Sicurezza IoT: perché gli impianti vanno guardati da fuori

Nella notte dell’11 ottobre, in centinaia di supermercati francesi, i controller della refrigerazione hanno ricevuto lo stesso ordine: avviare lo sbrinamento e non fermarlo più. Nessun guasto, nessun blackout. Solo resistenze accese per ore dentro celle che dovevano restare sotto zero. Tre settimane dopo, tra l’1 e il 2 novembre, la scena si è ripetuta in una decina di Paesi europei, Italia compresa (punti vendita colpiti in Sicilia), con congelatori arrivati in alcuni casi a 50 °C.

Quando si parla di sicurezza IoT si pensa quasi sempre a dati rubati. Qui il danno è stato fisico: tonnellate di merce da buttare, apparecchiature fuse, sprinkler scattati. E la domanda che resta, per chiunque gestisca impianti connessi, non riguarda i frigoriferi. Riguarda tutto ciò che oggi ha un indirizzo di rete.

Attacco hacker supermercati: cosa è successo ai frigoriferi (e cosa no)

Lo usiamo come esempio perché è recente e ben documentato, ma il meccanismo vale per qualunque impianto connesso. Una precisazione utile: non sono stati attaccati i frigoriferi smart di casa. I bersagli sono stati controller di refrigerazione commerciale, i piccoli computer che decidono quando raffreddare e quando sbrinare. Secondo le ricostruzioni pubblicate finora, molti di questi apparecchi esponevano un’interfaccia web raggiungibile da internet, in alcuni casi con credenziali banali. Non serviva un attacco da film: bastava trovarli.

Il quadro tecnico, ricostruito da più fonti, è fatto di pochi elementi molto concreti. I ricercatori di Claroty (Team82) avevano già documentato nel 2025 vulnerabilità su questa famiglia di controller. Per i modelli più recenti una correzione esisteva da agosto 2025. I modelli più vecchi, fuori supporto da anni, non avevano alcuna patch. Il CERT-FR (il centro di risposta agli incidenti informatici francese) ha diffuso un’allerta il 13 ottobre. L’attribuzione resta aperta: nessuno ha rivendicato gli attacchi.

Il punto, per chi legge da un ufficio tecnico, è che nessuno di questi elementi è esotico. Sono le stesse condizioni che si trovano in molti edifici: impianti installati da anni, collegati in rete per comodità, mai più riguardati.

I quattro anelli deboli della sicurezza IoT negli impianti

Dietro l’episodio ci sono quattro debolezze che si ripetono in quasi tutti gli ambienti connessi. Riconoscerle è il primo passo.

1. Esposizione senza motivo

Un controller che deve parlare con un sistema di supervisione non ha bisogno di una pagina di login visibile da internet. Eppure ne sono stati contati migliaia. La regola è semplice: ciò che non deve essere raggiungibile non va reso raggiungibile, e va verificato periodicamente, perché le configurazioni cambiano con gli interventi di manutenzione.

2. Ciclo di vita ignorato

Un apparecchio fuori supporto non riceve più correzioni. Può funzionare benissimo per quindici anni, e restare vulnerabile per quindici anni. Servirebbe un inventario che dica che cosa è installato, da quando e se è ancora aggiornabile. Nella maggior parte dei portafogli immobiliari questo inventario non esiste, o vive in un foglio Excel.

3. Responsabilità frammentate

La catena possiede il negozio, l’installatore ha montato l’impianto, il produttore ha scritto il firmware, il gestore lo usa ogni giorno. Chi risponde del fatto che quel controller non sia visibile da internet? Quando la risposta è “un po’ tutti”, spesso è “nessuno”. Il tema entra anche nel perimetro normativo: la direttiva NIS2 considera tra i settori interessati la produzione, la trasformazione e la distribuzione all’ingrosso di alimenti, e per il dettaglio la valutazione va fatta caso per caso. In ogni caso il principio vale per tutti: la sicurezza dei sistemi connessi deve avere un responsabile e un contratto che lo dica.

4. Controllo e allarme sullo stesso sistema

È l’anello meno discusso e il più istruttivo. Se il sistema che comanda l’impianto è anche quello che segnala le anomalie, chi lo viola può spegnere entrambi. Secondo alcune ricostruzioni, in diversi punti vendita gli allarmi sono stati ritardati e l’aumento di temperatura è passato inosservato per ore. Un allarme che dipende dal sistema che dovrebbe sorvegliare non è un allarme indipendente.

Connettere sì, ma con più di uno sguardo

La reazione istintiva, dopo episodi come questo, è scollegare tutto. Non funziona. Come hanno ricordato gli esperti interpellati da Scientific American, la gestione centralizzata ha vantaggi reali, e rinunciarvi significherebbe tornare a controlli manuali, più lenti e più costosi. La strada indicata è un’altra: aggiornare o isolare le apparecchiature obsolete e affiancare un monitoraggio separato, con notifiche proprie.

Questo cambia il modo di pensare l’integrazione. Collegare impianti, contatori, sensori e sistemi di supervisione non è un rischio da minimizzare: è ciò che permette di accorgersi in tempo di un comportamento anomalo. A patto che i dati arrivino da più fonti indipendenti, e che nessuna possa essere silenziata dalla stessa mano.

Attacco hacker frigoriferi: il contatore come secondo sguardo

La prima fonte indipendente è quella che spesso si trascura: il contatore elettrico. Un ciclo di sbrinamento forzato per ore è, prima di tutto, un carico elettrico. Le resistenze assorbono potenza, e quel prelievo si vede nei dati del punto di fornitura (POD) indipendentemente da ciò che il controller racconta o tace.

Nel monitoraggio energetico questo ha una conseguenza pratica. Un assorbimento che sale a parità di apparecchiatura, o che compare in una fascia oraria in cui l’impianto dovrebbe essere a regime ridotto, è un segnale: di norma il primo che anticipa un’apparecchiatura in degrado, e in questo caso il primo che rivela un impianto che sta facendo ciò che non dovrebbe. Per leggerlo servono una baseline (il comportamento normale del sito) e un confronto continuo, quarto d’ora per quarto d’ora. È lo stesso ragionamento con cui si analizza la: potenza impegnata in bolletta e i picchi quartorari.

Con Meter+ i dati dei contatori vengono letti dai distributori su delega del cliente, senza installare nulla e senza alcun accesso agli impianti del sito: il canale è separato dalla rete del negozio, quindi non dipende da ciò che accade dentro quella rete. C’è un limite che conviene dichiarare: l’aggiornamento è giornaliero, quindi il contatore permette di scoprire e ricostruire un’anomalia nel giro di un giorno, non al minuto. Per il minuto serve un altro strumento.

Sensori indipendenti: il minuto conta

Il secondo sguardo, per la fascia dell’immediato, sono i sensori. Per il monitoraggio temperatura frigoriferi (e di ogni cella o ambiente critico) serve una sonda propria, che comunica su un canale diverso da quello del controller e rende l’allarme indipendente dal sistema di regolazione. Se la cella si scalda, la sonda lo dice, comunque vada il resto.

È la logica del modulo Node di EKORE: integrare in un’unica piattaforma sensori IoT, sistemi BMS (Building Management System) e contatori, con soglie configurabili e alert via email o SMS. Un sensore di temperatura sulla cella, una pinza amperometrica sull’assorbimento del compressore, e il quadro cambia. Il ragionamento è quello descritto nell’articolo sui sensori IoT e integrazione con la piattaforma: non servono sensori ovunque, servono nei punti in cui un errore costa di più.

Nei casi più delicati la differenza si è vista. Secondo le prime ricostruzioni, nelle banche del sangue francesi colpite dopo i supermercati il personale è intervenuto in tempo proprio grazie ai sistemi di monitoraggio. Nessun hardware può impedire a qualcuno di provarci. Può però ridurre il tempo in cui nessuno se ne accorge.

Come si riconosce un’integrazione fatta bene

Se integrare è la risposta, la domanda diventa come farlo senza creare un nuovo punto debole. Sono cinque verifiche che un responsabile tecnico può fare a un qualsiasi fornitore, EKORE compresa:

• Chi può vedere cosa: accesso con autenticazione centralizzata e permessi granulari, non credenziali condivise.
• Dove vivono i dati: infrastruttura in Unione Europea e isolamento reale tra clienti, anche in caso di errori di configurazione.
• Come viaggiano: cifratura in transito e log degli accessi integrabili con i sistemi di sicurezza dell’azienda (SIEM).
• Chi può comandare: se il sistema permette anche di accendere, spegnere o regolare, quali ruoli possono farlo e con quale traccia.
• Chi lo ha verificato: una valutazione indipendente della progettazione, non solo una dichiarazione del fornitore.

Su quest’ultimo punto, in EKORE abbiamo scelto la strada più impegnativa. La piattaforma Digital Twin ha ottenuto la qualificazione dell’Agenzia per la Cybersicurezza Nazionale (ACN) per i servizi cloud destinati alla Pubblica Amministrazione, e poggia su un’architettura in cloud su Microsoft Azure in regione europea, con autenticazione centralizzata (Keycloak, OpenID Connect e SAML 2.0), isolamento dei dati tra clienti, cifratura TLS e certificazioni ISO 27001, 27017 e 27018. Una precisazione necessaria: la qualificazione riguarda il servizio cloud, non i dispositivi che il cliente ha in campo. Nessuna piattaforma, per quanto verificata, rende immune un controller lasciato esposto su internet. Ciò che può fare è non diventare essa stessa un anello debole e dare al cliente più sguardi indipendenti sui propri impianti.

La sicurezza IoT si misura dalla visibilità

Il caso più recente (l’attacco hacker supermercati del 2026) lascia un’indicazione scomoda e semplice, che vale ben oltre i frigoriferi. Gli impianti connessi non sono il problema: lo sono quelli connessi e non guardati, dove nessuno sa cosa c’è, da quanto tempo, con quale ciclo di vita e con quali controlli indipendenti. Monitoraggio e integrazione, per anni trattati come un di più da aggiungere dopo l’impianto, sono la parte che permette di accorgersi per tempo che qualcosa non va.

In pratica, per chi vuole migliorare la sicurezza IoT di uno o più siti, si parte da tre mosse: costruire l’inventario di ciò che è connesso, verificare che cosa è raggiungibile dall’esterno, e affiancare agli impianti più critici un secondo canale di lettura, dal contatore e dal campo. È un lavoro che si può fare a gradini, sito per sito, come nel percorso modulare di una piattaforma di monitoraggio che parte dai dati ufficiali dei POD e aggiunge i sensori solo dove servono. Se vuoi capire come applicarlo ai tuoi siti, contattaci per una demo: partiamo dai tuoi dati, non da un’ipotesi.

Compila il form