Nella notte fra il 1° e il 2 novembre attacchi agli impianti di refrigerazione in otto paesi europei, Italia compresa. L’ACN rilancia l’allerta, Palazzo Chigi convoca un vertice e la merce persa resta sospesa fra polizze cyber e property
Alle quattro del mattino di lunedì 2 novembre i parametri di temperatura di almeno quattro supermercati Coop gestiti in franchising da Coop Radenza, tre a Catania e uno a Palermo, sono stati alterati a distanza e gli alimenti nei banchi frigo si sono deteriorati. È la parte italiana di una seconda ondata di attacchi hacker alla refrigerazione dei supermercati che nella stessa notte ha toccato altri sette paesi europei, tre settimane dopo il caso francese. Per il mercato assicurativo il problema è un accesso informatico che produce un danno materiale, distribuito su molti assicurati e in più paesi.
Dalla Sicilia all’Emilia, il perimetro italiano
Il direttore generale di Coop Radenza, Giuseppe Spadaro, ha confermato «un attacco hacker in almeno quattro supermercati Coop in Sicilia», precisando che «il problema è stato già circoscritto» e che la società ha avviato i protocolli con l’Agenzia per la cybersicurezza nazionale. Lunedì sera la società stava ancora «calcolando i danni». Coop ha escluso problemi nei punti vendita a gestione diretta. Indaga la Polizia postale.
La Sicilia non è l’unico fronte. L’ACN ha ricevuto una notifica di incidente ai sensi della disciplina NIS da un’azienda toscana della ristorazione collettiva e ha rilevato un attacco, non ancora notificato, contro un’impresa emiliana che produce surgelati. Stamattina l’Agenzia ha ripubblicato, con criticità alta, l’avviso del 13 ottobre rivolto a grande distribuzione, logistica alimentare, refrigerazione industriale e manutentori, «riproposto in primo piano a seguito dei recenti eventi rilevati sul territorio nazionale».
Secondo l’avviso, impianti obsoleti, interfacce di amministrazione esposte su Internet e autenticazione debole permettono di attivare da remoto lo sbrinamento e cambiare i parametri. Chiede di censire controllori e accessi di teleassistenza, separare le reti degli impianti da quelle informatiche e sostituire i dispositivi non più supportati.
Per le 11.30 di oggi è convocato a Palazzo Chigi un vertice coordinato dal sottosegretario Alfredo Mantovano, con il direttore dell’ACN e i direttori delle agenzie di intelligence. Il Copasir ha in calendario oggi l’audizione del direttore dell’AISI, Bruno Valensise, e domani quella del direttore dell’ACN, Andrea Quacivi.
Otto paesi in una notte, lo stesso schema
Le prime segnalazioni sono arrivate verso mezzanotte in Belgio, il paese più colpito: almeno 40 Delhaize, soprattutto punti vendita Proxy e Shop & Go, circa 15 Carrefour su oltre 700, cinque Spar del gruppo Colruyt, fra 10 e 15 Intermarché e il negozio Ikea di Mons. La procura federale ha aperto un’indagine penale, mentre il ministro dell’Interno Bernard Quintin ha escluso problemi di approvvigionamento. Alcuni Delhaize sono stati colpiti anche in Lussemburgo.
In Irlanda Musgrave ha registrato incidenti in 13 SuperValu, con il ritiro di prodotti refrigerati e surgelati. Nei Paesi Bassi Danfoss conta almeno 17 imprese colpite, fra macellerie, piccoli negozi e un deposito. In Svezia sono stati toccati alcuni negozi Coop e ICA e un magazzino e-commerce di Axfood; in Estonia un congelatore di un Selver è stato impostato a 50 °C, ma l’intervento in pochi minuti ha evitato danni. In Portogallo il gruppo Mosqueteiros ha confermato sette Intermarché, raggiunti attraverso un fornitore esterno che gestisce la refrigerazione. In Finlandia l’autorità per la cybersicurezza parla di casi sospetti, mentre Kesko ha registrato guasti in alcuni piccoli negozi e non esclude un’interferenza informatica.
Stephan Moelans, amministratore delegato di Sabcobel, società belga che installa impianti di refrigerazione e gestisce quelli di Delhaize, ha spiegato che sono stati attaccati direttamente gli impianti dei negozi, non i sistemi dell’installatore, e che gli evaporatori sono stati portati in modalità sbrinamento. Sabcobel conta una ventina di impianti colpiti fra quelli dei propri clienti e, secondo Moelans, per proteggerli servono modifiche fisiche: un aggiornamento software non basta. Nessuno ha rivendicato gli attacchi e non c’è alcuna attribuzione.
Il precedente francese e i controller fuori supporto
La Francia aveva aperto la serie europea nella notte fra l’11 e il 12 ottobre. Il ministro dell’Economia Roland Lescure aveva riferito in Parlamento di circa 700 supermercati colpiti su 10.000: 300 fra Intermarché e Netto per il gruppo Mousquetaires, 80 per Coopérative U. L’allerta del CERT-FR riguardava controller Danfoss, Copeland e Dixell, e Danfoss ha precisato che si trattava per lo più di prodotti che non ricevono più aggiornamenti. Nel mese precedente l’attacco Coalition aveva contato 1.506 indirizzi IP con un pannello Danfoss di gestione raggiungibile da Internet, 820 dei quali su reti francesi.
Una perdita materiale nata da un accesso remoto
Per ora ci sono solo i danni dichiarati dai singoli negozi: almeno 100.000 euro al Delhaize di Hoeilaart, almeno 60.000 al Proxy Delhaize di Hoepertingen. Una stima complessiva della seconda ondata non esiste. A ottobre il presidente di Les Mousquetaires, Thierry Cotillard, aveva stimato che il costo complessivo dell’attacco in Francia potesse arrivare a decine di milioni di euro, e Intermarché aveva dichiarato che la propria assicurazione non copre questo tipo di incidente.
Il sinistro cade su un confine noto. Le polizze cyber escludono di norma i danni materiali; nel property, sul mercato di Londra, si usano le clausole LMA5400 e LMA5401, che escludono il rischio cyber con o senza un limitato riacquisto di copertura. La garanzia deterioramento merci in refrigerazione, quando c’è, arriva spesso solo in appendice o dentro la garanzia guasti macchine, che può avere limitazioni proprie sul rischio cyber. A ottobre David Molony di Aon aveva consigliato coperture specifiche per le merci deperibili. È lo spazio scoperto fra cyber, property e deterioramento merci al centro della colonna di Salvatore Infantino pubblicata oggi su BrokerChannel.
Accumulo, Stati e patch: le clausole sotto pressione
La seconda ondata aggiunge un tema di portafoglio. Gli attacchi hanno colpito insegne diverse in più paesi passando per tecnologie comuni e per fornitori esterni della refrigerazione, il profilo di un evento che si accumula su molti contratti dello stesso assicuratore o riassicuratore. A fine ottobre le falle di PHP2Shell avevano posto lo stesso problema ai portafogli cyber, ma lì il punto in comune era un software, qui sono gli impianti.
Resta aperta la questione dell’autore. Dal 31 marzo 2023 Lloyd’s richiede che le polizze cyber standalone escludano, oltre alla guerra, gli attacchi informatici sostenuti da Stati; il mercato usa per lo più le clausole modello LMA5564-5567, la più diffusa delle quali li esclude solo oltre determinate soglie di impatto. Se un’attribuzione arrivasse, entrerebbe nella gestione dei sinistri.
Poi c’è la manutenzione. In Francia come in Estonia sono stati colpiti soprattutto controller vecchi o non aggiornati, e il centro nazionale svedese per la cybersicurezza ha segnalato molti dispositivi esposti da aggiornare. A ottobre Emma Pleut, responsabile cyber di WTW in Francia, aveva ricordato che chi compra una polizza cyber dichiara di norma come gestisce gli aggiornamenti, per esempio impegnandosi ad applicare le patch critiche entro tempi definiti. In un sinistro di questo tipo, il peso di quella dichiarazione dipende dal contratto.
In tre settimane lo stesso attacco è tornato due volte, e nessuno lo ha ancora firmato. Intanto la merce buttata va liquidata con contratti che trattano rischio informatico e danno materiale come due mondi separati.
