Un attacco informatico ha mandato in tilt la grande distribuzione europea. Ahold Delhaize, il colosso olandese che controlla Albert Heijn nei Paesi Bassi e Delhaize in Belgio, ha confermato un problema di sicurezza nella propria rete e ha spento in via preventiva parte dei sistemi informatici. Nei centri di distribuzione di Albert Heijn il lavoro si è fermato completamente, e l'amministratrice delegata Margaret Versteden-van Duijn ha avvertito che gli scaffali dei negozi potrebbero svuotarsi, soprattutto per i prodotti freschi. I siti e le app di Albert Heijn, Etos, Gall & Gall e Delhaize sono offline e non accettano nuovi ordini.
Disagi a cascata: dalle casse alle consegne
L'incidente, iniziato domenica pomeriggio, ha avuto ripercussioni immediate anche sulle consegne a domicilio: i fattorini sono stati espulsi tutti insieme dall'app. Alle casse, le etichette elettroniche mostrano ancora le offerte della settimana precedente; gli sconti generici vengono applicati al pagamento, ma quelli personali legati alla Bonuskaart e all'app non funzionano. Albert Heijn conta sette grandi centri di distribuzione nel Paese, ma la manager non ha voluto dire quanti siano ancora operativi né quanto durerà la situazione. Pane, surgelati e prodotti a lunga conservazione dovrebbero restare più disponibili, secondo l'azienda.
In Francia l'attenzione resta concentrata su Danfoss, il produttore danese dei sistemi di refrigerazione usati nei supermercati colpiti da un attacco che ha sbrinato a distanza i frigoriferi. Ad agosto un gruppo di ricerca di Claroty aveva descritto tre vulnerabilità del gestore centralizzato AK-SM 800A: la più grave era un accesso nascosto con password giornaliera ricavabile dalla data, un'altra consentiva di eseguire comandi tramite le impostazioni della posta elettronica. Danfoss le ha corrette nel 2025 con il firmware R4.3.1, ma due mesi fa i ricercatori contavano ancora 2.765 controller raggiungibili da internet. Un portavoce di Ahold Delhaize ha detto a Reuters che non ci sono motivi per collegare i due episodi.
Chi paga il conto? Nessuno ha l'incentivo
Sulla carta gli attori in grado di aggiornare un AK-SM 800A sono tre: Danfoss, che scrive il firmware e potrebbe accedere da remoto tramite la piattaforma cloud Alsense; il frigorista che ha installato il sistema e lo mantiene con un contratto di servizio; e il direttore del negozio, proprietario o locatario dell'apparecchiatura. Nessuno dei tre ha però una ragione sufficiente per intervenire. Per il direttore, il controller della refrigerazione non è un computer e forse non sa nemmeno che esista un firmware da aggiornare. Il contratto del frigorista copre temperature e cicli di sbrinamento, non la sicurezza informatica: applicare una patch che nessuno gli chiede lo esporrebbe a responsabilità in caso di guasto. Danfoss ha pubblicato la correzione e raccomandato di installarla, ma il risultato è che ci sono banchi di prodotti freschi da buttare.
Il lassismo intorno a certi aggiornamenti deriva anche dal tipo di apparecchiature coinvolte, legate a una domanda implicita: chi vuoi che attacchi un frigorifero? Inoltre, controller pensati per restare installati molti anni sono stati progettati per essere comodi da gestire più che difficili da violare. L'interfaccia web dell'AK-SM 800A esiste perché i tecnici possano intervenire senza spostarsi, e il codice del giorno nascosto nel firmware sembra un'altra scorciatoia per l'assistenza. In Europa il Cyber Resilience Act impone aggiornamenti di sicurezza per tutto il periodo di supporto e, da settembre di quest'anno, la segnalazione delle vulnerabilità sfruttate attivamente, ma gli obblighi principali scatteranno a dicembre 2027 e riguarderanno solo i prodotti immessi sul mercato da quel momento. Nessuna norma obbliga chi possiede un impianto già installato ad applicare la correzione. Claroty indica due rimedi: aggiornare a R4.3.1 o togliere le interfacce di gestione da internet, lasciandole raggiungibili solo da reti fidate o VPN. Il secondo non richiede di toccare il firmware, ma serve comunque qualcuno con il mandato di farlo. E torniamo al problema a monte: chi?
