Nella notte fra l’11 e il 12 ottobre 2026, un attacco informatico ha messo fuori uso i sistemi di refrigerazione di diverse centinaia di supermercati francesi.
Gli attaccanti hanno attivato lo sbrinamento e fatto salire le temperature, in alcuni casi fino a 50 °C.
Intermarché e Coopérative U hanno dovuto buttare prodotti freschi e surgelati.
Il software usato per controllare gli impianti a distanza era sviluppato dalla società danese Danfoss, secondo Il Post, 12 ottobre 2026.
Il produttore aveva chiesto ai clienti di aggiornare il programma ad agosto.
Dopo l’attacco ha dichiarato che la maggior parte degli apparati coinvolti era obsoleta e non riceveva più aggiornamenti.
È la versione dell’azienda, riportata da Le Monde, 12 ottobre 2026, da distinguere dagli accertamenti ancora in corso.
La procura di Parigi ha aperto un’indagine; Reuters, 12 ottobre 2026, riporta anche incendi, oltre alle perdite di alimenti.
Questi fatti richiedono due verifiche diverse.
Sui sistemi ancora supportati bisogna accertare se le correzioni siano state installate. Sugli apparati fuori supporto bisogna stabilire come continuare a operare senza affidarsi a un programma che il produttore non corregge più.
Le prime notizie non consentono di attribuire le responsabilità ai singoli supermercati.
Consentono invece di riconoscere il problema: la macchina può continuare a funzionare dopo che il suo software ha smesso di ricevere manutenzione.
Il prezzo d’acquisto non copre gli anni di esercizio
Il caso francese riguarda impianti che conservano alimenti. La loro utilità dipende anche dal programma che regola il funzionamento e permette di impartire comandi da remoto.
Nel contratto di manutenzione occorre quindi distinguere gli interventi sulla macchina dagli aggiornamenti del software.
Una data di fine supporto cambia le condizioni d’uso dell’apparato anche quando i suoi componenti fisici sono ancora funzionanti.
Ho visto numerose installazioni senza un’adeguata manutenzione.
Nei progetti di sviluppo che avevano superato il budget, gli aggiornamenti finivano tra le spese da tagliare.
Alla base c’era un’idea precisa: trattare il software come un prodotto industriale che, una volta acquistato, si può usare finché continua a funzionare.
I tagli permettevano di contenere la spesa immediata, lasciando però l’installazione esposta ai rischi dell’obsolescenza.
Il programma rimaneva in uso senza ricevere la manutenzione necessaria a mantenerlo sicuro.
La dichiarazione del produttore sui sistemi francesi fuori supporto rende concreto quel problema.
Il responsabile dell’impianto deve conoscere la versione installata e la data fino alla quale riceverà correzioni. Il contratto deve assegnare gli aggiornamenti a un soggetto identificato.
Il budget deve prevedere gli interventi per gli anni di esercizio, insieme alla sostituzione degli apparati che non possono più essere mantenuti.
L’acquisto iniziale e la manutenzione successiva riguardano lo stesso servizio, anche quando vengono approvati come spese separate.
Il preventivo deve specificare quali attività siano comprese nella manutenzione e quali richiedano un incarico separato.
L’avviso pubblicato il 9 ottobre dall’ufficio nazionale giapponese per la sicurezza informatica raccomanda proprio di applicare rapidamente gli aggiornamenti e di evitare prodotti fuori supporto.
Il documento ufficiale sulle misure contro gli accessi abusivi e le fughe di dati permette di tradurre la discussione sui rischi in richieste verificabili: conoscere i prodotti utilizzati e controllare che siano ancora mantenuti.
Il cliente può chiedere queste informazioni prima di un incidente, senza aspettare che un’indagine ricostruisca l’ultimo aggiornamento effettuato.
Per un’impresa logistica italiana, il documento da leggere è quindi il contratto dell’impianto, insieme alla descrizione degli interventi compresi.
Il caso Intermarché suggerisce una domanda circoscritta: il manutentore risponde anche del programma che controlla la refrigerazione, oppure soltanto delle parti fisiche?
La risposta deve permettere di identificare l’obbligo e il soggetto che lo esegue.
Un generico impegno a mantenere efficiente la macchina non chiarisce necessariamente chi debba aggiornare il software.
In Giappone l’attacco al cloud ha fermato il lavoro di magazzino
Il 7 ottobre un attacco ransomware ha interrotto parte del servizio IDCF Cloud, gestito da IDC Frontier, società del gruppo SoftBank.
Nel comunicato dell’8 ottobre 2026, l’azienda ha indicato 495 imprese e amministrazioni coinvolte.
I virtual server nelle zone colpite erano fermi e non potevano essere riavviati.
Nissui Logistics, società del gruppo Nissui, non poteva effettuare le operazioni di ingresso e uscita delle merci, secondo Jiji Press via nippon.com, 7 ottobre 2026.
Il disservizio aveva raggiunto un’attività fisica attraverso un’infrastruttura digitale esterna.
Il resoconto riguarda quella società, senza misurare gli effetti sull’intero settore logistico.
La domanda per un’impresa che acquista servizi cloud è comunque precisa: quali operazioni aziendali richiedono che quel servizio sia disponibile?
Nel comunicato dell’8 ottobre, il gestore dichiarava difficile estrarre o recuperare i dati e indicava il ripristino dai backup conservati dai clienti.
Era la situazione descritta a quella data, senza dimostrare una perdita definitiva per tutti.
Per ripartire, il cliente doveva però possedere una copia utilizzabile e le informazioni necessarie per ricostruire il servizio.
Per preparare il ripristino, occorre quindi chiarire dove siano conservate quelle copie e chi ne verifichi l’utilizzabilità.
Il 9 ottobre, Masaaki Taira, alla guida dell’organismo per la strategia cyber del partito liberaldemocratico, ha parlato di emergenza nel cyberspazio dopo una serie di attacchi.
Il Financial Times, 9 ottobre 2026, riporta anche la valutazione di Masaki Hiraoka, di Blackpanda: l’AI facilita attività offensive prima onerose, mentre il legame con quella specifica ondata non era dimostrato.
L’allarme politico segnala la gravità della situazione. Non prova l’impiego dell’AI negli attacchi citati.
L’avviso dell’ufficio nazionale giapponese per la sicurezza informatica, pubblicato lo stesso giorno, interviene sui rapporti commerciali.
Chiede di rendere esplicite le responsabilità e di disciplinare la segnalazione degli incidenti nei contratti.
Raccomanda anche di verificare i subfornitori e di controllare i servizi durante il rapporto, oltre alla stipula.
Il cliente deve quindi poter risalire dal servizio acquistato alle imprese che lo fanno funzionare.
Acquistare da un intermediario non elimina la dipendenza dal gestore dell’infrastruttura sottostante.
Il contratto deve collegare l’avviso all’intervento
L’articolo 23 della Direttiva (UE) 2022/2555, 14 dicembre 2022, stabilisce i termini per comunicare un incidente significativo all’autorità.
La NIS2, la direttiva europea sugli obblighi di sicurezza e di notifica dei soggetti essenziali e importanti, prevede un primo avviso entro 24 ore dalla conoscenza e una comunicazione entro 72 ore.
Il rapporto finale segue entro un mese dalla seconda comunicazione.
Quei termini riguardano l’impresa verso l’autorità; l’articolo non fissa una scadenza equivalente per il produttore verso il cliente.
L’articolo 21, paragrafo 2, lettera d, include invece la sicurezza della supply chain fra le misure di gestione del rischio.
Per un impianto connesso, applicare questo criterio richiede di collegare il contratto alla configurazione effettivamente in esercizio. Il professionista che legge la direttiva deve lavorare con il tecnico che conosce l’apparato.
La presenza di una clausola sugli aggiornamenti non dimostra che il modello installato possa ancora riceverli.
Il responsabile della sicurezza può obiettare che il proprio monitoraggio segnala già una temperatura anomala o un servizio indisponibile.
I resoconti francesi e giapponesi non permettono di stabilire quali strumenti usassero gli operatori.
L’obiezione va però seguita fino alla correzione: individuare un’anomalia non garantisce che il cliente possa installare un aggiornamento o recuperare i dati.
Il contratto deve identificare chi interviene e che cosa gli serve per farlo.
L’esercito statunitense offre un confronto sul ruolo dell’acquirente.
Il memorandum del 1 ottobre assegna un responsabile all’acquisizione dei sistemi autonomi e fissa l’anno fiscale 2028 per quelli prioritari (esercito statunitense, 2 ottobre 2026).
L’atto stabilisce un impegno verificabile, senza provarne il rispetto.
Per l’impresa, lo stesso criterio riguarda gli obblighi del venditore durante l’esercizio.
Nel cloud, il cliente deve definire anche come ricostruire o trasferire l’attività affidata a sistemi esterni, prima di averne bisogno.
A mio avviso, l’intelligence continua diventa utile quando permette di verificare queste condizioni, oltre a ricevere notizie sugli incidenti.
L’avviso giapponese raccomanda controlli durante il rapporto con i fornitori. Per renderli eseguibili, il contratto deve chiarire cinque punti:
- Entro quanto il fornitore comunica un incidente al cliente, da quando ne viene a conoscenza.
- Quali servizi esterni e subfornitori sono necessari al funzionamento dell’impianto.
- Chi installa gli aggiornamenti e fino a quale data il prodotto riceve correzioni di sicurezza.
- Chi può sospendere un accesso remoto senza compromettere la sicurezza dell’impianto.
- Quali copie dei dati servono al ripristino e come viene verificato che siano utilizzabili.
Il caso francese rende evidente perché la durata del supporto debba essere conosciuta mentre l’apparato è ancora in esercizio.
Il contratto può assegnare l’intervento, ma l’impresa deve anche prevedere la spesa per eseguirlo.
Gli aggiornamenti devono rientrare nel costo del servizio per tutti gli anni in cui viene utilizzato.
Tagliarli per compensare un progetto fuori budget lascia in uso il programma senza la manutenzione prevista.
Il Cyber Resilience Act, il regolamento europeo sulla sicurezza dei prodotti digitali, va in questa direzione.
L’articolo 13 prevede che il produttore dichiari il periodo di supporto e gestisca le vulnerabilità durante quel periodo.
Questi obblighi si applicheranno dall’11 dicembre 2027; quelli di segnalazione dell’articolo 14 sono già applicabili dall’11 settembre 2026. Commissione europea, sintesi del regolamento.
Per l’impresa, questo significa seguire la supply chain tecnologica durante tutto l’esercizio: sapere quali versioni sono installate e verificare che le correzioni distribuite siano state applicate.
Alla scadenza del supporto deve corrispondere una scelta finanziata, mentre il ripristino deve essere provato usando i dati realmente disponibili.
Il controllo deve riguardare ciò che funziona negli impianti, oltre a ciò che è scritto nei contratti.
Il software rimane sicuro attraverso la manutenzione, anche dopo che il progetto è stato consegnato e il budget di sviluppo è stato chiuso.
