Accessi autorizzati, esposizione nascosta: il filo comune degli incidenti informatici europei dell’autunno 2026

Attacchi distinti in Francia, Danimarca e Italia mostrano perché gli accessi concessi ai fornitori richiedono verifiche continue.

Diversi incidenti informatici verificatisi tra ottobre e novembre 2026 hanno colpito organizzazioni molto diverse tra loro. In alcuni casi, gli attaccanti hanno sfruttato connessioni considerate affidabili, che non erano più state sottoposte a verifiche. In Francia, gli attaccanti hanno alterato i sistemi di controllo della refrigerazione in centinaia di supermercati, secondo quanto riferito dal ministro delle Finanze francese. Successivamente, attacchi analoghi hanno interessato i frigoriferi di negozi alimentari in altri Paesi europei. Un ulteriore incidente, che ha coinvolto Coolworld, fornitore dell’Établissement français du sang (EFS), ha interessato una banca del sangue. In Danimarca, soggetti non identificati hanno sfruttato impropriamente l’accesso autorizzato di un’azienda privata per consultare 8,8 milioni di record del registro anagrafico nazionale (CPR).

Un incidente ha causato il deterioramento di prodotti alimentari, un altro ha interessato il settore sanitario, mentre un terzo ha esposto nomi, indirizzi e numeri identificativi nazionali. Diversi di questi episodi dimostrano che gli accessi basati su relazioni di fiducia e i rapporti con i fornitori rappresentano ormai una delle principali superfici d’attacco.

Francia e Danimarca non sono casi isolati. Anche in Italia si sono verificati incidenti analoghi: nel novembre 2025 è stata segnalata una violazione dei dati del gruppo FS Italiane, presumibilmente attraverso il suo fornitore informatico, mentre nell’ottobre 2026 un attacco ha preso di mira il sito del Ministero degli Affari Esteri (Farnesina). Il caso della Farnesina non riguarda una violazione riconducibile a terze parti, ma evidenzia la stessa pressione esercitata sui servizi pubblici.

Separatamente, nell’ottobre 2026 sono state segnalate due vulnerabilità critiche in PHP (CVE-2026-109618 e CVE-2026-109619). Una terza vulnerabilità, CVE-2026-115560, è stata divulgata il 23 ottobre senza il rilascio di una correzione d’emergenza e, a quella data, non risultavano segnalazioni di sfruttamento. Queste vulnerabilità rappresentano un rischio legato alle dipendenze tecnologiche condivise, piuttosto che agli accessi dei fornitori, ma espongono comunque a potenziali minacce organizzazioni e servizi pubblici in tutto il mondo.

Che cosa è successo in Francia, Danimarca e Italia

Secondo quanto riportato dai media francesi, nei supermercati colpiti le temperature di sbrinamento sarebbero state innalzate fino a 50 °C, causando il deterioramento delle merci segnalato dai rivenditori. Il 12 ottobre, il CERT-FR, il centro francese di risposta agli incidenti informatici, ha pubblicato un’allerta relativa alla compromissione dei controller Danfoss AK-SM e AK-SC. Un aggiornamento del 13 ottobre ha incluso anche i sistemi Copeland e Dixell XWEB.

Il vettore iniziale di compromissione non è stato accertato. Il CERT-FR ha tuttavia avvertito che l’esposizione su Internet delle interfacce di gestione è contraria alle buone pratiche di sicurezza. Danfoss ha dichiarato che i dispositivi interessati erano giunti a fine vita (end of life) oppure utilizzavano firmware obsoleti.

In Danimarca, il 2 ottobre i responsabili del CPR sono venuti a conoscenza di attività anomale risalenti a settembre. L’autorità danese per la protezione dei dati ha dichiarato di aver ricevuto la notifica il 4 ottobre. Secondo le autorità, qualcuno ha abusato dell’accesso legittimamente concesso a un’azienda privata, senza oltrepassare le categorie di dati che le aziende private sono autorizzate a consultare. A destare sospetti è stato soprattutto il volume delle operazioni: secondo le ricostruzioni, sarebbero state effettuate circa 14 milioni di consultazioni in dieci giorni e l’attività anomala sarebbe emersa attraverso il sistema di fatturazione.

L’8 ottobre 2026, un attacco informatico ha preso di mira il sito del Ministero degli Affari Esteri italiano. Secondo il comunicato ufficiale del ministero, i sistemi di sicurezza hanno mitigato l’attacco senza provocare interruzioni dei servizi. Come riportato da Euronews, le agenzie di stampa italiane hanno riferito in serata che l’operazione sarebbe stata condotta dal gruppo filorusso NoName057(16), mentre le prime ricostruzioni hanno descritto un attacco DDoS. Il comunicato del ministero non attribuisce tuttavia l’azione ad alcun gruppo specifico. Nel febbraio 2026, lo stesso gruppo aveva rivendicato su Telegram attacchi DDoS contro sedi diplomatiche italiane e infrastrutture collegate alle Olimpiadi invernali, come riportato da The Record.

Nel comunicato ministeriale, il ministro degli Esteri Antonio Tajani ha dichiarato che la cybersicurezza rappresenta un elemento centrale della riforma della Farnesina approvata l’anno precedente. Ha inoltre sottolineato che, negli ultimi mesi, il ministero ha rafforzato le proprie capacità di prevenzione, monitoraggio e risposta alle minacce.

A settembre, Tajani aveva dichiarato che non si potevano escludere tentativi di influenzare le elezioni nei Paesi prossimi al voto, con riferimento anche alle elezioni politiche italiane del 2027. L’8 ottobre, la portavoce del Ministero degli Esteri russo, Maria Zakharova, ha definito le sue dichiarazioni malsane e irrispettose nei confronti degli italiani, secondo quanto riportato dall’ANSA. L’attacco al sito della Farnesina è avvenuto poche ore dopo, una coincidenza che la stampa italiana ha considerato sospetta. Le fonti esaminate, tuttavia, non stabiliscono un collegamento tra i due eventi.

Nel novembre 2025, un attore malevolo ha rivendicato la sottrazione di circa 2,3 TB di dati dal gruppo FS Italiane, presumibilmente attraverso Almaviva, suo fornitore informatico. Almaviva ha dichiarato di aver individuato e isolato un attacco ai propri sistemi aziendali, durante il quale sarebbero stati sottratti alcuni dati. Secondo SC Media, FS Italiane non aveva ancora riconosciuto pubblicamente la violazione. La stessa testata ha riportato che Andrea Draghetti di D3Lab aveva individuato tra i dati divulgati contratti, informazioni contabili e file tecnici.

Un attacco DDoS come quello contro il ministero non ha come obiettivo la sottrazione di dati, ma la dinamica è comunque rilevante per comprendere il rischio legato alle terze parti. NoName057(16) opera per motivazioni prevalentemente politiche, piuttosto che economiche.

Secondo Recorded Future, il gruppo recluta volontari attraverso Telegram e mette a loro disposizione lo strumento DDoSia per colpire soprattutto enti governativi e organizzazioni del settore pubblico in Ucraina e nei Paesi alleati. Lo stesso tipo di attacco che prende di mira un ministero può colpire anche i fornitori di servizi di pagamento, hosting o portali web da cui un’organizzazione dipende. Analogamente, la violazione segnalata presso il fornitore di FS Italiane ricorda che il livello di sicurezza di un’organizzazione dipende anche da quello dei suoi fornitori e dei fornitori dei fornitori, le cosiddette quarte parti.

Che cosa rivelano i dati Driftnet sui sistemi di refrigerazione esposti

Gli attacchi ai sistemi di refrigerazione non si sono fermati. Secondo le segnalazioni disponibili, dopo la prima ondata in Francia gli attaccanti avrebbero continuato a prendere di mira impianti di refrigerazione in tutta Europa. Tra gli episodi rientra l’incidente del 2 novembre che ha coinvolto Coolworld, interessando, secondo quanto riportato, sistemi utilizzati per conservare e raffreddare parte delle scorte di sangue francesi.

SecurityScorecard ha utilizzato Driftnet, il proprio motore di intelligence Internet, per misurare l’esposizione esterna dei controller interessati mentre gli attacchi ai sistemi di refrigerazione continuavano. Una ricerca basata sul titolo esatto della pagina Danfoss StoreView ha restituito soltanto 470 record. Aggiungendo un titolo utilizzato nelle versioni precedenti, un’intestazione HTTP caratteristica e ulteriori correlazioni basate sugli hostname, sono state ottenute 5.282 osservazioni relative a 4.642 indirizzi IP pubblici.

Il risultato? La Francia rappresentava 2.606 osservazioni, ma l’insieme completo comprendeva 75 Paesi, secondo la ricerca di SecurityScorecard.

Le ricerche relative alla famiglia di prodotti XWEB, che comprende Copeland e Dixell, hanno restituito 6.340 osservazioni su 5.643 indirizzi IP pubblici. Si tratta di interfacce uomo-macchina (Human-Machine Interface, HMI), ossia pagine web attraverso le quali gli operatori remoti possono monitorare gli allarmi e modificare le impostazioni.

Alcuni elementi sono particolarmente rilevanti per chi si occupa di difesa:

• Cifratura: 3.612 interfacce StoreView risultavano accessibili tramite HTTP, contro 1.670 tramite HTTPS.
• Porte: soltanto il 46,6% delle osservazioni StoreView utilizzava la porta 80 o 443. Una verifica limitata alle porte web standard non rileverebbe tutte le altre.
• Limiti dell’analisi: non è stato confermato che questi controller siano vulnerabili e SecurityScorecard non li ha collegati alle vittime francesi. Il solo titolo di una pagina web non consente di identificare con certezza il modello, la versione del firmware o un’eventuale compromissione. I dati indicano dove concentrare le verifiche, ma non permettono di stabilire chi sia il proprietario di ciascuna interfaccia.

Nel mese di novembre, i ricercatori di STRIKE Threat Intelligence hanno inoltre individuato controller di refrigerazione esposti utilizzati per attività abusive. L’analisi si è basata su dati di scansione, che hanno rivelato pannelli di controllo accessibili dall’esterno, e su dati relativi ai flussi di rete, che hanno indicato la possibile presenza di una botnet utilizzata per lo spam.

Il filo comune: connessioni di fiducia mai sottoposte a nuove verifiche

Un supermercato possiede le merci conservate nei frigoriferi, ma generalmente è un’azienda specializzata a installare i controller di refrigerazione e a gestirli da remoto per le attività di assistenza. L’interfaccia HMI potrebbe quindi non comparire mai nell’inventario informatico del rivenditore.

Negli attacchi francesi il vettore iniziale di compromissione non è stato accertato, ma la presenza di interfacce di gestione esposte rappresenta un chiaro segnale d’allarme. Il registro anagrafico danese ha affrontato una situazione quasi speculare: un’azienda disponeva di un accesso valido e qualcuno ne ha abusato. Nel caso dell’operatore ferroviario italiano, secondo le ricostruzioni, la violazione sarebbe partita da uno dei suoi fornitori.

Qualsiasi organizzazione che conceda ai fornitori l’accesso a informazioni sensibili può essere esposta a rischi analoghi. Negli ultimi anni, le relazioni con terze e quarte parti hanno ampliato la superficie d’attacco. Gli attaccanti possono sfruttare punti d’ingresso già autorizzati e considerati affidabili, aggirando così le difese dell’organizzazione.

Il Data Breach Investigations Report 2026 di Verizon ha rilevato il coinvolgimento di terze parti nel 48% delle violazioni, rispetto al 30% dell’anno precedente. Le organizzazioni che si affidano esclusivamente a verifiche annuali o trimestrali della propria catena di fornitura potrebbero non essere in grado di affrontare l’attuale scenario di rischio né di soddisfare i requisiti normativi.

La normativa europea ridefinisce la rendicontazione del rischio di terze parti

La normativa europea non richiede più soltanto di valutare i fornitori, ma anche di poter dimostrare, in qualsiasi momento e in modo continuativo, che tali valutazioni vengono effettivamente svolte. Ciò comprende la disponibilità di dati aggiornati sul rischio, registrazioni delle criticità individuate e dei successivi interventi, nonché evidenze documentali che dimostrino la continuità del monitoraggio.

Due quadri normativi stanno guidando gran parte di questo cambiamento.

La direttiva sulla sicurezza delle reti e dei sistemi informativi 2 (NIS2) include la sicurezza della catena di fornitura tra le misure di gestione del rischio che i soggetti interessati devono adottare. Le organizzazioni devono definire processi per la gestione degli incidenti di cybersicurezza relativi alle tecnologie dell’informazione e della comunicazione (ICT), che comprendano il rilevamento, la risposta e la notifica degli incidenti.

Il regolamento sulla resilienza operativa digitale (DORA) applica lo stesso principio alle entità finanziarie. Queste ultime devono gestire i rischi derivanti dai fornitori terzi di servizi come parte integrante del proprio programma complessivo di gestione del rischio.

DORA stabilisce inoltre tempistiche stringenti: la notifica iniziale di un incidente grave relativo alle ICT, anche quando coinvolge la catena di fornitura, deve essere trasmessa entro quattro ore dalla sua classificazione come grave e comunque non oltre 24 ore dal momento in cui l’entità ne è venuta a conoscenza (Regolamento delegato (UE) 2025/301, art. 5, par. 1, lett. a).

Queste tempistiche rendono necessari sistemi di rilevamento automatico, poiché le segnalazioni manuali da parte dei fornitori possono risultare troppo lente.

Entrambi i quadri normativi indicano pratiche comuni: identificare e classificare i fornitori critici, valutarne la sicurezza, monitorarli continuamente e comunicare i risultati all’alta direzione e al consiglio di amministrazione.

Un foglio di calcolo contenente le verifiche annuali fornisce a un’autorità di vigilanza poche informazioni sulla situazione attuale. Un registro costantemente aggiornato dei fornitori che dispongono di accessi e della rispettiva classificazione dimostra invece la capacità dell’organizzazione di governare la propria catena di fornitura. Inoltre, facilita la preparazione degli audit e mette a disposizione del consiglio di amministrazione dati attendibili.

Otto interventi da avviare subito

Questi otto interventi possono contribuire a ridurre i rischi associati agli accessi concessi ai fornitori.

1. Censire tutti i fornitori con accesso diretto. Il censimento deve comprendere anche le chiavi API, gli account di servizio e le connessioni utilizzate per la manutenzione remota.
2. Classificare i fornitori in base alla sensibilità dei dati e all’impatto operativo. Un fornitore che può modificare la temperatura impostata di un congelatore o intervenire su altri sistemi di controllo critici deve essere collocato in una fascia di rischio elevata.
3. Definire i comportamenti attesi per ciascuna fascia. Stabilire quali attività siano considerate normali per ogni categoria, ad esempio il volume delle richieste, gli orari di accesso e i limiti di frequenza, attivando avvisi in caso di scostamenti.
4. Associare le esposizioni esterne ai rispettivi responsabili. Collegare ogni indirizzo IP pubblico e ogni porta esposta a un proprietario di rete verificato, a una struttura e al fornitore responsabile.
5. Applicare il principio del minimo privilegio. Richiedere ai responsabili di riconfermare periodicamente le autorizzazioni di accesso.
6. Testare le procedure di risposta. Stabilire in anticipo chi deve contattare il fornitore, chi può modificare gli accessi e chi è responsabile delle notifiche alle autorità competenti.
7. Attivare un monitoraggio continuo. Considerare la sicurezza come una condizione da verificare costantemente, anziché come una fotografia statica. Monitorare in modo continuativo sistemi, reti e postura di sicurezza dell’organizzazione e dei suoi fornitori permette di individuare i rischi mentre si stanno sviluppando.
8. Verificare in modo indipendente i sistemi di tecnologia operativa (OT). Controllare le condizioni fisiche attraverso misurazioni indipendenti, perché un’interfaccia HMI compromessa potrebbe non restituire dati accurati.

Come TITAN AI integra l’intero processo di gestione del rischio di terze parti

Questi incidenti evidenziano una debolezza comune a molti programmi di sicurezza. La maggior parte dei team che si occupano di Third-Party Risk Management (TPRM) utilizza uno strumento per i rating di sicurezza, uno per i questionari e un sistema di governance, rischio e conformità (Governance, Risk and Compliance, GRC). Questi tre strumenti vengono spesso collegati manualmente, creando punti di discontinuità attraverso i quali possono emergere nuovi rischi.

Basata sulla nostra piattaforma di rating e TPRM, TITAN AI di SecurityScorecard integra in un unico flusso di lavoro l’acquisizione dei fornitori, la valutazione, il monitoraggio, la gestione degli interventi correttivi e la rendicontazione.

TITAN Watch e TITAN Secure offrono visibilità continua sui fornitori e funzionalità di monitoraggio basate su policy. TITAN Assess utilizza l’intelligenza artificiale per automatizzare questionari e valutazioni. Con la piattaforma TITAN AI è inoltre possibile individuare automaticamente fornitori non censiti e mappare le relazioni con terze e quarte parti.

Gli agenti di intelligenza artificiale possono occuparsi delle attività ripetitive, dall’acquisizione dei dati dei fornitori alla revisione dei questionari, fino al monitoraggio degli interventi correttivi. Gli analisti mantengono invece la responsabilità delle decisioni che richiedono valutazioni specialistiche.

TITAN Secure assegna una priorità alle criticità rilevate sulla base delle attività delle minacce, così che i fornitori associati a casi concreti di sfruttamento delle vulnerabilità vengano esaminati per primi.

Con TITAN AI, il programma TPRM opera come un sistema continuo: individua un problema, assegna un responsabile e verifica che sia stato risolto.

I team possono definire il livello di autonomia del sistema, prevedendo l’approvazione umana per ogni azione oppure ricorrendo a un’automazione completa. Ogni passaggio viene registrato, mentre il management dispone di una visione aggiornata in tempo reale dei rischi, dei progressi e della capacità di risposta dei fornitori.

SecurityScorecard dichiara che le organizzazioni che utilizzano TITAN AI possono ottenere una riduzione fino al 95% delle attività manuali, un coinvolgimento dei fornitori fino a nove volte superiore e una diminuzione fino al 75% delle violazioni della catena di fornitura.

Si tratta di dati dichiarati dall’azienda e non verificati in modo indipendente.

Che cosa devono imparare i dirigenti da questi incidenti

Il registro anagrafico danese e l’operatore ferroviario italiano condividono una criticità: connessioni con fornitori esterni che non sono state sottoposte a successive verifiche.

Gli attacchi ai sistemi di refrigerazione francesi aggiungono un ulteriore elemento di attenzione: l’esposizione su Internet delle interfacce di gestione remota.

La gestione del rischio di terze parti ha ormai conseguenze che coinvolgono direttamente il consiglio di amministrazione. Nell’ambito di NIS2 e DORA, le autorità di vigilanza si aspettano evidenze aggiornate su chi dispone degli accessi, quali criticità sono state individuate e quando sono state risolte.

Una verifica annuale non è sufficiente a fornire queste informazioni.

Il punto di partenza sono gli otto interventi descritti. Successivamente, ogni organizzazione dovrebbe porre al proprio team una domanda fondamentale:

Se oggi cambiassero le autorizzazioni di accesso di un fornitore, quanto tempo impiegheremmo ad accorgercene?

Richiedi una demo per scoprire quali fornitori che hanno accesso ai tuoi dati o alle tue attività operative non rispettano attualmente i tuoi standard di sicurezza.

Contenuto realizzato in collaborazione con SecurityScorecard.