“Ha stato Putin”. C’è già la pista russa per gli attacchi hacker ai supermercati europei, che negli ultimi giorni hanno mandato fuori controllo frigoriferi e congelatori provocando danni economici e la distruzione di tonnellate di alimenti. Per carità, prove non ce ne sono, mentre l’Interpol indaga a 360 gradi valutando ogni pista, anche quella delle proteste di questi giorni nelle piazze di tutta Europea, ma nell’epidemia di calendite c’è già chi cerca nel Cremlino l’hacker che ha alzato di 50 gradi la temperatura delle celle frigorifere del supermercato dietro casa a Palermo.Andiamo con ordine, premettendo che al momento non vi sono rivendicazioni di alcun genere.L’offensiva informatica ha interessato numerosi Paesi europei, tra cui Italia, Svezia, Francia, Irlanda, Portogallo, Lussemburgo ed Estonia. Secondo le informazioni diffuse dalla stampa internazionale, gli episodi avrebbero coinvolto almeno undici Paesi, con modalità operative simili. Gli aggressori hanno preso di mira i sistemi di controllo degli impianti di refrigerazione, modificando a distanza le temperature dei frigoriferi e interrompendo la catena del freddo.Il meccanismo utilizzato non richiede necessariamente sofisticate capacità di spionaggio informatico. Molti impianti frigoriferi commerciali sono collegati a internet per consentire la manutenzione da remoto. Quando le centraline presentano interfacce accessibili dall’esterno, sistemi di autenticazione insufficienti o configurazioni obsolete, un aggressore può riuscire a intervenire sui parametri di funzionamento. È quanto sarebbe accaduto in diversi supermercati europei, dove le temperature sono state innalzate fino a compromettere la conservazione degli alimenti.In Svezia uno degli episodi più significativi ha interessato un supermercato ICA Kvantum di Sjöbo, dove i sistemi frigoriferi sono stati impostati a 50 gradi Celsius, rendendo necessario lo smaltimento dei prodotti. ICA Group ha confermato problemi in alcuni punti vendita, mentre Coop ha segnalato anomalie negli impianti di refrigerazione di sei supermercati nella parte centrale del Paese. Episodi analoghi erano già stati registrati in Francia nel mese di ottobre.Anche l’Italia è stata coinvolta, sebbene Palazzo Chigi abbia definito fortemente limitato l’impatto degli attacchi. Il Gruppo Arena ha segnalato problemi in 20 supermercati siciliani, mentre Conad ha riferito il coinvolgimento di cinque punti vendita, tre in Sicilia e due in Veneto. Altre segnalazioni sono arrivate da Sardegna e Abruzzo, oltre che dall’azienda di ristorazione collettiva Siaf, nel Fiorentino, e dal produttore alimentare Valpizza, in Emilia-Romagna.Il governo italiano ha convocato una riunione di sicurezza presieduta da Alfredo Mantovano, con la partecipazione del ministro dell’Agricoltura Francesco Lollobrigida, dei vertici dell’intelligence e del direttore dell’Agenzia per la cybersicurezza nazionale, Andrea Quacivi. Le autorità hanno escluso, sulla base delle verifiche disponibili, rischi per la salute dei cittadini riconducibili allo scongelamento degli alimenti e hanno sottolineato che le grandi reti distributive, generalmente dotate di protezioni più aggiornate, non hanno registrato criticità significative.Il ministro dell’Interno Matteo Piantedosi ha parlato di un’iniziativa apparentemente coordinata a livello europeo, mentre Lollobrigida ha richiamato il rischio che il settore alimentare diventi uno strumento di guerra ibrida. Ma un’operazione coordinata non è necessariamente un’operazione statale, così come un attacco contro infrastrutture civili non dimostra automaticamente il coinvolgimento di un servizio segreto.È proprio su questo punto che si concentra il dibattito internazionale. La Russia viene indicata tra i possibili responsabili perché negli ultimi anni gruppi informatici filorussi hanno condotto operazioni contro infrastrutture occidentali, comprese installazioni industriali e servizi essenziali. Il precedente più interessante riguarda CyberArmyofRussia_Reborn, conosciuto anche come CARR, un gruppo al quale le autorità americane hanno attribuito attacchi contro sistemi di controllo industriale.Tra gli episodi contestati a CARR figura un attacco del 2024 contro un impianto di lavorazione della carne a Los Angeles, che avrebbe provocato il deterioramento di prodotti alimentari e una fuoriuscita di ammoniaca. Le autorità statunitensi hanno inoltre documentato collegamenti tra ambienti dell’hacktivismo filorusso e strutture dell’intelligence militare russa. Si tratta di precedenti rilevanti per comprendere le capacità operative di questi gruppi, ma non di prove relative agli attacchi attuali.Un’analisi di SentinelLABS, il gruppo di ricerca della società americana SentinelOne, ha richiamato l’attenzione su tre organizzazioni filorusse: CyberArmyofRussia_Reborn, NoName057(16) e Z-Pentest. Quest’ultima avrebbe già rivendicato in passato l’accesso ai sistemi di refrigerazione di un supermercato spagnolo, sostenendo di poter modificare le temperature degli impianti. La rivendicazione non risulta tuttavia verificata in maniera indipendente.Anche NoName057(16) è conosciuto per operazioni informatiche contro Paesi europei e sostenitori dell’Ucraina. Ma il fatto che un gruppo abbia compiuto attacchi in passato non significa che sia responsabile di quelli odierni. Al momento non sono stati resi pubblici elementi tecnici che permettano di collegare queste organizzazioni alle intrusioni nei supermercati.Un altro elemento citato nelle analisi riguarda alcune attività informatiche provenienti da reti localizzate in Russia e Serbia. La società Cyber Defence ha riferito di aver osservato tentativi di accesso a sistemi-esca configurati per simulare centraline frigorifere Danfoss. Una parte significativa del traffico sospetto sarebbe provenuta da indirizzi IP riconducibili a quei due Paesi.Anche in questo caso però il dato va interpretato correttamente. Un indirizzo IP localizzato in Russia non dimostra che l’autore dell’attacco sia russo, né tantomeno che agisca per conto del Cremlino. Gli aggressori possono utilizzare reti private virtuali, server intermediari o computer compromessi situati in qualsiasi parte del mondo. Inoltre, le attività osservate sui sistemi-esca non costituiscono necessariamente una prova del collegamento con gli attacchi realmente avvenuti nei supermercati.A rendere ancora più problematica l’attribuzione interviene la valutazione delle autorità romene. Il responsabile nazionale della cybersicurezza, Dan Cimpean, ha descritto gli episodi esaminati come operazioni relativamente semplici, definite «semi-amatoriali», dichiarando di non sospettare un coinvolgimento statale. Una conclusione riferita ai casi analizzati in Romania, che non può essere automaticamente estesa all’intera Europa, ma che contrasta con l’interpretazione immediata di un’operazione condotta da servizi di intelligence.Anche gli esperti di Sophos hanno evidenziato che attacchi di questo genere potrebbero essere realizzati da singoli hacker o piccoli gruppi, senza necessariamente disporre delle risorse di uno Stato. L’assenza di richieste di riscatto può suggerire un movente dimostrativo o destabilizzante, ma non permette di distinguere con certezza tra criminalità informatica, hacktivismo e operazioni di intelligence.C’è poi un precedente che rende ancora meno convincente l’idea di una tecnica utilizzata esclusivamente contro l’Occidente. Già nel 2022 erano stati documentati attacchi ai sistemi di refrigerazione che avevano interessato anche supermercati in Russia e Israele. La vulnerabilità delle centraline industriali connesse a internet è dunque un problema tecnologico internazionale, non una caratteristica esclusiva delle infrastrutture europee.L’attenzione degli investigatori si concentra anche sull’eventuale presenza di componenti tecnologiche comuni. In alcuni casi sono stati citati sistemi di controllo forniti dalla società danese Danfoss, ma questo non significa che il produttore sia stato violato o che tutti gli episodi abbiano avuto un’unica origine. Una vulnerabilità presente in dispositivi diffusi su larga scala potrebbe essere sfruttata da soggetti differenti, anche senza alcun coordinamento reciproco.Al momento da Bruxelles non si sono ancora alzate le starnazzate russofobiche. Anche le autorità italiane continuano a indagare attraverso l’Agenzia per la cybersicurezza nazionale, la Polizia postale e gli organismi di intelligence. Il Comitato parlamentare per la sicurezza della Repubblica ha avviato approfondimenti sulla vicenda, mentre le aziende del settore sono state invitate a rafforzare i sistemi di protezione e a segnalare tempestivamente eventuali anomalie.L’episodio evidenzia una questione che rischia di passare in secondo piano rispetto alla ricerca di un responsabile geopoliticamente riconoscibile: la fragilità di una parte delle infrastrutture digitali europee. Per compromettere un impianto frigorifero non è necessariamente indispensabile un’operazione sofisticata, possono bastare una centralina esposta su internet, credenziali inadeguate e l’assenza di controlli efficaci sugli accessi remoti.Nei primi nove mesi del 2026, secondo i dati dell’Agenzia per la cybersicurezza nazionale, in Italia sono stati individuati quasi 45mila dispositivi e servizi esposti a rischi informatici, con oltre 3.200 potenzialmente compromessi. Numerose piccole imprese inoltre non rientrano nel perimetro nazionale di cybersicurezza e dispongono di risorse limitate per proteggere le proprie infrastrutture tecnologiche.