviso Danfoss DSA-2025-03-01, pubblicato il 24 marzo 2025, indica come interessate le versioni AK-SM 8xxA precedenti alla 4.2 e segnala quella versione come correzione. [4]

Le altre due falle documentate

La ricerca comprende anche debolezze utilizzabili dopo l’autenticazione. Questa condizione è importante: prese singolarmente, non sono descritte come accessi liberi a chiunque.

CVE-2025-41451 — iniezione di comandi. Campi della configurazione delle notifiche email non trattati correttamente possono permettere l’esecuzione remota di comandi sul sistema. In termini semplici, un dato inserito nella configurazione può essere interpretato come un’istruzione da eseguire. [10]
CVE-2025-41452 — modifica della configurazione del servizio web. Un utente autenticato può intervenire su impostazioni dell’interfaccia; la gestione inadeguata di condizioni eccezionali può portare a un denial of service, rendendo indisponibile il servizio. Questo non dimostra, da solo, l’arresto della refrigerazione. [11]

Danfoss ha pubblicato il relativo avviso DSA-2025-08-01 il 1° agosto 2025: per entrambe le vulnerabilità indica come interessate le versioni precedenti alla 4.3.1 e raccomanda l’aggiornamento. La 4.2 e la 4.3.1 sono riferimenti alle correzioni di quelle falle, non una garanzia che oggi siano le versioni più recenti. [5]

Una storia di segnalazioni che precede il 2026

Il rapporto Synacktiv, aggiornato al 31 ottobre 2023, documenta già un aggiramento dell’autenticazione basato su un codice giornaliero per SM800 e SC255. La cronologia registra una segnalazione a Danfoss il 28 febbraio 2023 e una risposta il 13 marzo: secondo il rapporto, il produttore classificò i modelli come a fine vita e furono definite contromisure di rete e una comunicazione ai clienti. La mitigazione riportata è limitare l’accesso di rete. Sono modelli e versioni distinti: il caso non va sovrapposto automaticamente alla CVE del 2025 sull’800A. [6]

Nel proprio Tech Insider di ottobre 2025, Danfoss ricorda che l’AK-SM 800 era a fine vita dal maggio 2021 e che SC255 e SC355 erano stati ritirati nel 2016. Il documento annuncia la cessazione dei servizi sui prodotti legacy e invita alla sostituzione. La distinzione tra 800 e 800A non è un dettaglio: non si può prescrivere lo stesso firmware a prodotti diversi. [7]

Le falle erano note. Sono quelle usate negli attacchi?

Le fonti consultate non consentono di stabilirlo per tutti gli episodi. Il bollettino CERT-FR conferma le compromissioni ma non identifica una di queste CVE come causa comune. Una vulnerabilità tecnicamente sfruttabile non costituisce, da sola, una prova del suo impiego in un incidente. [2]

La conclusione sostenibile è più precisa: per la famiglia aggiornata esistevano correttivi; per alcuni modelli legacy il problema era la permanenza in servizio senza supporto. L’UFCS rileva che le misure raccomandate non erano state attuate ovunque. Questo documenta un divario tra disponibilità delle protezioni e protezione effettiva, senza permettere di attribuire indistintamente la stessa omissione a ogni produttore, manutentore o negozio. [8]

Che cosa occorre fare, secondo le autorità

Il bollettino CSIRT Italia, disponibile anche nella ripubblicazione istituzionale del CSIRT Toscana, richiede verifiche che coinvolgano responsabili informatici, responsabili degli impianti e manutentori. Le priorità comprendono:

censire apparati, versioni, stato del supporto e accessi di teleassistenza;
rimuovere l’esposizione diretta delle funzioni amministrative e separare le reti di controllo;
limitare gli accessi remoti, proteggere le autenticazioni e verificare gli account;
controllare parametri e allarmi, conservando gli elementi utili a ricostruire un’eventuale compromissione;
applicare gli aggiornamenti compatibili e pianificare la sostituzione degli apparati fuori supporto.

Gli interventi devono preservare la continuità e la sicurezza dell’impianto: scollegare un accesso Internet non significa spegnere indiscriminatamente la refrigerazione. [9]

La domanda che resta: chi segue il problema fino alla soluzione?

La mia lettura di questo caso è che una segnalazione, una patch e un sistema protetto siano tre passaggi diversi. Individuare una vulnerabilità è essenziale; pubblicare una correzione lo è altrettanto. Ma il lavoro rimane incompleto finché non si verifica che, nell’impianto reale, il rischio sia stato gestito.

Vorrei quindi evitare sia l’alibi della tecnologia inevitabilmente imperfetta, sia l’accusa generica secondo cui tutti sapessero e nessuno avesse fatto nulla. La domanda concreta è chi debba verificare l’applicazione delle misure, con quali scadenze e con quale evidenza del risultato. In un sistema che controlla un processo fisico, la responsabilità si misura anche qui.

Fonti e trasparenza editoriale

Ricognizione chiusa l’11 novembre 2026. Sono distinti gli incidenti confermati, le vulnerabilità documentate e il commento personale. Non viene attribuita una specifica CVE a tutti gli attacchi, né una responsabilità individuale non dimostrata.

Testo preparato con assistenza IA e verifica delle fonti indicate.