Guerra ibrida in Europa: come colpisce e come difendersi

Tra ottobre e i primi di novembre 2026 diversi operatori europei della catena del freddo hanno subito attacchi ai sistemi di refrigerazione. Per l'Agenzia per la Cybersicurezza Nazionale (ACN), l'incidente che ha colpito le catene di supermercati francesi ha sfruttato installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e autenticazione debole. È il genere di episodio che si legge come guerra ibrida: colpisce impianti che governano il mondo fisico.

Guerra ibrida: che cos'è davvero

Il non-paper della Difesa la definisce come azioni coordinate in più domini, condotte da attori statali e non statali, sotto la soglia del conflitto armato e spesso non attribuibili. Nel cyber il bersaglio diventa, oltre al singolo PC, la tecnologia operativa (OT) e l'Internet of Things (IoT) che gestiscono il mondo fisico. Sul versante dell'informazione la stessa strategia passa dalla guerra cognitiva.

Il sabotaggio della catena del freddo

Secondo il bollettino CSIRT dell'ACN, pubblicato il 13 ottobre 2026 e aggiornato il 3 e il 4 novembre, l'incidente ai supermercati francesi ha sfruttato installazioni obsolete, interfacce di amministrazione esposte e autenticazione debole. Ha permesso di attivare da remoto i cicli di sbrinamento e di modificare i parametri degli impianti, con interruzione della catena del freddo. Tra i sistemi a rischio il bollettino elenca controllori della refrigerazione, SCADA, interfacce HMI e gateway OT/IoT, con possibili modifiche a temperature, sbrinamento e soglie di allarme.

Il comunicato ACN del 3 novembre segnala operatori colpiti in diversi Paesi europei, tra cui Belgio, Lussemburgo, Irlanda, Paesi Bassi, Lettonia, Finlandia e Svezia, dopo gli episodi nelle catene di supermercati francesi. In Italia l'ACN ha ricevuto una notifica NIS da un'azienda toscana del settore food service e ha rilevato un attacco a un produttore di surgelati in Emilia-Romagna.

Il punto tecnico è semplice: sistemi pensati per restare chiusi in un reparto sono raggiungibili da Internet. Gli attacchi agli impianti non sono una novità: ricorda il cyber sabotaggio contro Saipem.

Chi c'è dietro

Nei comunicati dell'ACN non c'è un'attribuzione degli attacchi. Finché non esiste una fonte ufficiale, resta un'ipotesi. Per la tua azienda cambia poco: la difesa dipende da ciò che controlli tu.

Se rientri nel perimetro della NIS2, che di regola riguarda le medie e grandi imprese dei settori elencati (ambito ACN), hai obblighi di gestione del rischio e di notifica degli incidenti. Su NIS2 e GDPR trovi come orientarti.

Cosa chiede l'ACN

Le misure del bollettino sono concrete:

Inventario: censire controllori, SCADA, HMI e servizi di teleassistenza, individuando quelli raggiungibili da Internet.
Isolamento: rimuovere l'esposizione pubblica delle interfacce di amministrazione e separare l'OT dalle reti IT. Il bollettino precisa che la sola suddivisione in VLAN non sostituisce il filtraggio tra i segmenti.
Accessi remoti: VPN o accessi controllati con autenticazione a più fattori (MFA), privilegi minimi e revoca degli accessi dei fornitori a fine intervento.
Credenziali: sostituire quelle predefinite, deboli o riutilizzate, a partire dai sistemi esposti.
Risposta: procedure manuali di emergenza e una risposta all'incidente provata.

La guida pratica, passo per passo, è nell'articolo sulla sicurezza di IoT e OT. Un Cyber Health Check serve a fotografare l'esposizione reale; la formazione a ridurre il rischio legato al fattore umano.

Come fare, passo per passo: capire che cosa è esposto

Il primo punto del bollettino ACN è un inventario che includa ciò che si raggiunge da Internet. Puoi fare una prima verifica da solo, sui tuoi indirizzi.

Trova gli indirizzi pubblici dell'azienda. Quello della connessione di sede, quelli degli eventuali server e dei router di impianto. Chiedi al fornitore di connettività l'elenco.
Cerca le esposizioni in un motore pubblico. Servizi come Shodan indicizzano i dispositivi raggiungibili da Internet. Con un account puoi filtrare per intervallo di rete (net:) e vedere che cosa mostra di te.
Verifica le porte dall'esterno. Da una connessione diversa dalla tua, per esempio una rete mobile, controlla le porte tipiche dell'OT sul tuo indirizzo pubblico:
```
nmap -Pn -p 22,23,80,443,102,502,8080,44818 203.0.113.10
```
Sostituisci 203.0.113.10 con il tuo indirizzo. Il comando controlla le porte di SSH (22), Telnet (23), web (80, 443, 8080), Siemens S7 (102), Modbus TCP (502) ed EtherNet/IP (44818). Usalo solo su indirizzi di tua proprietà: scansionare quelli degli altri senza autorizzazione è illecito.
Chiudi ciò che non serve. Una porta di telecontrollo aperta verso Internet va tolta dal router (port forwarding) o spostata dietro una VPN con MFA.
Ripeti dopo ogni intervento. Un fornitore che installa un nuovo apparato può riaprire ciò che avevi chiuso.

Se devi mappare la rete interna, preferisci l'osservazione passiva e fai le scansioni attive fuori dagli orari di produzione: alcuni apparati industriali datati reggono male le sonde.

Un piano di continuità per l'impianto

Il bollettino ACN chiede procedure manuali di emergenza. Un piano semplice contiene queste voci:

Quali impianti non possono fermarsi e per quanto tempo si può farne a meno.
Come si controlla la temperatura o il parametro critico senza il sistema centrale (termometri, registro a mano, ronde).
Chi può staccare un impianto dalla rete e a chi spetta decidere.
Quali fornitori chiamare, con numero fisso e contratto di assistenza.
Dove stanno le configurazioni salvate, per rimettere in servizio un apparato senza ripartire da zero.

Una prova a calendario, anche di un'ora, mostra più lacune di molte riunioni.

Checklist

Elenco degli apparati OT e IoT con modello, versione e posizione.
Nessuna interfaccia di amministrazione raggiungibile da Internet.
Accessi remoti solo tramite VPN o canali controllati, con MFA.
Credenziali predefinite sostituite, una per ruolo e per apparato.
Accessi dei fornitori revocati a fine intervento.
Rete degli impianti separata da quella degli uffici, con regole di filtraggio.
Configurazioni salvate fuori dall'apparato.
Procedura manuale di emergenza scritta e provata.
Contatti dell'ACN e del fornitore a portata di mano.

Errori da evitare

Dare per scontato che l'impianto sia "fuori da Internet" senza verificare.
Lasciare aperta una porta "temporanea" per il tecnico esterno.
Credere che la sola VLAN sia segmentazione: il bollettino ACN dice il contrario.
Riusare la stessa password su tutti i controllori.
Aggiornare un apparato in produzione senza un piano per tornare indietro.
Pensare che il rischio riguardi solo i grandi gruppi.

Consigli pratici

Chiedi al fornitore dell'impianto un elenco delle connessioni di teleassistenza attive e chi le usa.
Fotografa i cablaggi e le etichette: in emergenza serve a chi non è l'installatore.
Imposta un avviso per le variazioni anomale di temperatura che non dipenda dalla stessa rete dell'impianto, come un sensore autonomo con allarme.
Ai contratti di manutenzione aggiungi i requisiti di sicurezza: MFA, accessi a tempo, registro degli interventi.
Conserva una copia stampata dei numeri utili. Se cade la rete, non apri il file.

Domande frequenti

Il bollettino ACN riguarda anche chi non è nel perimetro NIS2? Le misure sono indicate agli operatori del settore, ma sono buone pratiche per qualunque azienda con impianti connessi.

Basta una VPN per mettere in sicurezza un impianto? No. Serve insieme a MFA, privilegi minimi, filtraggio tra reti e credenziali non predefinite.

Posso fare questi controlli da solo? Sì per l'inventario e per la verifica delle tue porte esposte. Per una prova più profonda coinvolgi un professionista.

Devo segnalare un attacco? Se rientri nella NIS2 ci sono obblighi di notifica; negli altri casi valuta una segnalazione al CSIRT Italia. Consulta l'ambito sul sito ACN.

In sintesi

Questi attacchi non hanno inventato nulla: hanno sfruttato interfacce esposte, autenticazione debole e apparati obsoleti. La lezione per chi gestisce impianti, store e servizi: un banco frigo connesso è un sistema informativo a tutti gli effetti. La resilienza viene da inventario, isolamento e accessi sotto controllo, non da un singolo prodotto.