La Francia attribuisce a un’unità dei Guardiani della Rivoluzione iraniani il sabotaggio dei controller di refrigerazione dei supermercati

Monitoraggio cyber di Top-Secured: analisi indipendente basata sul comunicato ufficiale di CERT-FR · ANSSI e sulla stampa. Top-Secured non è affiliato a questa azienda e non le chiederà mai le sue credenziali bancarie né le sue password.

La Francia ha attribuito ufficialmente all’Iran l’attacco che, nella notte tra l’11 e il 12 ottobre 2026, ha modificato le impostazioni dei controller di refrigerazione in punti vendita della grande distribuzione. Il rapporto del C4 pubblicato dal CERT-FR indica l’unità Shahid Kaveh dei Guardiani della Rivoluzione e descrive perdite di merce e incendi. Per ogni azienda, la lezione riguarda i dispositivi connessi raggiungibili da Internet.

Cosa è successo

Il 9 novembre 2026 il ministero francese per l’Europa e gli Affari esteri ha attribuito all’Iran un attacco informatico che definisce la prima offensiva di puro sabotaggio sul suolo francese. Indica l’unità Shahid Kaveh, legata al centro cyber del Corpo delle Guardie della Rivoluzione Islamica (IRGC), annuncia la convocazione dell’ambasciatore iraniano e afferma che la Francia proporrà nuove sanzioni europee. Lo stesso giorno il CERT-FR ha pubblicato il rapporto del Centro di coordinamento delle crisi cyber (C4), che riunisce ANSSI, COMCYBER, DGA, DGSE e DGSI.

Secondo il rapporto, nella notte tra l’11 e il 12 ottobre 2026 sono stati compromessi i controller di refrigerazione di circa 700 punti vendita della grande distribuzione. I parametri di sbrinamento sono stati forzati su temperature elevate, con forti perdite di merce e, in almeno 15 casi, principi d’incendio. Il C4 cita tra i colpiti i gruppi Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, oltre a piccole macellerie, un mattatoio e cooperative agroalimentari. Il ministero stima, secondo una propria valutazione, le perdite alimentari in diverse decine di milioni di euro.

Come hanno agito gli attaccanti

Il rapporto non spiega nel dettaglio come i controller siano stati compromessi. Precisa che gli operatori hanno usato FOFA, uno strumento che censisce i dispositivi raggiungibili da Internet, e che la stessa infrastruttura sondava apparati Schneider Electric tramite il protocollo Modbus (porta TCP 502), in particolare in piccoli impianti idroelettrici, con effetti moderati. Il C4 collega inoltre i Guardiani della Rivoluzione ad attacchi precedenti contro Charlie Hebdo (2023) e contro un’azienda di schermi video durante i Giochi di Parigi 2024.

Cosa fare subito

1. Censite tutti i controller, PLC e interfacce di supervisione (freddo, climatizzazione, energia, controllo accessi), compresi quelli installati da un manutentore.
2. Verificate dall’esterno quali rispondono sui vostri indirizzi pubblici, ad esempio con nmap -Pn -p 502,80,443,8080 <vostro-intervallo-pubblico>.
3. Chiudete: nessun protocollo industriale né pagina web di controller direttamente su Internet; accesso remoto solo tramite VPN con autenticazione a più fattori, fornitori compresi.
4. Cambiate le password predefinite ed eliminate gli account inutilizzati.
5. Sorvegliate: allarmi sui cambi di setpoint e sulle derive di temperatura, più una copia delle impostazioni per ripristinarle in fretta.

La nostra analisi

Un controller di refrigerazione è un piccolo server, e gli attaccanti lo cercano come cercano un server web dimenticato. L’inventario di ciò che è esposto su Internet deve includere questi dispositivi, e la teleassistenza deve passare dalle stesse porte del resto della rete.

Fonti

• CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
• France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
• The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites

Come scegliamo, verifichiamo e scriviamo le nostre analisi →