Nella notte tra l'1 e il 2 novembre i banchi surgelati di supermercati in nove Paesi europei (Belgio, Estonia, Finlandia, Irlanda, Italia, Lussemburgo, Paesi Bassi, Portogallo e Svezia) arrivano a 50 gradi, in alcuni casi a 70. In Belgio cadono una quarantina di punti vendita di varie catene, almeno 15 Carrefour e perfino l'Ikea di Mons, con circa 100.000 euro di merce buttata. In Svezia ICA e Coop indicano il dettaglio decisivo: tutti i negozi colpiti erano collegati al sistema di controllo remoto del freddo della danese Danfoss. In Italia l'attacco colpisce intorno alle 4 del mattino alcuni Coop gestiti in franchising dal gruppo siciliano Radenza e cinque Conad tra Veneto e Sicilia. L'ACN rileva altri attacchi contro un'azienda toscana di ristorazione collettiva e un produttore emiliano di surgelati. Seguono un vertice a Palazzo Chigi con Mantovano e Lollobrigida e le audizioni del Copasir. Il comunicato ufficiale è da manuale: nessun allarme, massima attenzione. Nessuno ha rivendicato l'attacco, e il centro per la cybersicurezza belga ammette che probabilmente non si saprà mai chi c'è dietro.
Il meccanismo è banale. Nessun malware, nessun guasto. Le centrali frigorifere dei supermercati, che controllano decine o centinaia di banchi, sono connesse a internet per due ragioni legittime. La prima è la manutenzione remota: secondo Danfoss taglia del 15-30% le uscite inutili dei tecnici. La seconda è il registro automatico delle temperature richiesto dalle norme sulla sicurezza alimentare. Ogni giorno però l'evaporatore va sbrinato scaldando il banco. Chi entra da un pannello esposto, con password deboli e firmware vecchio, alza la soglia di stop dello sbrinamento, continua a mandare il comando e spegne gli allarmi. Dall'esterno sembra normale manutenzione: è il ladro vestito da idraulico. Forescout, usando il motore di ricerca Shodan, ha contato oltre 12.900 servizi di refrigerazione esposti su circa 6.000 indirizzi in 99 Paesi. L'80% degli apparecchi Danfoss ha un firmware più vecchio della versione che corregge le vulnerabilità note. Alcune centraline non ricevono aggiornamenti da maggio 2021, perché il produttore ha smesso di supportarle.
L'aggravante è la recidiva. A metà ottobre centinaia di supermercati francesi avevano subito lo stesso attacco, con il CERT francese che segnalava le centraline Danfoss e Copeland e danni stimati in diversi milioni di euro. Ad agosto era toccato agli spacci delle basi militari statunitensi, in Arizona. A maggio, in Israele, comandi ripetuti avevano distrutto i compressori di un grande stabilimento, attacco attribuito a un gruppo legato ai militari iraniani. In Belgio la ditta Sabcobel aveva iniziato a mettere in sicurezza gli impianti dopo l'episodio francese: sono stati colpiti proprio quelli non ancora sistemati. Chi sia stato, uno Stato o un dilettante, conta poco, perché le tracce sono indistinguibili. La domanda vera è un'altra: perché un tasto di manutenzione si può premere da internet senza che scatti alcun allarme, mesi dopo che il problema era noto? La responsabilità ricade su fornitori, manutentori e responsabili della sicurezza. Il dipendente con termometro e foglio, almeno, guardava in faccia chi entrava.
Le soluzioni non sono complicate. Gli impianti vanno isolati dalla rete aziendale, raggiungibili solo tramite VPN cifrata e con autenticazione a due fattori, come si fa per un conto corrente da 2.000 euro. Gli apparecchi che il produttore non aggiorna più vanno isolati o sostituiti, senza vie di mezzo. Il rischio va oltre il gelato sciolto. Gli stessi sistemi gestiscono cantine, depositi di frutta, aziende agricole e ospedali. Corman, ex funzionario della CISA, ha avvertito che i prossimi bersagli potrebbero essere farmaci e materiali di laboratorio da conservare al freddo. Lì una catena del freddo interrotta non si misura più in polpette buttate.
In questa Puntata
Hanno trasformato i congelatori dei supermercati europei in forni a 50 gradi. Senza rompere niente. E non era la prima volta.