Nei primi tre giorni di novembre 2026, l’infrastruttura della catena del freddo commerciale europea si è trovata improvvisamente al centro di un’anomala e coordinata perturbazione fisica dei suoi parametri di conservazione. All’interno di centinaia di punti vendita della grande distribuzione organizzata disseminati in diversi Paesi dell’Unione Europea, gli impianti frigoriferi hanno iniziato a registrare temperature fuori scala, cicli operativi alterati e una progressiva perdita di efficienza termica. Il risultato sul campo è stato immediato quanto distruttivo: quintali di prodotti deperibili, carni e surgelati sono stati irrimediabilmente compromessi, costringendo gli operatori a smaltimenti massivi per scongiurare rischi sanitari e causando danni economici ingenti.
L’estensione e la contemporaneità dei malfunzionamenti hanno escluso fin dalle prime ore l’ipotesi di una coincidenza statistica o di guasti elettromeccanici isolati, assumendo contorni di tale gravità da indurre la Commissione Europea e l’ENISA a intervenire pubblicamente il 4 novembre con una dichiarazione congiunta che ha formalmente riconosciuto la natura transnazionale e su larga scala degli incidenti.
Indice degli argomenti
Gli attacchi ai frigoriferi dei supermercati: il precedente francese
Questa seconda ondata autunnale, tuttavia, non giungeva a ciel sereno. Essa ha riproposto, su una scala geograficamente ben più vasta, lo schema di un precedente campanello d’allarme scattato appena poche settimane prima sul territorio francese. Tra l’11 e il 13 ottobre 2026, infatti, la grande distribuzione d’Oltralpe era stata scossa da un’analoga ondata di disservizi che aveva investito simultaneamente circa settecento supermercati.
In quel frangente, il CERT-FR aveva individuato con estrema precisione i dispositivi bersaglio: i controller per la refrigerazione Danfoss delle serie AK-SM e AK-SC e le piattaforme di telemetria e supervisione Copeland e Dixell XWEB. Gli accertamenti tecnici condotti dall’agenzia nazionale transalpina ANSSI avevano evidenziato una dinamica priva di sofisticazioni crittografiche o codici malevoli: nessuna presenza di malware personalizzato, né tracce di zero-day o di complessi impianti logici residenti nella memoria volatile dei dispositivi. Gli attaccanti si erano limitati a sfruttare l’incauta esposizione diretta delle interfacce amministrative su Internet, facendo leva su credenziali di autenticazione deboli o mai modificate rispetto ai valori di fabbrica.
Una volta ottenuta la sessione, la manomissione si era sviluppata piegando all’intento distruttivo le sole funzionalità native dei sistemi: innalzamento dei setpoint termici, forzatura continua dei cicli di sbrinamento (defrost) e disattivazione delle notifiche di allarme, così da impedire interventi tempestivi prima che il disgelo compisse il danno.
La rivendicazione russa di NoName057 e Z-Pentest per gli attacchi ai frigoriferi
È proprio all’indomani dell’escalation di novembre che l’intera vicenda ha subito una brusca transizione dal terreno strettamente tecnico a quello della guerra informativa. Il 4 novembre 2026, infatti, una rivendicazione congiunta diffusa sui canali Telegram riconducibili ai collettivi filorussi NoName057 e Z-Pentest ha formalmente ascritto l’intera operazione europea al proprio operato. Nel loro comunicato, gli attori hanno sottolineato con enfasi di aver violato gli apparati Danfoss e Dixell senza fare ricorso ad alcun malware, ma avvalendosi unicamente delle funzioni integrate nei dispositivi industriali.
Sebbene la narrativa propagandistica appaia a un primo sguardo perfettamente collimante con le evidenze rilevate sul terreno dalle squadre di pronto intervento, un’analisi condotta secondo i criteri della Cyber Threat Intelligence impone un profondo e motivato scetticismo metodologico. L’adesione a una narrazione non equivale all’attribuzione forense, e la proclamazione del 4 novembre presenta incongruenze temporali, strutturali e comportamentali che trasformano la rivendicazione in un indizio da verificare anziché in una prova inconfutabile di paternità.
Le incongruenze temporali della rivendicazione
Il primo e più evidente elemento di frizione analitica risiede nell’anomalia cronologica della dichiarazione. La rivendicazione congiunta è giunta non all’inizio delle operazioni, bensì con un ritardo considerevole rispetto agli incidenti francesi di ottobre e dopo che le specifiche tecniche essenziali erano già divenute di dominio pubblico. Non solo: già il 3 novembre, ventiquattro ore prima della sortita propagandistica, i ricercatori di SentinelLABS avevano pubblicato un’approfondita disamina tecnica dell’attacco, documentando l’assenza di malware, le caratteristiche dei controller coinvolti e additando proprio l’ecosistema Z-Pentest e CARR come un insieme di sospettati plausibili ancorché privi di conferma forense.
CARR – Cyber Army of Russia Reborn è un collettivo di hacker filorussi attivo dal 2022, impegnato in attacchi contro Paesi che sostengono l’Ucraina.
Di conseguenza, il comunicato di NoName057 e Z-Pentest non ha rivelato alcun dato tecnico proprietario o elemento esclusivo. Gli attori non hanno allegato log di autenticazione interni con marcatura oraria antecedente alla disclosure, né indirizzi di rete riservati, né identificatori univoci delle vittime o screenshot operativi che dimostrassero un accesso effettivo non desumibile dalla semplice consultazione dei bollettini di sicurezza e degli articoli di stampa già circolanti.
Il profilo di NoName057 e il salto verso i sistemi OT
Un secondo ordine di dubbi scaturisce dalla marcata asimmetria tra il profilo operativo storicamente consolidato di NoName057 e la natura intrusiva dell’attacco ai sistemi industriali della refrigerazione. Dalla sua comparsa sulla scena cibernetica e fino alla vasta operazione di contrasto Eastwood condotta da Europol nel luglio 2025, NoName057 è stato censito in via pressoché esclusiva come una compagine votata all’hacktivismo di disturbo, incentrata su offensive di tipo Distributed Denial of Service (DDoS) veicolate attraverso lo strumento distribuito DDoSia.
La loro dottrina operativa si è tradizionalmente limitata alla saturazione della larghezza di banda e all’indisponibilità temporanea di portali web governativi, istituzionali o bancari nei Paesi alleati dell’Ucraina: azioni rumorose, ad altissima visibilità mediatica ma a bassissima complessità tecnica, del tutto prive di impatto fisico sui processi industriali. L’ipotizzare che questa medesima rete si sia repentinamente trasformata in un’unità capace di eseguire intrusioni chirurgiche in ambienti Operational Technology (OT), manovrando con perizia logiche di processo termodinamico e parametri di refrigerazione, rappresenta un’inferenza debole, a meno di non circoscrivere il loro apporto alla sola cassa di risonanza propagandistica.
CARR e Z-Pentest: capacità tecniche e precedenti
La plausibilità tecnica di una componente OT all’interno dell’ecosistema filorusso trova in realtà un ancoraggio documentato non in NoName, bensì nella convergenza con CARR e nella genesi di Z-Pentest. Rapporti congiunti delle agenzie governative statunitensi FBI, CISA e NSA attestano come sin dal 2024 sia stata formalizzata una collaborazione operativa tra CARR e NoName, culminata nel settembre dello stesso anno nella creazione di Z-Pentest, fazione concepita specificamente per condurre intrusioni contro infrastrutture critiche ed esplicitamente sanzionata dall’Unione Europea nel luglio 2026.
Questo sottogruppo possiede un curriculum compatibile con il settore della trasformazione alimentare: al gruppo CARR il Dipartimento di Giustizia degli Stati Uniti ha formalmente ascritto l’attacco del novembre 2024 contro un grande impianto di lavorazione carni a Los Angeles, un evento che provocò il deperimento di ingenti quantità di scorte alimentari e una contestuale fuga di ammoniaca tossica.
Tuttavia, le medesime agenzie di sicurezza mettono in guardia da una caratteristica fisiologica di questi gruppi: un’incessante tendenza alla ricerca di visibilità, all’auto-attribuzione indiscriminata e alla formulazione di rivendicazioni ingigantite o parzialmente infondate. L’esistenza di capacità tecniche non certifica automaticamente l’esecuzione dell’atto, specialmente quando la modalità di attacco risulta accessibile a un ampio spettro di attori indipendenti.
Teleassistenza e credenziali: le altre ipotesi di attacco
La totale assenza di payload specifici e l’impiego di tecniche generiche (ovvero scansione di porte su indirizzi IP pubblici, tentativi di forza bruta via VNC e dizionari di password predefinite) privano infatti l’attacco di qualsiasi firma comportamentale o discriminante forense esclusiva. Questa genericità dei vettori di compromissione lascia aperte piste alternative di primario rilievo investigativo, a cominciare dalla compromissione della catena di fornitura e dei servizi di teleassistenza. La gestione della refrigerazione industriale moderna poggia massicciamente su figure terze: installatori, integratori di sistemi e società di manutenzione remota dotate di accessi centralizzati.
Negli incidenti di novembre, fonti provenienti dal Portogallo per il gruppo Mosqueteiros (in relazione a punti vendita Intermarché) e riscontri paralleli in Germania hanno evidenziato come le anomalie abbiano coinvolto proprio i provider esterni di gestione e telegestione frigorifera. Invece di postulare centinaia di intrusioni isolate, appare tecnicamente solido considerare la violazione iniziale di un singolo account di teleassistenza o di un gateway condiviso presso una società di manutenzione, da cui gli intrusi avrebbero potuto propagare simultaneamente modifiche identiche a catene di negozi eterogenee.
Uno scenario in cui le credenziali potevano essere state carpite mesi prima da infostealer generici o da attori criminali comuni, creando una superficie di vulnerabilità che chiunque avrebbe potuto sfruttare o, alternativamente, che collettivi opportunisti avrebbero potuto rivendicare a posteriori una volta apparsi i primi disservizi nei notiziari.
Cyberattacchi ai frigoriferi e guerra informativa
È proprio in questa divaricazione tra la complessità delle indagini e l’istantaneità della comunicazione che si consuma il nodo cruciale dell’intera vicenda: l’effetto cognitivo della rivendicazione opportunistica si realizza pienamente a prescindere dalla verità tecnica, politica o materiale dell’attacco.
Nella cornice delle operazioni ibride moderne, l’attribuzione rigorosa è un processo metodico, lento e prudente. L’analisi forense della telemetria, la de-anonimizzazione dei server virtuali utilizzati per le connessioni, l’esame comparativo dei timestamp operativi, la mappatura degli Autonomous System e la correlazione tra registri di vendor differenti richiedono settimane, se non mesi, di cooperazione tra agenzie statali, forze dell’ordine e aziende private.
La guerra dell’informazione, al contrario, agisce su un piano temporale immediato. Per l’attore che diffonde la rivendicazione, la reale capacità di accedere alle centraline Danfoss o Dixell diventa una variabile trascurabile nel momento in cui la narrazione viene assorbita dai media internazionali e costringe le massime istituzioni comunitarie a emettere allarmi urgenti e a mobilitare unità di crisi.
Il bersaglio della propaganda è la fiducia pubblica
Il bersaglio dell’operazione, in questa prospettiva, non risiede primariamente nell’hardware della refrigerazione, bensì nella percezione dell’opinione pubblica e dei decisori politici. La rivendicazione instilla un senso profondo e pervasivo di vulnerabilità sistemica: proietta l’immagine di un avversario occulto, onnipresente e capace di penetrare le maglie delle democrazie occidentali fino a toccare un ambito essenziale e tangibile come la conservazione del cibo e la sicurezza alimentare.
Che l’evento sia stato provocato da sabotatori professionisti di Z-Pentest, dalla leggerezza di un manutentore di terze parti, da un delinquente informatico opportunista o persino da una speculazione mediatica su incidenti non coordinati, la narrativa ostile ha già incassato il proprio dividendo strategico. Ha drenato risorse difensive, ha seminato incertezza sociale e ha galvanizzato il consenso propagandistico interno.
In questo scenario, la rivendicazione non funge da epilogo a una perizia informatica, ma rappresenta il vero payload cognitivo dell’azione. L’insegnamento per la comunità di intelligence risiede nella consapevolezza che, nei teatri del confronto non convenzionale, l’illusione del controllo operativo e la manipolazione psicologica degli eventi fisici continuano a rappresentare un’arma altrettanto dirompente della capacità di intrusione tecnica sul campo.
Partecipa alla community