L’Agenzia per la Cybersicurezza Nazionale (ACN), con il bollettino BL01/261013/CSIRT-ITA ha richiamato l’attenzione di grande distribuzione organizzata (GDO), logistica alimentare, refrigerazione industriale e manutentori dopo l’attacco informatico a numerose catene di supermercati francesi. Gli aggressori hanno sfruttato installazioni obsolete, interfacce di amministrazione esposte su Internet e autenticazioni deboli. Così hanno attivato da remoto i cicli di sbrinamento e modificato i parametri degli impianti, interrompendo la catena del freddo.
Il rischio non riguarda solo i dati: un attacco ai sistemi che controllano i frigoriferi può deteriorare le merci, fermare l’attività e produrre danni economici rilevanti. Il rischio non è solo del produttore ma anche della supply chain.
L’ACN invita a verificare tre ambiti strettamente collegati tra loro:
Nota di sicurezza: Un certificato HTTPS o una pagina di accesso non bastano a rendere sicuro un sistema esposto. Proteggono la trasmissione dei dati, ma non impediscono lo sfruttamento di vulnerabilità o l’uso di credenziali rubate.
Individuare ed eliminare le esposizioni. Censire controllori, SCADA, pannelli di comando e servizi di teleassistenza, rimuovendo dall’accesso pubblico le interfacce amministrative senza fermare gli impianti in modo indiscriminato.
Separare le reti. Tenere gli ambienti OT distinti dalle reti aziendali e da quelle per gli ospiti, con regole di filtraggio che neghino tutto ciò che non è espressamente autorizzato.
Controllare gli accessi remoti. Usare VPN aggiornate con autenticazione a più fattori (MFA), limitare ogni utente e manutentore alle sole risorse necessarie e revocare le abilitazioni a fine intervento.
Verificare gli account. Disattivare i profili inutilizzati, sostituire le credenziali predefinite o deboli e preferire account individuali con privilegi limitati.
Controllare i parametri e cercare compromissioni. Confrontare temperature, cicli di sbrinamento e soglie di allarme con quelli autorizzati. Analizzare i registri degli ultimi 90 giorni e verificare le temperature con strumenti indipendenti dalla supervisione.
Gestire i dispositivi fuori supporto. Aggiornare i software aggiornabili, isolare ciò che non si può sostituire subito e pianificare la dismissione. L’isolamento è una misura temporanea e non elimina le vulnerabilità sottostanti.
Se l’impresa rientra nella disciplina NIS2 (recepita dal D.Lgs. 138/2024), un incidente significativo va notificato al CSIRT Italia. Le tempistiche prevedono:
Pre-notifica entro 24 ore dalla conoscenza dell’incidente;
Notifica completa entro 72 ore;
Relazione finale entro un mese.
L’ACN precisa che le finestre temporali indicate nell’avviso sono obiettivi operativi e non sostituiscono gli obblighi di legge.
Non tutte le imprese sono soggette alla NIS2. Il settore alimentare rientra tra quelli critici (Allegato II), ma la norma si riferisce principalmente a imprese impegnate nella distribuzione all’ingrosso e nella produzione e trasformazione industriale. Chi svolge esclusivamente vendita al dettaglio deve verificare con attenzione il proprio inquadramento in base alle soglie dimensionali. La registrazione sulla piattaforma ACN e la classificazione come soggetto essenziale o importante dipendono da questa analisi.
Se l’incidente coinvolge anche dati personali, scatta l’obbligo di notifica al Garante della Privacy entro 72 ore ai sensi dell’art. 33 del GDPR. Le procedure NIS2 e GDPR sono del tutto autonome.
A prescindere dalla NIS2, gli operatori restano legalmente responsabili della sicurezza degli alimenti. Il Reg. (CE) 852/2004, la norma cardine dell’Unione Europea in materia di igiene dei prodotti alimentari, richiede procedure permanenti basate sui principi HACCP e impone il mantenimento della catena del freddo. In caso di anomalie termiche, il semplice ritorno alla temperatura corretta non prova, da solo, che la merce sia ancora idonea: la decisione finale spetta ai responsabili della sicurezza alimentare.
È fondamentale verificare subito cosa è raggiungibile da Internet, chi può modificare i parametri e con quali credenziali.
Successivamente, occorre mettere attorno allo stesso tavolo la sicurezza informatica, i responsabili degli impianti e i manutentori esterni, testando le procedure di emergenza prima che si verifichi un reale incidente. L’adozione delle misure di base è il presupposto per affrontare questo genere di situazioni.