Gli attacchi informatici ai sistemi di refrigerazione commerciale europei sollevano interrogativi che vanno oltre l’identificazione degli aggressori. Alcuni controllori industriali erano accessibili attraverso Internet, diverse vulnerabilità erano già note e gli organismi di sicurezza informatica avevano diffuso avvisi prima della seconda ondata di incidenti, registrata tra l’1 e il 2 novembre. La questione riguarda dunque anche le responsabilità di chi avrebbe potuto intervenire per impedire che un’intrusione digitale provocasse danni materiali.Il 12 ottobre il CERT francese ha pubblicato un’allerta, aggiornata il 16, relativa ai controllori Danfoss AK-SM e AK-SC e Copeland/Dixell XWEB, raccomandando di eliminare l’esposizione diretta delle interfacce amministrative su Internet. Il 3 novembre la rete europea dei CSIRT ha diffuso un ulteriore avviso, richiamando tre vulnerabilità già pubbliche nel 2025: CVE-2025-41450, CVE-2025-41451 e CVE-2025-41452. Il giorno successivo ENISA ha confermato il coordinamento europeo delle indagini, mentre il 5 novembre l’autorità ceca NÚKIB ha fornito indicazioni anche sui sistemi Copeland XWEB Pro.Questa successione di avvertimenti non dimostra che ogni impianto colpito presentasse le stesse vulnerabilità, né che tutti i gestori fossero stati informati. Evidenzia però la necessità di ricostruire quando le informazioni siano arrivate agli operatori e quali contromisure siano state adottate.Secondo i rilevamenti di Censys, gli host pubblicamente esposti nelle due famiglie di dispositivi monitorate sono diminuiti del 53%, passando da 6.695 il 9 ottobre a 3.124 il 5 novembre. Nel campione Copeland/Dixell XWEB, l’Italia figurava ancora tra i Paesi con maggiore esposizione, con 366 host individuati. Si tratta di dispositivi rilevati attraverso scansioni Internet, non necessariamente vulnerabili o compromessi. Inoltre, la loro scomparsa dalle rilevazioni non garantisce l’avvenuta installazione di aggiornamenti: potrebbero essere stati spenti, isolati o resi semplicemente non raggiungibili.La catena delle responsabilità coinvolge soggetti differenti. I produttori conoscono le caratteristiche dei dispositivi e ne gestiscono gli aggiornamenti. Gli installatori stabiliscono le modalità di collegamento alle reti. I manutentori possono disporre delle credenziali di accesso remoto, mentre gli esercenti decidono investimenti, interventi e continuità operativa. Le autorità pubbliche, infine, hanno compiti di allerta e coordinamento nei limiti delle rispettive competenze.Individuare eventuali omissioni richiede però documenti precisi: contratti di assistenza, inventari degli apparati, versioni dei firmware, comunicazioni di sicurezza, registri degli accessi e prove degli interventi effettuati.Una questione centrale riguarda il potere di interrompere i collegamenti remoti. Questi sistemi permettono diagnosi e manutenzione a distanza, riducendo i costi di gestione, ma introducono anche nuove vulnerabilità. Occorre stabilire chi possieda le credenziali amministrative, chi possa autorizzare una disconnessione e se gli impianti siano progettati per continuare a funzionare in sicurezza senza accesso a Internet.Anche il quadro normativo europeo richiede distinzioni. Il Cyber Resilience Act, regolamento UE 2024/2847, prevede dall’11 settembre 2026 obblighi di segnalazione per determinate vulnerabilità attivamente sfruttate e incidenti gravi relativi alla sicurezza dei prodotti digitali. I principali requisiti di sicurezza dei prodotti entreranno invece in applicazione l’11 dicembre 2027. La direttiva NIS2 impone obblighi di gestione del rischio e comunicazione degli incidenti ai soggetti che rientrano nel suo ambito, secondo le disposizioni nazionali applicabili.Nessuna di queste norme, tuttavia, stabilisce automaticamente chi debba risarcire i danni provocati dalla perdita della refrigerazione. Le responsabilità dipendono anche dai contratti, dalle legislazioni nazionali e dalla dimostrazione del rapporto tra eventuali omissioni e conseguenze economiche.Il costo degli incidenti potrebbe comprendere prodotti deteriorati, interruzioni delle vendite, smaltimento delle merci, interventi tecnici, sostituzione di componenti e controversie assicurative. Per strutture sanitarie e logistiche, inoltre, l’alterazione delle temperature può avere conseguenze particolarmente gravi. Non è però disponibile una stima aggregata verificata dei danni subiti in Europa, né una contabilità ufficiale delle spese sostenute dalle autorità.Rimane aperta anche la questione dell’attribuzione degli attacchi. Le analogie tecniche e temporali osservate da Censys non dimostrano l’esistenza di un’unica regia. ENISA ha confermato il coordinamento delle indagini senza attribuire gli episodi a uno Stato. Sabotaggio, estorsione, vandalismo e dimostrazione di capacità restano quindi ipotesi da verificare.La prossima fase dell’inchiesta dovrà chiarire quanti operatori conoscessero l’esposizione dei propri sistemi, chi avesse ricevuto gli avvisi, quali dispositivi fossero privi di supporto e chi avesse deciso di mantenerli operativi. Sarà inoltre necessario accertare se le coperture assicurative comprendano i danni provocati dalla manipolazione informatica delle temperature.L’Europa ha sviluppato una catena del freddo sempre più efficiente e connessa, ma la sua sicurezza dipende anche da decisioni apparentemente marginali: aggiornare un dispositivo, proteggere una password, limitare un accesso remoto o interrompere temporaneamente un servizio.Identificare gli aggressori resta compito delle indagini. Prevenire nuovi incidenti richiede invece di stabilire chi disponesse delle informazioni, dell’autorità e degli strumenti necessari per intervenire prima che una vulnerabilità informatica si trasformasse in una perdita economica. La sicurezza digitale non può limitarsi a un servizio acquistato: deve diventare una responsabilità verificabile.