scenari

Attacchi ibridi in Europa: perché ora sono a rischio i servizi

Supermercati, sanità e trasporti mostrano quanto una manomissione digitale possa incidere sui servizi essenziali. Gli episodi europei richiamano l’attenzione su impianti connessi, fornitori e capacità di ripristino. Per istituzioni e imprese, la sfida è tradurre norme e investimenti in continuità operativa

Pubblicato il 6 nov 2026

Luisa Franchina

Presidente Associazione Italiana esperti in Infrastrutture Critiche

Chiedi all'AI

Riassumi questo articolo

Approfondisci con altre fonti

Aggiungi tra i preferiti su Google

Frigoriferi per alimenti, frigoriferi per le sacche di sangue, trasporti aerei: le infrastrutture critiche sono al centro di una nuova ondata di offensive molto “interessanti”, perché ci avvicinano alla sperimentazione dal vivo dei copioni hollywoodiani sul terrorismo.

Gli attaccanti iniziano a testare azioni di sabotaggio su diverse filiere: alimentare, sanitaria e dei trasporti.

Siamo pronti per questa frontiera, di cui parliamo da anni ma che non si era ancora presentata con un’evoluzione così repentina?

Chi c’è dietro gli attacchi ai frigoriferi

Indice degli argomenti

NIS2 e CER: la difesa delle infrastrutture critiche

L’Europa lavora ormai da tempo a un quadro normativo fondato su una visione olistica della sicurezza. Da un lato la direttiva NIS2¹ ha esteso gli obblighi in materia di cybersecurity a diciotto settori, distinguendo tra soggetti essenziali e importanti, e ha introdotto misure di gestione del rischio che comprendono la tutela della catena di approvvigionamento, tempi stringenti per la notifica degli incidenti e una responsabilità diretta degli organi di vertice. Dall’altro la direttiva CER² si occupa della resilienza dei soggetti critici di fronte all’intero spettro delle minacce, naturali e umane, compresi sabotaggio, terrorismo e azioni ibride.

I due testi sono nati per lavorare insieme: il primo protegge reti e sistemi informativi, il secondo la continuità fisica dei servizi essenziali. È proprio su questo punto di contatto che si concentrano le nuove offensive: un frigorifero connesso è al tempo stesso un dispositivo informatico e un presidio da cui dipendono l’approvvigionamento alimentare e la salute.

L’Italia, dal canto suo, ha emanato norme di recepimento e disposizioni nazionali per innalzare il livello di maturità collettiva sul tema. Le nostre infrastrutture critiche dedicano grande attenzione alla sicurezza, investono costantemente risorse economiche e strutturali in questo ambito e dispongono di personale estremamente preparato. Le istituzioni sono altrettanto attente e mantengono stanziamenti attivi sulla cybersecurity per accompagnare soprattutto le PMI. Tutto questo racconta una postura matura del Paese ma, come sempre, non può tradursi in una sicurezza al 100%, che non esiste.

Attacchi ibridi: il cambio di strategia

Stiamo giocando una partita a scacchi e l’avversario ha appena cambiato strategia, rafforzando la parte ibrida degli attacchi e passando dalle azioni dimostrative sui dati ad azioni dimostrative sulle funzionalità fisiche.

Dobbiamo essere sempre pronti e mantenere la postura resiliente, adattarci al cambio di passo. Ogni volta che ci sentiamo “sicuri” l’avversario guadagna terreno cambiando la fantasia delle sue mosse. E noi dobbiamo fare altrettanto.

Non si tratta di un’immagine retorica. Le mosse dell’avversario hanno, in queste settimane, date, luoghi e bersagli precisi, e metterle in fila aiuta a capire quanto sia cambiata la partita.

La catena del freddo tra supermercati e sanità

È da metà ottobre che degli attacchi informatici prendono di mira le grandi catene di supermercati europee. La campagna ha interessato prima di tutto la Francia e nelle settimane successive si è estesa a macchia di leopardo in altri Paesi europei: Svezia, Belgio, Estonia, Irlanda, Lussemburgo e Paesi Bassi, fino a raggiungere anche l’Italia, con incursioni nei sistemi di refrigerazione di alcuni supermercati in Veneto, Emilia-Romagna, Sicilia, Toscana, Sardegna e Abruzzo. Tanto che da noi l’Agenzia per la Cybersicurezza Nazionale ha diramato un’allerta d’emergenza³ alle aziende alimentari, invitandole a verificare la sicurezza dei propri nodi IoT.

Non solo: il 2 novembre la stessa modalità operativa è stata utilizzata per estendere la superficie d’attacco a una seconda infrastruttura critica, la sanità, anche stavolta francese. Nello specifico, l’Établissement français du sang (EFS), ente pubblico responsabile della gestione delle donazioni di sangue e della medicina trasfusionale in tutto il Paese. In questo caso la temperatura degli impianti di refrigerazione che conservavano i prodotti ematici è stata alterata da remoto, portandola da -30°C a 110°C.

Ancora una volta nessun dato sottratto, ma una funzione fisica manomessa: esattamente il cambio di passo descritto in apertura.

Se nel primo caso l’operazione è stata rivendicata da una coalizione di hacktivisti filorussi, NoName057(16) e Z-Pentest, sull’episodio della banca del sangue non è ancora emerso nulla.

Falsi allarmi bomba e disagi al trasporto aereo

Il fenomeno è tanto più preoccupante se lo si mette in relazione con i falsi allarmi bomba che proprio in questi giorni hanno causato il dirottamento di diversi voli sul territorio europeo. Entra così in scena la terza infrastruttura critica, i trasporti. La prima ondata di minacce risale al 3 novembre, quando diversi voli diretti verso varie destinazioni europee sono stati costretti a ispezioni e ad atterraggi in scali alternativi⁴. Due giorni dopo lo scenario si è ripetuto su scala più ampia, coinvolgendo voli in partenza da Copenaghen, Dublino, Helsinki, Madrid, Milano e Varsavia.

Il 5 novembre gli allarmi sono saliti a 19, con 8 casi solo in Italia. Nessun ordigno è mai stato trovato a bordo⁵.

L’avversario, del resto, non ha necessariamente un volto unico. Le istituzioni europee ritengono ancora prematuro stabilire se i diversi episodi siano collegati tra loro e, a oggi, non ci sono prove per ricondurre a un’unica regia gli attacchi alla catena del freddo e gli allarmi negli aeroporti. Anche la rivendicazione dei gruppi filorussi va presa con cautela: hanno pubblicato su Telegram il proprio messaggio insieme a quelli che sostengono essere dati sottratti a Danfoss, l’azienda danese che produce i sistemi di controllo della refrigerazione, ma poco dopo i canali sono stati disattivati e finora non sono emerse prove indipendenti del loro coinvolgimento⁶.

Anche questa incertezza fa parte della componente ibrida: confondere le acque sull’autore è a sua volta una mossa.

Impianti esposti e fornitori: i punti deboli

Più che un autore comune, a legare i tre fronti è la logica: azioni semplici ed economiche, capaci però di produrre un impatto materiale e mediatico sproporzionato. Nel caso dei supermercati non sono state sfruttate vulnerabilità sofisticate, ma difetti di sicurezza elementari: impianti esposti direttamente su Internet e protetti da password deboli. L’allerta del CERT-FR, inoltre, è stata estesa anche ai controller XWEB a marchio Dixell, nato in Italia e molto diffuso nella refrigerazione commerciale⁷.

Danfoss ha precisato che la maggior parte dei sistemi colpiti erano apparecchi datati, che non ricevevano più aggiornamenti di sicurezza⁸. Il caso dell’EFS conferma invece che l’anello debole è spesso la catena dei fornitori, proprio quella che la NIS2 chiede di tutelare: gli attaccanti hanno preso il controllo del sistema informatico dell’azienda esterna che gestisce le celle frigorifere, e solo la rapidità con cui l’anomalia è stata individuata ha evitato danni al materiale conservato, a conferma che restare vigili non è uno slogan⁹.

È su questo terreno, fatto di impianti dimenticati e di fornitori esterni, che si giocheranno le prossime mosse, ed è qui che il quadro normativo europeo e nazionale è chiamato a dimostrare la propria efficacia.

La risposta delle istituzioni agli attacchi ibridi

Continuare a stanziare fondi, fare campagne di awareness diffuse e semplici, imporre requisiti minimi di sicurezza per tutti (come la patente per guidare), favorire la ricerca e l’industria nazionale per esempio con la creazione di cyber parchi e luoghi per lo sviluppo tecnologico

È di questi giorni un dibattito fra gli esperti del settore cyber proprio sul tema dei cyber parchi previsti nella strategia nazionale di cyber security di cui è responsabile ACN: auspichiamo tutti che l’iniziativa dei cyber parchi possa vedere la luce.

Un’altra mossa che si dimostra sempre vincente è la condivisione delle informazioni attraverso gli ISAC (information sharing and analysis Centre) che consentono di avere tempestive informazioni su attacchi in corso e sulle contromisure da adottare. Gli ISAC sono previsti dalla nis2 e iniziamo ad averne alcuni attivi, ma ci vuole tempo perché si crei la fiducia tra i partecipanti e le informazioni inizino ad essere veramente cogenti per difendersi in modo duro e compatto, facendo squadra come in una partita di rugby all’ultimo sangue.

Come aiutare le PMI a prevenire e ripartire

Con la condivisione delle informazioni già citata e con una collaborazione pubblico privato che sia semplice e sostenibile.

Le PMI hanno poche risorse da immettere in attività non core business e spesso si affidano alla speranza che, come diciamo da tempo, non è una tattica di sicurezza. I loro interventi sulla sicurezza sono nel 90% dei casi effettuati a valle dei primi danni subiti di valore significativo. Il mio suggerimento è “Be Smart!” Siate furbi, mettetevi in sicurezza PRIMA.

Occorre soprattutto avere procedure di ripristino adeguate e back up segregati dalla rete, già questo può fare una differenza assoluta in caso di attacco.