«Following a new wave of incidents having occurred on 1-2 November, ENISA, the European Commission (DG CNECT), Europol’s European Cybercrime Centre (EC3), the Network of the EU national computer security incident response teams (EU CSIRTs Network) and the European cyber crisis liaison organisation Network (EU-CyCLONe), advise organisations to take immediate action to mitigate exposure in the affected systems». Con questa formula, pubblicata il 4 novembre nella dichiarazione congiunta sulla quale convergono l’Agenzia europea per la cybersicurezza, la Commissione, l’unità cybercriminalità di Europol, la rete dei CSIRT nazionali e la rete delle autorità di crisi cibernetica, l’Unione europea ha certificato per la prima volta che la filiera alimentare è un bersaglio. «Since 11 October 2026, several commercial refrigeration systems and similar devices have been impacted by cybersecurity incidents in a number of EU Member States», si legge ancora nel testo, che aggiunge: «Given the large-scale nature of these incidents, cooperation, rapid information-sharing and coordinated response at European level is essential». Tra il 12 ottobre e i primi di novembre, oltre dieci Paesi dell’Unione hanno visto i propri sistemi di refrigerazione commerciale finire sotto attacco: centinaia di supermercati svuotati, prodotti freschi distrutti, e per la prima volta anche una banca del sangue messa in difficoltà. Nessuno ha rivendicato con credibilità, nessuno ha attribuito ufficialmente. Ma la domanda che circola nei corridoi di Bruxelles è una sola: chi sta dimostrando di poter spegnere il freddo d’Europa?
Anatomia di un’ondata: cosa è successo
L’11 e il 12 ottobre 2026 la Francia è stata la prima a cadere. Gli attaccanti hanno preso il controllo dei sistemi di gestione della refrigerazione usati da centinaia di supermercati, modificando da remoto i parametri operativi e forzando gli evaporatori in ciclo di sbrinamento continuo. Alcuni impianti hanno raggiunto i 50 gradi Celsius; secondo il procuratore di Parigi si sono verificati anche incendi. Il bilancio provvisorio parla di circa 300 punti vendita Intermarché e Netto e di poco meno di 100 Coopérative U, con un totale stimato intorno ai 700 supermercati coinvolti e perdite combinate nell’ordine dei milioni di euro.
Poi la pausa, e la seconda ondata. Nella notte tra il 1° e il 2 novembre gli attacchi si sono estesi a Belgio, Lussemburgo, Paesi Bassi, Svezia, Estonia, Irlanda, Finlandia, Lettonia e Italia, con segnalazioni successive anche da Polonia e Portogallo. In Svezia un punto vendita ICA Kvantum di Sjöbo ha dichiarato di aver subito temperature forzate a 50°C; la catena Coop ha segnalato problemi in almeno sei negozi nel centro del Paese. In Belgio il Centre for Cybersecurity ha confermato incidenti in diverse decine di punti vendita, mentre il fornitore di servizi Sabcobel ne ha contati una ventina sui diversi cento che gestisce. Le catene citate nei rapporti includono Carrefour, Delhaize, Colruyt, Ahold Delhaize, Intermarché, IKEA, ICA e Coop.
L’avviso tecnico del CCB belga, aggiornato il 3 novembre, descrive il meccanismo con precisione: «Attackers force these units into maximum-temperature defrost cycles of up to +50°C overnight, causing complete stock destruction and supply disruptions for several European retail chains», e indica la causa immediata in «unpatched firmware, internet-exposed web interfaces, and unchanged default vendor credentials».
Il caso italiano è rimasto, almeno nelle prime valutazioni, di scala ridotta. La Sicilia, la Toscana e l’Emilia-Romagna sono le regioni dove sono stati registrati casi; l’Agenzia per la cybersicurezza nazionale ha ricevuto una notifica NIS da un’azienda toscana della ristorazione collettiva e ha rilevato un attacco, non ancora notificato, a un’impresa emiliana della produzione di surgelati. Palazzo Chigi, al termine di una riunione con il sottosegretario Alfredo Mantovano, il ministro Francesco Lollobrigida, il direttore dell’ACN e i direttori delle agenzie di intelligence, ha parlato di «poche unità commerciali» interessate a fronte delle migliaia presenti sul territorio, «per lo più munite ancora adesso di sistemi di sicurezza obsoleti, con interfacce esposte direttamente su Internet e carenze nei meccanismi di autenticazione». «La gran parte della catena di distribuzione risulta invece dotata di sistemi di protezione aggiornati, in grado di respingere intrusioni malevole. Non è emerso alcun caso di rischio per la salute dei cittadini riconducibile a fenomeni di scongelamento», conclude la nota.
La terza onda, quella che ha rotto il perimetro. Il 2 novembre l’Établissement français du sang ha confermato che le camere fredde destinate allo stoccaggio del sangue in tre siti erano state compromesse — non direttamente, ma attraverso il fornitore di refrigerazione, l’azienda Coolworld. Temperature e soglie di sbrinamento erano state portate a «very high levels». «No health impact has been identified and no loss of blood products is to be reported», ha precisato l’EFS. Il personale è intervenuto in tempo. Ma il messaggio è passato con la forza di un comunicato: il bersaglio non era più la merce.
La vulnerabilità: un settore costruito senza sicurezza
La tecnica non è sofisticata. È la facilità a essere il problema. L’indagine forense convergente — CERT-FR, CCB belga, ACN, e il lavoro su honeypot di almeno tre aziende di sicurezza — descrive un attacco che si regge su tre pilastri: firmware non aggiornato, interfacce web di amministrazione esposte direttamente su Internet e credenziali predefinite mai cambiate.
Il vettore materiale è quasi sempre lo stesso: i controllori della danese Danfoss, in particolare i modelli AK-SM e AK-SC, insieme alle piattaforme Copeland-Dixell XWEB, largamente diffusi nel retail alimentare europeo. Danfoss ha dichiarato di aver individuato alcune falle di sicurezza già nell’anno precedente e di aver «long recommended» ai clienti l’installazione degli aggiornamenti. Non è confermato che le vulnerabilità specifiche identificate dai ricercatori — tra cui debolezze che consentirebbero di aggirare l’autenticazione — siano state effettivamente sfruttate. Ma il quadro che emerge è quello di dispositivi a fine del ciclo di supporto, senza patch, e di una manutenzione che nella pratica non arriva.
Un dettaglio tecnico racconta più di molte analisi: un dirigente del settore refrigerazione ha spiegato a Euronews che un aggiornamento software da solo non basta, perché la rimozione della falla richiede modifiche fisiche agli impianti. È la firma di un problema strutturale, non di un incidente. La sicurezza industriale, semplicemente, non è stata progettata dentro questi apparecchi.
E il contesto rende il calcolo più duro. Forescout rileva che i sistemi di refrigerazione esposti su Internet sono più diffusi in Paesi come Francia, Italia, Grecia e Belgio — motivo per cui, nota il Guardian, il Regno Unito non è ancora stato colpito con la stessa intensità. In Svezia, Coop ha dichiarato che parte dei propri impianti era collegata a una rete mobile 4G, aumentandone l’esposizione. Il CPNI britannico, dal canto suo, ha ammonito che il Regno Unito è vulnerabile tanto quanto il resto del continente.
Chi c’è dietro: sospetti, honeypot e il vuoto di attribuzione
La distanza tra ciò che si sospetta e ciò che si dimostra è, in questo caso, l’intera sostanza della vicenda.
Nessuno ha attribuito ufficialmente gli attacchi. La Commissione europea ha convocato due riunioni — la prima nell’ambito della Task Force interistituzionale UE con ENISA, Europol e i servizi competenti, la seconda attraverso EU-CyCLONe — ma ha esplicitamente precisato che gli incontri non sostituiscono le indagini nazionali e non stabiliscono che gli incidenti nei diversi Paesi abbiano un autore comune. Il Belgio ha aperto un’inchiesta penale. Il portavoce del Centre for Cybersecurity belga, Katrien Eggers, ha detto senza giri di parole: «It is not known who is behind this attack, and it may never be determined».
Il sospetto dominante, però, ha un nome. Politico ha titolato che molti analisti guardano a Mosca; Xavier Bellekens, fondatore della società di sicurezza Lupovis, ha dichiarato: «We strongly believe this activity could be attributed to a Russian state-sponsored threat actor». Il dettaglio più suggestivo viene dal suo team: gli honeypot di Lupovis hanno iniziato a registrare attività di scansione dieci giorni prima della seconda ondata, e hanno visto probing solo ed esclusivamente su bersagli europei. «We saw none of our honeypots in places like Africa or South America targeted at all. Even pots in Ukraine were left alone», ha detto Bellekens alla BBC. I server usati dagli attaccanti contro gli honeypot, secondo l’analista, erano già stati impiegati da gruppi russi in passato, e l’expertise richiesta — comprendere sistemi di controllo industriale e tecnologia della refrigerazione — «is not trivial».
A questo si aggiunge la rivendicazione — debole, ma ingombrante — dei collettivi filorussi NoName057(16) e Z-Pentest Alliance, che in un video hanno sostenuto di aver violato Danfoss. Sekoia, società francese di cyber-difesa, ha però preso le distanze: «To date, we have no technical evidence indicating the involvement of Russian-speaking groups», ha dichiarato un portavoce alla BBC, aggiungendo che «as NoName057 is not known to effectively conduct operations beyond DDoS attacks and has a history of making false attributions, we remain sceptical of their alleged claim of responsibility». Sekoia, come gli altri, lascia aperte le piste: attori iraniani — con un curriculum consolidato di bersagliamento di sistemi di controllo industriale esposti su Internet, e precedenti sugli stessi apparecchi in Israele e negli Stati Uniti — oppure un gruppo coordinato, o persino un dilettante. Su questo fronte la società francese è esplicita: circa 40 supermercati israeliani con controllori Danfoss furono compromessi nel 2022, e gli attori allineati a Teheran «have an established record of targeting internet-exposed industrial control systems and previous incidents involved the same equipment in Israel and the US — both adversaries of Iran».
Il quadro investigativo merita di essere letto per intero, perché contiene gli indizi più utili. Alla fine di agosto 2026, i freezer di almeno sei basi militari statunitensi sono stati forzati in modalità sbrinamento, esattamente come in Francia — modelli di controllore non confermati, indagini in corso. Tre aziende indipendenti hanno rilevato attività di scansione prima della seconda ondata; Sekoia avverte che potrebbe trattarsi di scansione automatica priva di intento malevolo. E tutte e tre le società che stanno analizzando i dati degli honeypot non escludono che possa trattarsi di un adolescente — pur concordando che il livello di pianificazione necessario indica un gruppo ben coordinato. «The fact that all these fridge freezers were hit simultaneously suggests planning and coordination», ha detto Ryan Dewhurst di Previdian, aggiungendo che «given the reported timing of when the devices had their temperatures increased, which seems to have been overnight for maximum damage — this is further evidence that the attack was planned and co-ordinated».
Ciò che manca non è un sospetto, è un movente economico. Nessuno ha chiesto un riscatto: il danno si consuma nel momento stesso in cui il cibo si scongela, il che rende la classica estorsione tecnicamente inutile. Nessun gruppo di attivisti ha rivendicato con credibilità. Resta la lettura che prevale negli ambienti di analisi — quella di un segnale: la dimostrazione pubblica della capacità di spegnere, a comando e in più Paesi contemporaneamente, un pezzo dell’infrastruttura quotidiana europea. Un ex dirigente britannico, intervistato dal Guardian, ha osservato che per la Russia gli attacchi non chiedono denaro, non affermano nulla, ma hanno «valore politico e propagandistico»: sono una forma di pressione ibrida che non vale il rischio di rappresaglia formale. La sottosegretaria britannica alla Sicurezza, Dan Jarvis, ha definito la campagna russa di guerra ibrida una delle minacce più serie per gli abitanti di un Paese europeo oggi.
La risposta: da CERT-FR al Cyber Resilience Act
La reazione europea è stata rapida e multilivello, e vale la pena ricostruirla, perché segnala un cambio di paradigma.
Sul piano tecnico e nazionale, CERT-FR era già intervenuto il 12 ottobre, segnalando numerosi compromessi di Danfoss AK-SM e AK-SC e delle piattaforme Copeland-Dixell XWEB, e chiedendo la rimozione delle interfacce pubbliche e la verifica di configurazioni, cicli di sbrinamento e allarmi. L’ACN italiana ha inviato un vademecum agli operatori della GDO, della logistica alimentare, della refrigerazione industriale e della manutenzione, indicando azioni immediate: verificare l’esposizione su Internet dei sistemi di controllo e teleassistenza, segregarli in ambienti protetti separati dalle reti aziendali, rafforzare gli accessi remoti attraverso VPN e autenticazione a più fattori, verificare gli account privilegiati, e aggiornare o sostituire i dispositivi non più supportati dai produttori. L’agenzia ha inoltre programmato un incontro con le federazioni di settore e i principali operatori della grande distribuzione.
Sul piano europeo, la dichiarazione congiunta del 4 novembre parla di «large-scale nature of these incidents» e insiste sulla necessità di «cooperation, rapid information-sharing and coordinated response at European level». ENISA ha raccolto in un repository pubblico — la raccolta CNW, avviso CNW-2026-05 su GitHub — gli avvisi tecnici dei CSIRT nazionali per aiutare le organizzazioni a identificare i rischi. «Affected EU Member States are aware of the situation and are currently investigating the incidents, while providing guidance», si legge ancora nel testo.
Ma il passaggio più significativo della dichiarazione non riguarda gli attacchi: riguarda gli obblighi normativi già in vigore. «Organisations should be aware that as of 11 September 2026, manufacturers of hardware and software products must report severe incidents and actively exploited vulnerabilities through the Cyber Resilience Act’s Single Reporting platform, in accordance with Regulation (EU) 2024/2847», recita il testo. E ancora: «The main cybersecurity requirements laid down in the Cyber Resilience Act (CRA) will apply as of 11 December 2027. Manufacturers of hardware and software products (‘products with digital elements’) will be required to implement security-by-design and ensure security support during the lifecycle of such products, including the remediation of vulnerabilities without delay.» La direttiva NIS2 (2022/2555) obbliga le entità nel proprio ambito a gestire i rischi informatici delle proprie operazioni e a notificare gli incidenti significativi al CSIRT nazionale o all’autorità competente. ENISA affianca tutto questo con il proprio Secure by Design and Default Playbook.
Vale la pena notare che l’ondata di attacchi è arrivata poche settimane dopo l’inizio dell’applicazione degli obblighi di notifica del CRA. La coincidenza non è necessariamente causale, ma è politicamente rilevante: l’Europa si trova nella posizione di dover chiedere ai produttori, con strumenti appena entrati in vigore, esattamente ciò che per anni non ha chiesto — sicurezza nei controllori industriali.
Il quadro normativo va letto con una nota di realismo: il CRA arriverà pienamente operativo a fine 2027, ma i dispositivi già installati — quelli vecchi, fuori supporto, con password di default — non saranno toccati retroattivamente da nessun obbligo di security-by-design. Il grosso del parco installato vulnerabile resterà tale finché qualcuno deciderà di sostituirlo.
Prospettive
Tre direttrici meritano attenzione nei prossimi mesi.
Primo: la ripetibilità. Il fattore che distingue questa campagna da tutti i precedenti episodi di sabotaggio industriale non è la gravità, è la frequenza. Come osserva CybersecItalia, in passato si trattava di episodi isolati; mai prima d’ora si erano visti centinaia di supermercati colpiti nello stesso momento, in più ondate successive, con intervalli regolari. La scelta di attaccare nella notte tra domenica e lunedì, per massimizzare il danno, è coerente con un’operazione pianificata. Se l’obiettivo era il segnale, è ragionevole attendersi repliche — contro bersagli dello stesso tipo o contro settori adiacenti. La Polizia polacca ha confermato il 6 novembre diverse segnalazioni nel Paese e ha istituito un team dedicato del CBZC per raccogliere prove da ogni unità territoriale: è il segno che il fenomeno non si è esaurito con la seconda ondata.
Secondo: l’anello debole è il fornitore, non il cliente. Il caso della banca del sangue francese è la lezione più importante e la meno discussa. L’EFS non è mai stata direttamente attaccata: è stato compromesso il suo fornitore di refrigerazione, Coolworld, e da lì in tre siti di preparazione e distribuzione sono state alterate soglie di temperatura e sbrinamento. Questo cambia completamente il perimetro del rischio. Non è più questione di difendere i propri impianti: è questione di difendere tutti gli impianti che condividono un fornitore comune. In un’Europa dove la concentrazione della supply chain del freddo è alta — Danfoss, Copeland-Dixell — il numero di punti di rottura è piccolo e noto. Le linee guida NIS2 sui rischi della catena di approvvigionamento esistono da tempo; questi attacchi le rendono urgenti.
Terzo: la filiera alimentare entra formalmente nella sfera del conflitto. Fino a poche settimane fa, il dibattito europeo sulla sicurezza delle infrastrutture critiche si concentrava su energia, telecomunicazioni e trasporti. Il commissario europeo all’Agricoltura Christophe Hansen ha definito questa campagna «a deliberate attempt to disrupt our food supply chain and undermine consumers’ confidence in it». È una formulazione politicamente pesante, perché sposta la filiera alimentare dentro il medesimo quadro di minaccia delle infrastrutture critiche tradizionali. Se questa lettura si consolida, aspettiamoci un’estensione dei requisiti NIS2 agli operatori della refrigerazione commerciale e logistica, un’accelerazione sull’adozione del CRA, e nuove iniziative sulla sicurezza di progettazione dei sistemi OT.
Il punto critico che nessuno, a Bruxelles come nelle capitali, può permettersi di ignorare è quello che un esperto ha posto con una crudezza difficile da contestare: se i controllori di refrigerazione sono vulnerabili, allora lo sono anche i sistemi che regolano l’acqua, l’energia e il gas. Il Sole 24 Ore ha quantificato il problema: 1.000 vulnerabilità critiche sarebbero attive in settori come la manifattura, il food, l’energia e l’acqua, con le competenze specialistiche diffuse tra centinaia di operatori. Non sono i supermercati a essere sotto attacco: è un modello di digitalizzazione industriale che ha collegato a Internet milioni di dispositivi nati senza difese.
La domanda che resta aperta — e che la dichiarazione ENISA non affronta, perché non è suo compito affrontarla — non è tecnica. È questa: l’Europa ha gli strumenti normativi per imporre la sicurezza a valle, ma non ha ancora gli strumenti per decidere cosa fare quando qualcuno dimostra di poter spegnere la catena del freddo di un continente, senza rivendicare nulla, senza chiedere nulla, e senza lasciare — per ora — prove sufficienti per nominarlo.
(English version)
“Following a new wave of incidents having occurred on 1-2 November, ENISA, the European Commission (DG CNECT), Europol’s European Cybercrime Centre (EC3), the Network of the EU national computer security incident response teams (EU CSIRTs Network) and the European cyber crisis liaison organisation Network (EU-CyCLONe), advise organisations to take immediate action to mitigate exposure in the affected systems.” With this formula, published on 4 November in the joint statement bringing together the European Union Agency for Cybersecurity, the Commission, Europol’s cybercrime unit, the network of national CSIRTs and the network of cyber crisis authorities, the European Union certified for the first time that the food supply chain is a target. “Since 11 October 2026, several commercial refrigeration systems and similar devices have been impacted by cybersecurity incidents in a number of EU Member States,” the text goes on, adding: “Given the large-scale nature of these incidents, cooperation, rapid information-sharing and coordinated response at European level is essential.” Between 12 October and the first days of November, more than ten EU countries saw their commercial refrigeration systems come under attack: hundreds of supermarkets emptied, fresh produce destroyed, and for the first time a blood service also put under strain. No one has credibly claimed responsibility, no one has formally attributed the attacks. But the question circulating in the corridors of Brussels is a single one: who is demonstrating the ability to switch off Europe’s cold? A
Anatomy of a wave: what happened
On 11 and 12 October 2026, France was the first to fall. Attackers took control of the refrigeration management systems used by hundreds of supermarkets, remotely altering operating parameters and forcing evaporators into a continuous defrost cycle. Some units reached 50 degrees Celsius; according to the Paris prosecutor, fires also occurred. The provisional tally speaks of roughly 300 Intermarché and Netto outlets and just under 100 Coopérative U stores, with a total estimated at around 700 supermarkets involved and combined losses in the order of millions of euros.
Then the pause, and the second wave. Overnight on 1-2 November the attacks spread to Belgium, Luxembourg, the Netherlands, Sweden, Estonia, Ireland, Finland, Latvia and Italy, with later reports also from Poland and Portugal. In Sweden an ICA Kvantum store in Sjöbo said it had suffered forced temperatures of 50°C; the Coop chain reported problems in at least six stores in the centre of the country. In Belgium the Centre for Cybersecurity confirmed incidents at several dozen outlets, while service provider Sabcobel counted around twenty of the several hundred it manages. Chains named in reports include Carrefour, Delhaize, Colruyt, Ahold Delhaize, Intermarché, IKEA, ICA and Coop.
The Belgian CCB’s technical advisory, updated on 3 November, describes the mechanism precisely: “Attackers force these units into maximum-temperature defrost cycles of up to +50°C overnight, causing complete stock destruction and supply disruptions for several European retail chains,” and identifies the immediate cause as “unpatched firmware, internet-exposed web interfaces, and unchanged default vendor credentials.”
The Italian case remained, at least in the first assessments, limited in scale. Sicily, Tuscany and Emilia-Romagna are the regions where cases were recorded; the National Cybersecurity Agency received an NIS notification from a Tuscan company in the collective catering sector and identified an attack, not yet notified, on an Emilia-based frozen food producer. Palazzo Chigi, at the end of a meeting with Undersecretary to the Presidency Alfredo Mantovano, Minister Francesco Lollobrigida, the head of the ACN and the directors of the intelligence agencies, spoke of “a few commercial units” affected out of the thousands present across the country, “mostly still equipped with outdated security systems, with interfaces exposed directly on the Internet and weaknesses in authentication mechanisms.” “The bulk of the distribution chain, by contrast, appears to be equipped with updated protection systems, capable of repelling malicious intrusions. No case of risk to public health attributable to thawing phenomena has emerged,” the statement concludes.
The third wave, the one that broke the perimeter. On 2 November the Établissement français du sang confirmed that the cold rooms used to store blood at three sites had been compromised — not directly, but through its refrigeration supplier, the company Coolworld. Temperature and defrost thresholds had been raised to “very high levels.” “No health impact has been identified and no loss of blood products is to be reported,” the EFS specified. Staff intervened in time. But the message landed with the force of a press release: the target was no longer the merchandise.
The vulnerability: a sector built without security
The technique is not sophisticated. The ease is the problem. The converging forensic investigation — CERT-FR, the Belgian CCB, the ACN, and the honeypot work of at least three security firms — describes an attack resting on three pillars: unpatched firmware, web administration interfaces exposed directly on the Internet and default credentials never changed.
The material vector is almost always the same: controllers made by the Danish firm Danfoss, in particular the AK-SM and AK-SC models, together with Copeland-Dixell XWEB platforms, widely deployed across European food retail. Danfoss said it had identified some security flaws the previous year and had “long recommended” that customers install updates. It is not confirmed that the specific vulnerabilities identified by researchers — including weaknesses that would allow authentication to be bypassed — were actually exploited. But the picture that emerges is one of devices at the end of their support lifecycle, without patches, and of maintenance that in practice never arrives.
One technical detail says more than many analyses: a refrigeration industry executive told Euronews that a software update alone is not enough, because removing the flaw requires physical modifications to the equipment. It is the signature of a structural problem, not an incident. Industrial security, quite simply, was never designed into these devices.
And the context makes the calculation harder. Forescout finds that internet-exposed refrigeration systems are most common in countries such as France, Italy, Greece and Belgium — which is why, the Guardian notes, the United Kingdom has not yet been hit with the same intensity. In Sweden, Coop said part of its equipment was connected to a 4G mobile network, increasing its exposure. The British CPNI, for its part, warned that the UK is as vulnerable as the rest of the continent.
Who is behind it: suspicions, honeypots and the attribution vacuum
Here the piece has to be rigorous, because the distance between what is suspected and what is proven is, in this case, the entire substance of the story.
No one has formally attributed the attacks. The European Commission convened two meetings — the first within the EU interinstitutional task force with ENISA, Europol and the relevant services, the second through EU-CyCLONe — but explicitly stated that the meetings do not replace national investigations and do not establish that the incidents in different countries share a single author. Belgium has opened a criminal investigation. The spokesperson for Belgium’s Centre for Cybersecurity, Katrien Eggers, put it bluntly: “It is not known who is behind this attack, and it may never be determined.”
The dominant suspicion, however, has a name. Politico headlined that many analysts are looking at Moscow; Xavier Bellekens, founder of the security firm Lupovis, stated: “We strongly believe this activity could be attributed to a Russian state-sponsored threat actor.” The most suggestive detail comes from his team: Lupovis’s honeypots began recording scanning activity ten days before the second wave, and saw probing exclusively against European targets. “We saw none of our honeypots in places like Africa or South America targeted at all. Even pots in Ukraine were left alone,” Bellekens told the BBC. The servers used by the attackers against the honeypots, according to the analyst, had already been used by Russian groups in the past, and the expertise required — understanding industrial control systems and refrigeration technology — “is not trivial.”
To this is added the claim — weak, but awkward — by the pro-Russian collectives NoName057(16) and Z-Pentest Alliance, who in a video said they had breached Danfoss. Sekoia, a French cyber-defence firm, has distanced itself: “To date, we have no technical evidence indicating the involvement of Russian-speaking groups,” a spokesperson told the BBC, adding that “as NoName057 is not known to effectively conduct operations beyond DDoS attacks and has a history of making false attributions, we remain sceptical of their alleged claim of responsibility.” Sekoia, like the others, leaves the tracks open: Iranian actors — with a consolidated record of targeting internet-exposed industrial control systems, and prior incidents involving the same equipment in Israel and the United States — or a coordinated group, or even an amateur. On this front the French firm is explicit: around 40 Israeli supermarkets with Danfoss controllers were compromised in 2022, and Tehran-aligned actors “have an established record of targeting internet-exposed industrial control systems and previous incidents involved the same equipment in Israel and the US — both adversaries of Iran.”
The investigative picture deserves to be read in full, because it contains the most useful clues. At the end of August 2026, freezers at at least six US military bases were forced into defrost mode, exactly as in France — controller models unconfirmed, investigations ongoing. Three independent firms detected scanning activity before the second wave; Sekoia warns it may have been automatic scanning with no malicious intent. And all three companies analysing honeypot data do not rule out that it could be a teenager — while agreeing that the level of planning required points to a well-coordinated group. “The fact that all these fridge freezers were hit simultaneously suggests planning and coordination,” said Ryan Dewhurst of Previdian, adding that “given the reported timing of when the devices had their temperatures increased, which seems to have been overnight for maximum damage — this is further evidence that the attack was planned and co-ordinated.”
What is missing is not a suspect, it is an economic motive. No one has demanded a ransom: the damage is done the moment the food thaws, which makes classic extortion technically pointless. No activist group has credibly claimed responsibility. What remains is the reading that prevails in analytical circles — that of a signal: the public demonstration of the ability to switch off, on command and in several countries at once, a piece of Europe’s everyday infrastructure. A former British official, interviewed by the Guardian, observed that for Russia these attacks demand no money and assert nothing, but carry “political and propaganda value”: they are a form of hybrid pressure that is not worth the risk of a formal response. The British Security Minister, Dan Jarvis, has called Russia’s hybrid warfare campaign one of the most serious threats facing the people of a European country today.
The response: from CERT-FR to the Cyber Resilience Act
Europe’s reaction has been swift and multi-layered, and it is worth reconstructing, because it signals a paradigm shift.
On the technical and national level, CERT-FR had already intervened on 12 October, reporting numerous compromises of Danfoss AK-SM and AK-SC and Copeland-Dixell XWEB platforms, and calling for public interfaces to be removed and configurations, defrost cycles and alarms to be checked. The Italian ACN sent a vade mecum to operators in large-scale retail, food logistics, industrial refrigeration and related maintenance, setting out immediate actions: check the internet exposure of control and remote-assistance systems, segregate them in protected environments separate from corporate networks, strengthen remote access through VPN and multi-factor authentication, review privileged accounts, and update or replace devices no longer supported by manufacturers. The agency also scheduled a meeting with industry federations and the leading large-scale retail operators.
At the European level, the 4 November joint statement cites the “large-scale nature of these incidents” and insists on the need for “cooperation, rapid information-sharing and coordinated response at European level.” ENISA has collected national CSIRT technical advisories in a public repository — the CNW collection, advisory CNW-2026-05 on GitHub — to help organisations identify the risks. “Affected EU Member States are aware of the situation and are currently investigating the incidents, while providing guidance,” the text adds.
But the most significant passage of the statement does not concern the attacks: it concerns regulatory obligations already in force. “Organisations should be aware that as of 11 September 2026, manufacturers of hardware and software products must report severe incidents and actively exploited vulnerabilities through the Cyber Resilience Act’s Single Reporting platform, in accordance with Regulation (EU) 2024/2847,” the text reads. And further: “The main cybersecurity requirements laid down in the Cyber Resilience Act (CRA) will apply as of 11 December 2027. Manufacturers of hardware and software products (‘products with digital elements’) will be required to implement security-by-design and ensure security support during the lifecycle of such products, including the remediation of vulnerabilities without delay.” The NIS2 Directive (2022/2555) obliges entities within its scope to manage the cybersecurity risks to their operations and to report significant incidents to their national CSIRT or competent authority. ENISA supports all of this with its Secure by Design and Default Playbook.
It is worth noting that the wave of attacks arrived a few weeks after the CRA’s reporting obligations began to apply. The coincidence is not necessarily causal, but it is politically relevant: Europe finds itself having to demand of manufacturers, with instruments only just in force, exactly what it failed to demand for years — security in industrial controllers.
The regulatory picture should be read with a note of realism: the CRA will be fully operational by the end of 2027, but devices already installed — the old ones, out of support, with default passwords — will not be retroactively affected by any security-by-design obligation. The bulk of the vulnerable installed base will remain so until someone decides to replace it.
Outlook
Three lines of development deserve attention in the coming months.
First: repeatability. What sets this campaign apart from all previous episodes of industrial sabotage is not severity, it is frequency. As CybersecItalia observes, these used to be isolated episodes; never before had hundreds of supermarkets been hit at the same moment, across successive waves, at regular intervals. The choice to attack overnight from Sunday to Monday, to maximise damage, is consistent with a planned operation. If the objective was the signal, further repeats are reasonable to expect — against the same kind of target or against adjacent sectors. Polish police confirmed on 6 November several reports in the country and set up a dedicated CBZC team to collect evidence from every local unit: a sign that the phenomenon has not ended with the second wave.
Second: the weak link is the supplier, not the client. The French blood service case is the most important lesson and the least discussed. The EFS was never directly attacked: its refrigeration supplier, Coolworld, was compromised, and from there temperature and defrost thresholds were altered at three preparation and distribution sites. This changes the risk perimeter entirely. It is no longer about defending your own equipment: it is about defending every piece of equipment that shares a common supplier. In a Europe where the cold chain’s supply side is highly concentrated — Danfoss, Copeland-Dixell — the number of failure points is small and known. NIS2 guidance on supply chain risk has existed for some time; these attacks make it urgent.
Third: the food supply chain formally enters the sphere of conflict. Until a few weeks ago, Europe’s debate on critical infrastructure security focused on energy, telecommunications and transport. European Agriculture Commissioner Christophe Hansen called this campaign “a deliberate attempt to disrupt our food supply chain and undermine consumers’ confidence in it.” That is politically heavy phrasing, because it moves the food supply chain into the same threat framework as traditional critical infrastructure. If this reading consolidates, expect an extension of NIS2 requirements to commercial refrigeration and logistics operators, an acceleration in CRA adoption, and new initiatives on the security-by-design of OT systems.
The critical point that no one, in Brussels or in national capitals, can afford to ignore is the one an expert put with a bluntness hard to argue with: if refrigeration controllers are vulnerable, then so are the systems regulating water, energy and gas. Il Sole 24 Ore quantified the problem: 1,000 critical vulnerabilities are said to be active across sectors such as manufacturing, food, energy and water, with specialist expertise spread across hundreds of operators. It is not supermarkets that are under attack: it is a model of industrial digitalisation that has connected millions of devices to the Internet, devices born without defences.
The question left open — and which the ENISA statement does not address, because it is not its job to address it — is not technical. It is this: Europe has the regulatory tools to impose security downstream, but it still lacks the tools to decide what to do when someone demonstrates the ability to switch off a continent’s cold chain, claiming nothing, demanding nothing, and leaving — for now — insufficient evidence to name them.
Primary source: Pierluigi Paganini/Security Affairs, ENISA Warns of Cyberattacks Targeting Refrigeration Systems Across Europe
Pillola della SIOI
