Controller di refrigerazione compromessi: quando l’accesso remoto diventa un rischio operativo

In breve

Un controller raggiungibile direttamente da Internet può trasformare un servizio di assistenza in un punto d’ingresso. Il 16 ottobre 2026 il CERT-FR ha aggiornato un’allerta su numerose compromissioni di sistemi Danfoss, Copeland e Dixell. La priorità è togliere le interfacce di gestione dalla rete pubblica, verificare configurazioni e firmware e ripristinare l’accesso soltanto tramite una rete protetta.

 

Quando la manutenzione remota mette a rischio la catena del freddo

La cybersicurezza di una cella frigorifera può sembrare lontana dai problemi quotidiani di un supermercato, di un laboratorio o di una struttura sanitaria. Finché qualcuno non modifica da remoto la configurazione che mantiene corretta la temperatura.

Il CERT-FR, la struttura francese che gestisce gli allarmi informatici nazionali, ha pubblicato il 12 ottobre 2026 un’allerta sulle compromissioni di controller usati per amministrare impianti di refrigerazione. Il documento è stato aggiornato il 16 ottobre con raccomandazioni operative più dettagliate. I sistemi citati sono Danfoss serie AK-SM e AK-SC, Copeland XWEB e Dixell XWEB.

L’allerta non attribuisce tutte le compromissioni a una singola vulnerabilità né ricostruisce un unico percorso d’attacco. Indica però un elemento comune e verificabile: l’esposizione diretta su Internet delle interfacce di gestione è contraria alle buone pratiche e aumenta in modo sostanziale il rischio.

 

Il problema non è soltanto informatico

Questi dispositivi regolano funzioni che hanno effetti fisici: temperatura, allarmi, programmazione e, in alcuni casi, cicli di sbrinamento. Un’alterazione può quindi produrre conseguenze sulla conservazione di alimenti, farmaci, campioni o materiali sensibili. Può anche fermare il servizio e rendere necessarie verifiche tecniche prima della riapertura.

Il caso mostra perché i dispositivi industriali non possono essere trattati come semplici periferiche. Sono parte del processo operativo. Se l’inventario informatico non li comprende, possono restare fuori da aggiornamenti, controllo degli accessi, gestione degli incidenti e piani di continuità.

La responsabilità, inoltre, è spesso distribuita. Il gestore dell’impianto dipende dal manutentore; il manutentore usa un accesso remoto; il reparto informatico controlla la rete; il responsabile operativo conosce l’impatto di una fermata. Se nessuno ricompone queste informazioni, un’interfaccia pubblica può rimanere attiva per anni perché “serve all’assistenza”.

 

Che cosa raccomanda il CERT-FR

La prima misura è rimuovere l’esposizione su indirizzi Internet pubblici, sia per le unità compromesse sia per quelle che risultano ancora integre. Prima di interrompere la trasmissione dei dati verso il manutentore, l’autorità invita a verificare le condizioni contrattuali di assicurazione. L’organizzazione deve inoltre valutare l’impatto operativo dell’intervento, perché la messa in sicurezza deve essere rapida senza creare danni ulteriori al servizio.

Segue il controllo completo della configurazione, comprese le fasce di sbrinamento. L’accesso va poi riattivato soltanto tramite una rete protetta o una rete privata virtuale sicura. Il filtraggio degli indirizzi IP del manutentore può essere una misura di emergenza, non una soluzione stabile.

Occorre infine applicare le indicazioni del rispettivo produttore. Per gli apparati Danfoss, il CERT-FR cita come esempi l’aggiornamento del firmware, la modalità di sicurezza più rigorosa e il cambio delle password predefinite. Se un dispositivo è stato compromesso, il riavvio o il ripristino di fabbrica possono rimuovere la persistenza presente, ma non eliminano la causa. Un prodotto fuori supporto, nuovamente esposto senza protezioni, può essere colpito ancora.

 

Inventario e accesso remoto: due verifiche che non possono attendere

Per iniziare non serve un progetto pluriennale. Serve sapere quali apparati esistono, chi li gestisce e da dove sono accessibili. L’inventario dovrebbe includere modello, firmware, indirizzo di rete, proprietario del servizio, manutentore, modalità di collegamento e stato del supporto del produttore.

Il secondo controllo riguarda gli accessi remoti. Ogni collegamento dovrebbe avere un titolare, una finalità e una durata. Le credenziali condivise o predefinite impediscono di ricostruire chi ha fatto cosa. Un accesso sempre aperto per comodità sposta il rischio sull’intera organizzazione.

Una rete privata virtuale è utile soltanto se configurata e governata correttamente. Va protetta con credenziali individuali, autenticazione robusta, registrazione degli accessi e revoca tempestiva. La segmentazione deve impedire che il controller diventi un ponte verso altri sistemi o che una compromissione della rete aziendale raggiunga l’impianto senza ostacoli.

 

Il contratto di manutenzione deve parlare con la sicurezza

Molti problemi nascono prima dell’installazione. Un contratto può autorizzare l’assistenza remota senza descrivere il canale, i tempi di aggiornamento, la gestione delle credenziali, la conservazione dei log o le responsabilità in caso di incidente.

Le verifiche tecniche dovrebbero quindi essere accompagnate da una revisione contrattuale. Il manutentore deve sapere come segnalare un’anomalia, quali accessi può usare e come vengono revocati. L’organizzazione deve sapere chi interviene, con quali tempi e quali prove conserva. Se il servizio è essenziale, servono anche modalità alternative per operare durante l’isolamento del dispositivo.

 

Sei azioni immediate

1. Censire i controller. Includere impianti e dispositivi connessi nell’inventario degli asset.
2. Individuare le esposizioni. Verificare quali interfacce siano raggiungibili da Internet e rimuovere l’accesso pubblico.
3. Mettere in sicurezza l’assistenza. Usare una rete protetta o una rete privata virtuale, con credenziali individuali e registrazione degli accessi.
4. Controllare configurazione e firmware. Verificare parametri operativi, aggiornamenti, password predefinite e stato di supporto.
5. Preparare la risposta. Definire chi può isolare l’apparato, come conservare i log e come mantenere il servizio in sicurezza.
6. Rivedere fornitori e contratti. Chiarire responsabilità, tempi, canali di accesso e obblighi di notifica.

 

Una lezione che va oltre la refrigerazione

L’allerta riguarda famiglie di prodotti precise e non dimostra che ogni impianto di refrigerazione sia compromesso. Lo stesso rischio può presentarsi in altri dispositivi industriali amministrati da remoto quando l’accesso resta pubblico, il prodotto non è aggiornato o vengono usate credenziali deboli.

La sicurezza dei dispositivi industriali non appartiene soltanto al reparto informatico. Richiede il contributo di chi conosce l’impianto, di chi gestisce la rete, di chi governa i fornitori e di chi deve garantire la continuità del servizio. È proprio nell’incrocio tra questi ruoli che si trova, spesso, l’interfaccia dimenticata.

 

Fonti e riferimenti

• CERT-FR, allerta CERTFR-2026-ALE-012: https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/
• Claroty, analisi sull’esposizione dei controller di refrigerazione: https://blog.claroty.com/blog/france-supermarket-hacks-expose-risks-of-internet-facing-refrigeration-systems
• Claroty Team82, ricerca sui controller Danfoss: https://blog.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers

 

Nota di trasparenza

Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.