Il sabotaggio del termostato come arma di perturbazione: dall’ Établissement français du sang (EFS) ai supermercati europei, la catena del freddo scopre di essere un’infrastruttura critica senza difese.
Nella notte tra domenica 1° e lunedì 2 novembre, un incidente di cybersicurezza ha alterato i sistemi di supervisione e pilotaggio delle camere fredde dell’Établissement français du sang (EFS) su tre siti regionali. Non è stata l’agenzia trasfusionale francese a essere violata direttamente: il vettore è stato un suo prestatore di attrezzature frigorifere, Coolworld — l’EFS lo ha confermato dopo la rivelazione del Canard enchaîné. Tecnicamente, gli attaccanti hanno alzato a distanza le soglie di temperatura e di sbrinamento delle celle: un valore di soglia programmata, da intendersi come tale e non come temperatura effettivamente raggiunta, che nelle celle destinate a conservare materiale a −30 °C è stato impostato su livelli estremi, fino a valori prossimi ai 110 °C. L’EFS ha precisato che quella temperatura non è mai stata toccata. Una guardia tecnica notturna ha rilevato l’anomalia; prodotti ematici e plasma congelato sono stati spostati su celle non connesse al sistema compromesso, e gli accessi remoti alle apparecchiature sono stati disattivati. «Nessuna conseguenza sanitaria è stata identificata e nessuna perdita di prodotti ematici è da dichiarare», ha dichiarato l’EFS; il gabinetto della ministra della Salute Stéphanie Rist ha parlato di situazione «sotto controllo» e sotto «vigilanza rafforzata». L’EFS lavora con l’Agence nationale de la sécurité des systèmes d’information (ANSSI) e il ministero.
La coincidenza temporale è il dato politicamente decisivo: nella stessa finestra, decine di catene distributive europee registravano improvvise impennate di temperatura in frigoriferi e congelatori, con valori riportati fino a 50 °C. Il conteggio dei Paesi coinvolti è cresciuto nelle ore immediatamente successive ai fatti: sette nelle prime rilevazioni del 2 novembre, almeno undici secondo le ricostruzioni più recenti. Coinvolti Belgio, Estonia, Finlandia, Irlanda, Italia, Lussemburgo, Paesi Bassi, Portogallo, Svezia, e poi Germania, Romania e Regno Unito. In Belgio circa 40 punti vendita Delhaize tra Belgio e Lussemburgo, con la Procura federale che ha aperto un’inchiesta; nei Paesi Bassi almeno diciassette aziende colpite secondo il fornitore Danfoss; in Sicilia quattro supermercati Co-op e un esercizio in Toscana secondo l’agenzia nazionale di cybersicurezza. Tre settimane prima, un’ondata analoga aveva colpito fino a 700 supermercati francesi, con perdite stimate in decine di milioni di euro e incendi attribuiti all’interferenza sui gruppi frigoriferi. Nessuno ha rivendicato, nessuna attribuzione formale è stata resa pubblica.
La natura del bersaglio: non dati, ma processi fisici
Ciò che distingue questa campagna da un ransomware qualunque è che il danno non passa per la cifratura dei dati ma per la manipolazione di un processo termico. I sistemi colpiti appartengono alla sfera dell’operational technology — controllori per la refrigerazione commerciale, interfacce uomo-macchina, piattaforme di telemetria — spesso esposti su Internet per consentire manutenzione remota, spesso con autenticazione debole o assente. Il CERT-FR aveva già emesso un’allerta a ottobre su compromissioni diffuse di controllori delle serie Danfoss AK-SM e AK-SC, dei sistemi Copeland xweb e Dixell xweb, raccomandando di rimuovere l’esposizione diretta delle interfacce di gestione, rivedere l’intera configurazione — comprese le schedulazioni di sbrinamento — e ripristinare l’accesso solo via VPN o rete protetta. La società di sicurezza Forescout ha documentato l’esposizione globale di queste piattaforme, individuando due percorsi d’attacco prevalenti — autenticazione debole o assente, e vulnerabilità note — e rilevando un interesse ricorrente di gruppi hacktivisti, con il metodo tipico consistente nella modifica di temperatura e sbrinamento attraverso HMI esposte.
È qui che il salto di categoria diventa evidente. Un attacco alla disponibilità dei dati si contiene con backup e procedure di ripristino; un attacco alla catena del freddo si contiene con frigoriferi di riserva, personale in servizio e procedure manuali provate. È esattamente quello che ha funzionato all’EFS — e proprio per questo non va letto come rassicurazione: la tenuta ha dipeso dalla prontezza di un tecnico di guardia e dalla disponibilità di celle indipendenti. Non tutte le strutture sanitarie europee, e men che meno un supermercato, dispongono degli stessi margini. Il bersaglio, in entrambi i casi, è la fiducia nella continuità del servizio: sangue per la trasfusione da un lato, approvvigionamento alimentare dall’altro.
Chi, e perché ora: attribuzione sospesa, ipotesi convergenti
Nessuna rivendicazione, nessuna attribuzione ufficiale. Il perimetro delle ipotesi resta più ampio di quanto l’evidenza tecnica consenta di restringere, e va presentato come tale. Due elementi di contesto sono riportati ma non verificati in modo indipendente: la BBC riferisce di voci circolate online su gruppi hacktivisti russi che avrebbero rivendicato un’azione congiunta contro uno dei sistemi utilizzati, e cita un’analisi aziendale inviata ai clienti secondo cui la natura dell’attacco si allineerebbe all’attività di hacktivisti russi o del governo russo. Restano ipotesi: gli esperti non escludono né hacktivisti iraniani e attori statali, né adolescenti in cerca di bravata. La soglia tecnica, su questi sistemi, è bassa, e questo rende l’attribuzione ambigua per costruzione. Un elemento indiziario di tipo diverso è però di fonte aperta: nel monitoraggio di Forescout i gruppi più attivi su questi bersagli dall’inizio del 2026 sono i filorussi Z-Pentest Alliance e NoName057(16) — con dieci attacchi rivendicati da Z-Pentest nel solo 26 aprile.
Il contesto sanzionatorio conferma la direzione del fenomeno, ma non l’attribuzione di questo episodio: l’UE ha sanzionato a luglio 2026 Z-Pentest insieme a figure di spicco di CARR (Cyber Army of Russia Reborn), gruppo responsabile di campagne contro agenzie governative, istituzioni finanziarie e infrastrutture critiche in Stati membri. E il quadro tecnico è quello descritto in un advisory congiunto internazionale: attacchi opportunistici e di bassa sofisticazione, condotti sfruttando connessioni VNC esposte su Internet per raggiungere dispositivi di controllo OT. Non è il profilo di un’operazione di sabotaggio militare: è il profilo di una campagna di disturbo a basso costo, ad alto impatto mediatico e a negabilità plausibile. La scelta di bersagli sanitari e alimentari non è casuale rispetto all’obiettivo: massimizza la visibilità del disordine e la percezione di vulnerabilità dello Stato, senza richiedere le capacità di un servizio d’intelligence.
Sul piano istituzionale, la risposta si è mossa su un doppio binario. La Commissione europea ha riunito le agenzie UE e le autorità nazionali, con il portavoce Thomas Regnier che ha inquadrato l’episodio come tentativo deliberato di perturbare la catena alimentare dell’Unione, richiamando NIS2, Cyber Resilience Act e Cyber Solidarity Act come strumenti già disponibili — senza però attribuire gli attacchi a uno Stato o a un’organizzazione. Il 4 novembre ENISA, DG CNECT, Europol/EC3 e la rete dei CSIRT nazionali hanno diffuso una dichiarazione congiunta sugli incidenti nei sistemi di refrigerazione commerciale, datando la serie dall’ 11 ottobre 2026 e insistendo sulla necessità di condivisione rapida delle informazioni e risposta coordinata. Il quadro regolatorio, però, arriva in ritardo rispetto alla minaccia: l’obbligo per i produttori di segnalare incidenti gravi e vulnerabilità attivamente sfruttate tramite la piattaforma unica del CRA decorre da settembre 2026, ma i requisiti principali si applicheranno dall’ 11 dicembre 2027, e NIS2 vincola gli operatori essenziali — non la filiera dei fornitori di refrigerazione, che è precisamente il punto di rottura.
Prospettive
Il conto alla rovescia senza attribuzione. La finestra in cui un attacco di questo tipo resta non rivendicato è anche la finestra in cui l’effetto politico è massimo: nessuno da dissuadere, nessuno da sanzionare, nessuna linea rossa da dichiarare superata. La variabile decisiva dei prossimi mesi non è tecnica ma attributiva — se un’agenzia nazionale o un’analisi condivisa a livello UE formalizzerà un nome, l’episodio cambierà natura e diventerà un caso diplomatico; se non lo farà, resterà un precedente riutilizzabile. Il precedente c’è già: dal caso all’EFS emerge che colpire un fornitore è più efficiente che colpire l’operatore, perché il primo è meno regolato e serve molti clienti insieme. È l’economia dell’attacco attraverso la catena di fornitura, applicata all’OT.
La sanità come bersaglio, non come danno collaterale. L’EFS è il primo caso europeo in cui un attacco alla refrigerazione commerciale travalica la sfera agroalimentare e tocca direttamente la conservazione di prodotti sanitari. Se la sovrapposizione tra la linea di attacco dei supermercati e quella delle banche del sangue si confermerà — e le modalità sono identiche — la conseguenza politica è che non esiste più una distinzione operativa tra infrastruttura alimentare e infrastruttura sanitaria: entrambe riposano sulla stessa filiera di controllori refrigeranti esposti. Per l’Italia, che ha visto colpiti punti vendita in Sicilia e Toscana e ospita una rete trasfusionale capillare, questo significa che la domanda di sicurezza non riguarda più solo il perimetro digitale degli operatori sanitari, ma i contratti di manutenzione e telemetria dei loro fornitori.
La regolazione arriverà dopo la normalizzazione del rischio. NIS2 e CRA sono la risposta corretta a un problema che stanno ancora definendo, e i tempi non coincidono con quelli dell’attacco: requisiti principali del CRA a dicembre 2027, mentre la serie di incidenti è iniziata l’11 ottobre 2026 e si è ripetuta l’ 1-2 novembre. Nel frattempo la mitigazione dipende da interventi fisici, non da patch: la casa produttrice belga ha spiegato che le unità colpite richiedevano modifiche hardware per essere protette dalla vulnerabilità sfruttata, non semplici aggiornamenti software. È un vincolo che nessun quadro normativo comprime — e che sposta il baricentro della resilienza dalla cybersecurity aziendale alla manutenzione industriale.
L’effetto di segnalazione. Il vero risultato duraturo dell’ondata di novembre potrebbe non essere il danno economico, contenuto, ma la dimostrazione pubblica di un metodo: temperature alzate a distanza via HMI esposte, nessuna capacità d’attacco avanzata richiesta, bersagli scelti per il loro valore simbolico e per l’impatto immediato sull’opinione pubblica. La soglia d’ingresso è sufficientemente bassa da attrarre imitatori non allineati — criminali comuni, attori isolati, gruppi in cerca di notorietà — mentre l’attribuzione resta strutturalmente incerta. La domanda geostrategica dei prossimi dodici mesi non è chi ha colpito per primo, ma quanti altri lo faranno senza averne bisogno: in un sistema dove la ridondanza è fisica, manuale e costosa, e dove la regolazione è digitale, normativa e lenta, il vantaggio resta stabilmente dall’altro lato.
(English version)
Thermostat Sabotage as a Disruption Weapon: From the Établissement français du sang (EFS) to European Supermarkets, the Cold Chain Discovers It Is a Critical Infrastructure Without Defences
On the night between Sunday 1 and Monday 2 November, a cybersecurity incident altered the supervision and control systems of the cold rooms at the Établissement français du sang (EFS) across three regional sites. It was not the French transfusion agency that was directly breached: the vector was one of its refrigeration equipment suppliers, Coolworld — the EFS confirmed this after the Canard enchaîné’s revelation. Technically, the attackers remotely raised the temperature and defrost thresholds of the cells: a programmed threshold value, to be understood as such and not as a temperature actually reached, which in the cells intended to store material at −30 °C was set to extreme levels, up to values approaching 110 °C. The EFS specified that that temperature was never reached. A night technical guard detected the anomaly; blood products and frozen plasma were moved to cells not connected to the compromised system, and remote access to the equipment was disabled. “No health consequence has been identified and no loss of blood products is to be reported,” the EFS stated; the office of Health Minister Stéphanie Rist spoke of a situation “under control” and under “reinforced vigilance.” The EFS is working with the Agence nationale de la sécurité des systèmes d’information (ANSSI) and the ministry.
The temporal coincidence is the politically decisive fact: in the same window, dozens of European retail chains recorded sudden temperature spikes in refrigerators and freezers, with reported values up to 50 °C. The count of countries involved grew in the hours immediately following the events: seven in the first readings of 2 November, at least eleven according to the most recent reconstructions. Involved were Belgium, Estonia, Finland, Ireland, Italy, Luxembourg, the Netherlands, Portugal, Sweden, and then Germany, Romania and the United Kingdom. In Belgium, around 40 Delhaize outlets between Belgium and Luxembourg, with the federal prosecutor’s office opening an investigation; in the Netherlands at least seventeen companies affected according to the supplier Danfoss; in Sicily four Co-op supermarkets and one store in Tuscany according to the national cybersecurity agency. Three weeks earlier, a similar wave had hit up to 700 French supermarkets, with losses estimated in the tens of millions of euros and fires attributed to interference with the refrigeration units. No one has claimed responsibility, no formal attribution has been made public.
The Nature of the Target: Not Data, but Physical Processes
What distinguishes this campaign from an ordinary ransomware attack is that the damage does not pass through data encryption but through the manipulation of a thermal process. The systems affected belong to the sphere of operational technology — commercial refrigeration controllers, human-machine interfaces, telemetry platforms — often exposed on the Internet to allow remote maintenance, often with weak or absent authentication. CERT-FR had already issued an alert in October about widespread compromises of Danfoss AK-SM and AK-SC series controllers, Copeland xweb and Dixell xweb systems, recommending the removal of direct exposure of management interfaces, a review of the entire configuration — including defrost schedules — and the restoration of access only via VPN or a protected network. The security firm Forescout documented the global exposure of these platforms, identifying two prevalent attack paths — weak or absent authentication, and known vulnerabilities — and detecting a recurring interest from hacktivist groups, with the typical method consisting of modifying temperature and defrost through exposed HMIs.
This is where the leap in category becomes evident. An attack on data availability is contained with backups and recovery procedures; an attack on the cold chain is contained with backup refrigerators, staff on duty and rehearsed manual procedures. That is exactly what worked at the EFS — and precisely for this reason it should not be read as reassurance: the resilience depended on the readiness of a technician on guard duty and the availability of independent cells. Not all European healthcare facilities, and even less so a supermarket, have the same margins. The target, in both cases, is trust in the continuity of service: blood for transfusion on one side, food supply on the other.
Who, and Why Now: Attribution Suspended, Converging Hypotheses
No claim of responsibility, no official attribution. The perimeter of hypotheses remains wider than the technical evidence permits narrowing, and must be presented as such. Two elements of context are reported but not independently verified: the BBC reports rumours circulating online about Russian hacktivist groups that allegedly claimed a joint action against one of the systems used, and cites a company analysis sent to customers according to which the nature of the attack would align with the activity of Russian hacktivists or the Russian government. These remain hypotheses: experts rule out neither Iranian hacktivists and state actors, nor teenagers seeking a stunt. The technical threshold on these systems is low, and this makes attribution ambiguous by construction. One circumstantial element of a different kind, however, comes from open sources: in Forescout’s monitoring, the most active groups on these targets since the beginning of 2026 are the pro-Russian Z-Pentest Alliance and NoName057(16) — with ten attacks claimed by Z-Pentest on 26 April alone.
The sanctions context confirms the direction of the phenomenon, but not the attribution of this episode: the EU sanctioned Z-Pentest in July 2026 together with prominent figures of CARR (Cyber Army of Russia Reborn), a group responsible for campaigns against government agencies, financial institutions and critical infrastructure in member states. And the technical picture is the one described in a joint international advisory: opportunistic, low-sophistication attacks, carried out by exploiting VNC connections exposed on the Internet to reach OT control devices. This is not the profile of a military sabotage operation: it is the profile of a low-cost disruption campaign, with high media impact and plausible deniability. The choice of healthcare and food targets is not random with respect to the objective: it maximises the visibility of disorder and the perception of the State’s vulnerability, without requiring the capabilities of an intelligence service.
On the institutional level, the response has moved on two tracks. The European Commission convened the EU agencies and national authorities, with spokesperson Thomas Regnier framing the episode as a deliberate attempt to disrupt the Union’s food chain, invoking NIS2, the Cyber Resilience Act and the Cyber Solidarity Act as already available instruments — without however attributing the attacks to a State or an organisation. On 4 November, ENISA, DG CNECT, Europol/EC3 and the network of national CSIRTs issued a joint statement on the incidents in commercial refrigeration systems, dating the series from 11 October 2026 and insisting on the need for rapid information sharing and a coordinated response. The regulatory framework, however, arrives late relative to the threat: the obligation for manufacturers to report serious incidents and actively exploited vulnerabilities through the CRA’s single platform applies from September 2026, but the main requirements will apply from 11 December 2027, and NIS2 binds essential operators — not the refrigeration supplier chain, which is precisely the breaking point.
Outlooks
The countdown without attribution. The window in which an attack of this kind remains unclaimed is also the window in which the political effect is at its maximum: no one to deter, no one to sanction, no red line to declare crossed. The decisive variable of the coming months is not technical but attributive — if a national agency or an analysis shared at EU level formalises a name, the episode will change nature and become a diplomatic case; if it does not, it will remain a reusable precedent. The precedent already exists: from the EFS case it emerges that hitting a supplier is more efficient than hitting the operator, because the former is less regulated and serves many customers at once. It is the economics of attacking through the supply chain, applied to OT.
Healthcare as a target, not as collateral damage. The EFS is the first European case in which an attack on commercial refrigeration crosses beyond the agri-food sphere and directly touches the storage of healthcare products. If the overlap between the supermarkets’ attack line and that of the blood banks is confirmed — and the methods are identical — the political consequence is that there is no longer an operational distinction between food infrastructure and healthcare infrastructure: both rest on the same chain of exposed refrigeration controllers. For Italy, which has seen outlets hit in Sicily and Tuscany and hosts a capillary transfusion network, this means that the security demand no longer concerns only the digital perimeter of healthcare operators, but the maintenance and telemetry contracts of their suppliers.
Regulation will arrive after the normalisation of risk. NIS2 and the CRA are the correct response to a problem they are still defining, and the timelines do not coincide with those of the attack: main CRA requirements in December 2027, while the series of incidents began on 11 October 2026 and was repeated on 1–2 November. In the meantime, mitigation depends on physical interventions, not patches: the Belgian manufacturer explained that the affected units required hardware modifications to be protected from the exploited vulnerability, not simple software updates. This is a constraint that no regulatory framework compresses — and that shifts the centre of gravity of resilience from corporate cybersecurity to industrial maintenance.
The signalling effect. The true lasting result of the November wave may not be the economic damage, which was contained, but the public demonstration of a method: temperatures raised remotely via exposed HMIs, no advanced attack capability required, targets chosen for their symbolic value and for the immediate impact on public opinion. The entry threshold is low enough to attract unaligned imitators — common criminals, lone actors, groups seeking notoriety — while attribution remains structurally uncertain. The geostrategic question of the next twelve months is not who struck first, but how many others will do so without needing to: in a system where redundancy is physical, manual and costly, and where regulation is digital, normative and slow, the advantage remains stably on the other side.
