Frigoriferi, logistica, aerei: e se non fosse un caso?

Nelle ultime settimane abbiamo raccontato parecchi attacchi informatici. Forse persino troppi per riuscire a seguirli tutti con la consueta CyberWeek.
Il 21 ottobre, nella nostra CyberWeek Maxi, avevamo già parlato degli attacchi ai sistemi di refrigerazione dei supermercati francesi.
Il 30 ottobre, nella CyberWeek 43, avevamo richiamato l'attenzione sulla pressione informatica esercitata contro la logistica, i trasporti e alcuni servizi aeroportuali.

Poi, il 2 novembre, è arrivata una nuova ondata di attacchi ai frigoriferi, questa volta estesa a diversi Paesi europei, Italia compresa.
E adesso, nel giro di pochi giorni, decine di voli commerciali sono stati interessati da allarmi bomba che, fortunatamente, si sono rivelati infondati nei casi verificati.

Tre vicende apparentemente differenti.
Eppure tutte hanno qualcosa in comune: riguardano servizi dai quali dipende il normale funzionamento della nostra società: trasporti, logistica e sussistenza.

La domanda, quindi, è nata quasi naturalmente:E se qualcuno stesse cercando di capire quanto sia possibile mettere in difficoltà un intero Paese attraverso una serie di azioni relativamente semplici, distribuite su settori differenti?

Attenzione: non abbiamo prove che sia ciò che sta accadendo. Ma abbiamo abbastanza elementi per ragionare seriamente sul rischio.

Prima la logistica: colpire ciò che permette al Paese di funzionare

Quando pensiamo alle infrastrutture strategiche, immaginiamo centrali elettriche, acquedotti, ospedali e reti di telecomunicazione. Tendiamo invece a sottovalutare la logistica.

Eppure è proprio la logistica a permettere che i prodotti arrivino nei supermercati, che le aziende ricevano materie prime e che farmaci, carburanti e componenti industriali raggiungano le loro destinazioni.
Nella CyberWeek del 30 ottobre avevamo segnalato attacchi e rivendicazioni contro operatori logistici, servizi aeroportuali e infrastrutture di trasporto. In diversi casi si trattava di attacchi DDoS, acronimo diDistributed Denial of Serviceil cui principio è tremendamente semplice: un servizio online viene sommerso di richieste fino a renderlo inutilizzabile o difficilmente raggiungibile.
Un attacco del genere non implica necessariamente che qualcuno sia entrato nei sistemi informatici dell'azienda, basta che l'attaccante abbia a disposizione migliaia (o centinaia di migliaia o chissà quanti) computer per contattare un singolo indirizzo web.
Come? Beh, creando una BotNet, ovvero "un insieme di dispositivi infettati da malware e controllati da un individuo senza scrupoli. Approfondimento sullebotnet" (grazie a CloudFlare per la definizione). Con una valangata di contatti simili, il server di destinazione sicuramente rallenterà molto perchè non ce la farà, ma nei casi peggiori andrà direttamente fuori linea non riuscendo a gestire tutte le richieste.
Un operatore di logistica che non può contattare i clienti, non può pubblicare informazioni o non può comunicare con i corrieri in giro, beh, al giorno d'oggi ha un problema.

Bisogna distinguere, ovviamente, tra rendere irraggiungibile un sito web e bloccare fisicamente un aeroporto o un corriere, che sono due cose molto diverse.
Ma ormai, anche l'indisponibilità di servizi digitali può produrre disagi, rallentamenti e costi operativi.

Se poi gli incidenti interessano contemporaneamente più operatori, il problema può diventare più serio.
La logistica moderna è un sistema di dipendenze: un ritardo in un punto può ripercuotersi su molte altre attività.
Ed è proprio questa interdipendenza a renderla interessante dal punto di vista della sicurezza.

Poi i frigoriferi: il sabotaggio entra nei supermercati, ma non solo!

La seconda parte l'abbiamo raccontata diffusamente nel nostro approfondimento sui Freezer sotto attacco

Tutto è cominciato nella notte tra l'11 e il 12 ottobre, quando numerosi supermercati francesi hanno scoperto che i propri sistemi di refrigerazione erano stati manomessi a distanza.
Temperature di regolazione alterate, cicli di sbrinamento prolungati e prodotti alimentari deteriorati.
Secondo le stime diffuse dalle autorità francesi, circa 700 esercizi commerciali erano stati interessati dalla prima ondata, pur con conseguenze differenti.
Il 2 novembre gli attacchi sono ricomparsi in numerosi Paesi europei.
Anche l'Italia è stata coinvolta, con episodi documentati in supermercati e aziende della filiera alimentare.
L'Agenzia per la Cybersicurezza Nazionale ha segnalato, tra gli altri, un incidente notificato da un'azienda toscana della ristorazione collettiva e un attacco rilevato contro un'impresa emiliana produttrice di surgelati.
Il Governo italiano ha precisato il 3 novembre che l'impatto nazionale risultava limitato e che non erano emersi rischi accertati per la salute dei cittadini.

Ma il problema tecnico rimane.
Molti sistemi industriali utilizzati per controllare frigoriferi e congelatori dispongono di interfacce di amministrazione accessibili da remoto. Una funzionalità utilissima per i manutentori, un po' meno utile (e decisamente pericolosa!) quando viene configurata senza adeguate protezioni e diventa raggiungibile da chiunque su Internet.
Le analisi delle autorità francesi, infatti, hanno evidenziato soprattutto problemi di esposizione dei dispositivi e di sicurezza degli accessi e non è stato dimostrato che gli aggressori abbiano sfruttato le vulnerabilità Danfoss pubblicate nel 2025 e approfondite dai ricercatori Claroty nell'agosto 2026.
In molti casi, il problema potrebbe essere stato decisamente più elementare. E questo rende la vicenda ancora più significativa.

Non serve necessariamente un malware sofisticato quando è possibile utilizzare le normali funzioni amministrative di un impianto per provocare danni.

Come se non bastassero supermercati, celle frigorifere e magazzini alimentari, negli ultimi giorni in Francia è emerso anche un episodio che riguarda un ambito ancora più delicato: la conservazione del plasma.
Secondo quanto riferito dall’Associated Press, un attacco ha preso di mira le apparecchiature di refrigerazione di tre siti dell’Établissement Français du Sang, il servizio trasfusionale nazionale francese.
In questo caso i sistemi di monitoraggio hanno rilevato in tempo l’anomalia e il personale è riuscito a mettere in sicurezza o trasferire il plasma prima che venisse danneggiato.
Non ci sono state conseguenze sanitarie né interruzioni del servizio, ma il messaggio è piuttosto chiaro e l'avevo già ipotizzato nei giorni scorsi(ma non l'avevo scritto, forse, ach!):la catena del freddo non riguarda soltanto il cibo.
Se un attacco del genere colpisce strutture sanitarie o depositi di materiale biologico, il problema smette immediatamente di essere commerciale e diventa un tema di resilienza del sistema Paese.
Ed è qui che la faccenda smette definitivamente di sembrare una bravata da smanettoni annoiati e prende una dimensione completamente diversa.

La rivendicazione dei gruppi filorussi

Il 4 novembre è arrivato un ulteriore sviluppo: secondo quanto riportato dal TG1 RAI e ripreso da diverse testate, i gruppi filorussi NoName057(16) e Z-Pentest avrebbero rivendicato gli attacchi ai sistemi di refrigerazione europei.

Nel messaggio diffuso sui social, i gruppi sostengono di aver utilizzato le funzionalità dei sistemi compromessi senza ricorrere a malware. La rivendicazione contiene anche minacce rivolte ad altre infrastrutture, tra cui reti idriche, centrali elettriche e impianti industriali.
È una dichiarazione che merita attenzione, anche se una rivendicazione non è una prova.
Non abbiamo ancora una conferma investigativa pubblica che attribuisca ai due gruppi l'intera serie di attacchi.
Il 5 novembre, inoltre, il portavoce del Cremlino Dmitry Peskov ha respinto le accuse di coinvolgimento russo (Vabbè, questo era quasi scontato, no? La notizia vera sarebbe stata fosse andato lì a dire "Si, siam stati noi!".).
La posizione corretta, quindi, rimane questa:esiste una rivendicazione pubblica, ma le responsabilità non sono state definitivamente accertate.

E adesso gli aerei: fermare un volo senza toccarne i sistemi

Il 5 novembre 2026 il problema si è spostato nei cieli europei.
Secondo il bilancio pubblicato in serata dalGuardian, almeno 25 voli sono stati interessati da allarmi bomba nella sola giornata di giovedì.
Considerando anche gli episodi precedenti, il totale settimanale ha raggiunto almeno33 voli.
Le minacce hanno interessato numerose compagnie, tra cui Ryanair, Aer Lingus, Wizz Air, Finnair, easyJet, LOT e altre.
Alcuni velivoli sono stati deviati, altri hanno richiesto controlli straordinari, mentre in determinati casi sono intervenuti aerei militari.
I controlli di sicurezza i cui risultati sono stati resi pubblici non hanno individuato esplosivi ma questo non significa che gli episodi siano stati privi di conseguenze, anzi.
Un aereo deviato deve atterrare in un aeroporto diverso da quello previsto. I passeggeri devono essere assistiti, il velivolo ispezionato e l'equipaggio deve rispettare i propri limiti operativi.
Possono saltare coincidenze, accumularsi ritardi e rendersi necessarie modifiche alla programmazione dei voli successivi.
E tutto questo può accadere senza che sia stato compromesso un solo computer.

Il caso del volo Aer Lingus EI402

Uno degli episodi più significativi è quello del volo EI402 di Aer Lingus, partito da Dublino e diretto a Roma Fiumicino.

Il 5 novembre, mentre si trovava nello spazio aereo francese, l'Airbus A320-200, identificato da AeroCorner con l'immatricolazione EI-DEH, ha ricevuto un allarme bomba.
L'equipaggio ha dichiarato un'emergenza in volo e il velivolo è stato deviato verso la base aerea militare 105 di Évreux-Fauville, in Normandia.
A bordo si trovavano151 passeggeri e sei membri dell'equipaggio, per un totale di 157 persone.
L'Aeronautica francese ha confermato l'intervento del proprio dispositivo di allerta, con il decollo di un caccia incaricato di intercettare e scortare l'aereo civile.

Secondo la ricostruzione di AeroCorner, che riprende informazioni pubblicate dalla stampa francese, il primo velivolo impiegato sarebbe stato unDassault Rafaledecollato dalla base aerea 113 di Saint-Dizier.
La stessa ricostruzione riferisce di un successivo intervento di un Mirage 2000.
(Questi ultimi dettagli non risultano ancora confermati in maniera indipendente da comunicati militari pubblici sufficientemente precisi)

L'Airbus ha comunque raggiunto Évreux in sicurezza.
I passeggeri sono stati fatti sbarcare e gli artificieri hanno avviato le verifiche su velivolo e bagagli.

Questo per sottolineare cosa?
Che alla fine, il punto è semplice: una minaccia, fortunatamente infondata, può comunque mobilitare controllori del traffico aereo, personale aeroportuale, forze di polizia, artificieri e persino aerei da combattimento. E i successivi trasferimenti di passeggeri ad un altro aeroporto (se ho capito bene li han portati in pullman fino a Orly, a 100km di distanza) per prendere un altro aereo.

Tutti costi che ricadono sulle compagnie, sugli aeroporti e sulle istituzioni.

Chi sta inviando queste minacce?

Anche qui bisogna evitare conclusioni affrettate.
Secondo quanto riportato dalGuardian, alcune email inviate ad aeroporti europei erano firmate da sedicenti appartenenti aMale State (Che accidenti di nome, devo dirlo! Una volta eravamo più svegli nel dare i nomi ai gruppi!), un movimento estremista russo.
Ovviamente solo questo non dimostra che il movimento abbia realmente organizzato gli allarmi o che abbia solo sfruttato il momento. Il suo fondatore, secondo la ricostruzione giornalistica, non ha rivendicato gli episodi.
Il commissario europeo ai Trasporti Apostolos Tzitzikostas(anche 'sti nomi greci mi fanno morire!)ha dichiarato che è troppo presto per stabilire se gli incidenti siano collegati e le autorità non hanno ancora presentato prove pubbliche che attribuiscano la campagna a uno Stato o a un'organizzazione terroristica.

Un elemento, però, è evidente: il numero degli episodi concentrati in pochi giorni è insolito.
Non significa automaticamente che esista un'unica regia ma è sufficiente a giustificare indagini coordinate tra le autorità europee.

E se fosse una prova generale?

Arriviamo alla domanda centrale(e qui faccio un po' di sensazionalismo pure io!)

Immaginiamo per un momento un Paese nel quale si verifichino contemporaneamente diversi problemi.
I servizi digitali di alcuni operatori logistici diventano indisponibili.
Diversi magazzini frigoriferi interrompono il proprio funzionamento.
Gli aeroporti devono gestire una serie di allarmi che impongono controlli e deviazioni.
Le aziende ricevono segnalazioni di possibili intrusioni nei propri sistemi industriali.

I cittadini cominciano a chiedersi se i servizi essenziali siano ancora affidabili.

Nessuno di questi episodi, preso singolarmente, deve necessariamente essere catastrofico. Normalmente si tratta di semplici "incidenti" che vengono risolti in poche ore o giorni.
Ma la loro combinazione, il metterli tutti assieme in poco tempo, potrebbe creare difficoltà molto superiori.
Le squadre tecniche sono limitate, i sistemisti(bravi)anche, le autorità devono stabilire priorità, le aziende dipendono da fornitori esterni, spesso condivisi con altre organizzazioni.
E la capacità di gestire contemporaneamente numerose emergenze non è infinita.

Questo è il principio alla base di molte analisi sulla resilienza delle infrastrutture critiche: non basta sapere quanto sia sicuro un singolo sistema, bisogna capire cosa succede quando più sistemi interdipendenti smettono di funzionare nello stesso momento.

Il rischio della destabilizzazione

In ambito strategico si parla spesso di minacce ibride(In questi giorni il termine "guerra ibrida" credo di averlo sentito talmente tante volte che quando mi chiamano rispondo "Guerra ibrida! Ah no, scusa...").

Il termine comprende attività differenti che possono combinare strumenti informatici, disinformazione, pressioni economiche, sabotaggi e altre forme di interferenza.
Non tutte richiedono necessariamente un'operazione militare convenzionale.
E non tutte devono provocare danni materiali enormi: a volte l'obiettivo può essere creare incertezza, aumentare i costi di gestione e ridurre la fiducia nelle istituzioni.

Ok, ho detto che avrei fatto sensazionalismo, ma non ce la faccio.
Nonostante tutto, dobbiamo essere molto chiari:non esistono, ad oggi 5 novembre 2026, prove pubbliche sufficienti per affermare che gli attacchi ai frigoriferi, quelli alla logistica e i falsi allarmi bomba facciano parte di un'unica operazione coordinata.

Potrebbero essere episodi indipendenti.
Potrebbero coinvolgere soggetti differenti.
Oppure alcune delle attività potrebbero essere collegate, mentre altre no.

L'ipotesi dellaprova generaleè quindi uno scenario da analizzare, non una conclusione che creerebbe probabilmente panico o porterebbe a decisioni errate da parte delle alte sfere.
E proprio perché non abbiamo ancora risposte definitive, sarebbe sbagliato trasformare una serie di coincidenze temporali in una certezza (ma qualcuno già l'ha fatto...)

Il vero problema è quanto siamo preparati

Forse la domanda più utile non è nemmeno chi abbia organizzato gli attacchi.

Naturalmente identificarne i responsabili è fondamentale. Ma dal punto di vista della sicurezza delle infrastrutture esiste una questione ancora più concreta(e, forse, potremmo proprio sfruttare questi attacchi per migliorare sotto questo aspetto).
Quanto siamo preparati a continuare a funzionare quando qualcosa va storto?

Nel caso dei frigoriferi, significa poter isolare i sistemi di telecontrollo, intervenire localmente e mantenere sistemi di allarme indipendenti.
Nel settore logistico, significa disporre di procedure alternative quando i servizi digitali non sono disponibili.
Nel trasporto aereo, significa continuare ad applicare rigorosamente le procedure di sicurezza, anche quando si verificano numerosi falsi allarmi.

Perché sarebbe pericoloso permettere che la ripetizione di minacce infondate induca qualcuno a sottovalutare quella successiva.
E soprattutto significa progettare le infrastrutture tenendo conto delle dipendenze reciproche.

Un sistema industriale non deve essere sicuro soltanto quando tutto funziona correttamente.
Deve anche poter affrontare un guasto, una compromissione o un'interruzione delle comunicazioni senza trasformare un problema circoscritto in un'emergenza generale.
Dovrebbe anche non permettere di impostare valori palesemente fuori scala ed inutili all'interno delle apparecchiature che permettono solo di far danni(110°C in un frigorifero per sbrinarlo? A parte che non li raggiungerà mai ma, poi, PERCHE'?!?!? Limita! A +1 già si sbrina, cavolo!)

Qui torniamo al tema dell'Internet of Things e dell'Operational Technology.
Collegare apparecchiature industriali alla rete offre vantaggi enormi ma ogni connessione deve essere progettata, protetta e mantenuta.
La sicurezza non può essere affidata soltanto alla speranza che nessuno trovi l'indirizzo IP di un controllore industriale.
E nemmeno alla convinzione che un impianto sia sicuro perché funziona da quindici anni senza problemi.

Una considerazione finale

In queste settimane abbiamo visto attacchi contro servizi logistici, sistemi di refrigerazione manomessi e decine di aerei costretti a gestire minacce che non si sono concretizzate. Non sappiamo ancora se esista un collegamento tra queste vicende.
Ma sappiamo che tutte mostrano quanto la nostra società dipenda da infrastrutture complesse e interconnesse.

Un supermercato non è soltanto un negozio, un aeroporto non è soltanto una pista e sale d'attesa, un magazzino non è soltanto un edificio pieno di merci.
Sono componenti di sistemi molto più grandi, che funzionano perché migliaia di attività differenti riescono a coordinarsi ogni giorno. E quando qualcosa interrompe questo coordinamento, anche un problema apparentemente banale può avere conseguenze importanti.

Forse non stiamo assistendo a una prova generale di un attacco contro un'intera nazione o forse si, ma al momento non lo sappiamo nè possiamo tantomeno dimostrarlo.
Quello che possiamo certamente fare è utilizzare questi episodi per porci una domanda e provare a darci una risposta:Se domani dovessimo affrontare contemporaneamente problemi nei trasporti, nella distribuzione alimentare e nelle infrastrutture digitali, saremmo davvero pronti?

Perché la sicurezza informatica non riguarda più soltanto la protezione dei dati.
Riguarda anche la capacità di continuare a vivere, lavorare e garantire servizi essenziali quando qualcuno cerca di impedirlo.

E sarebbe preferibile scoprirlo attraverso buone pratiche, esercitazioni e verifiche di sicurezza, anziché aspettare che qualcuno decida di organizzare la prova pratica e ci trovi "in braghe di tela"!

Nota

La consueta CyberWeek è temporaneamente posticipata.
Tutto 'sto bailamme ha portato via tutto il tempo disponibile a scrivere qualsiasi~~altra minchiata~~altro articolo per mettere insieme le informazioni necessarie a scrivere questo, al quale ho deciso di dare precedenza rispetto alla normale rassegna settimanale.

Articolo aggiornato al 5 novembre 2026. Le indagini sugli attacchi informatici e sugli allarmi bomba sono ancora in corso. Le attribuzioni, le eventuali connessioni tra gli episodi e le ricostruzioni tecniche potranno essere aggiornate alla luce di nuove informazioni ufficiali.