Dalla metà di ottobre, l’Europa è bersaglio di una continua ondata di attacchi mirati ai servizi essenziali per la popolazione. Attraverso incursioni informatiche e, in modo ancora più semplice ed efficace, con falsi allarmi bomba a bordo di voli di linea continentali, è stata creata una situazione di allerta semipermanente. Questo scenario ha causato non solo disservizi, ma soprattutto ingenti costi cumulativi per la gestione delle emergenze. Pur trattandosi di spese non esorbitanti per il singolo evento, il loro ripetersi con cadenza periodica in un arco temporale molto ristretto — poco più di tre settimane — sta rendendo l’impatto economico complessivo particolarmente rilevante.
Frigoriferi come forni
Il primo episodio risale alla notte tra l’11 e il 12 ottobre, quando un imponente attacco informatico ha preso di mira centinaia di supermercati in Francia (circa 7001), manomettendo da remoto i sistemi di refrigerazione per avviare intensi cicli di sbrinamento: questo ha causato il deterioramento di ingenti quantità di generi alimentari e ha provocato degli incendi. Quasi nelle stesse ore, in Olanda uno dei più importanti distributori di generi alimentari rendeva noto di essere al lavoro per ripristinare i sistemi che aveva disattivato in seguito a quello che ha definito un problema di sicurezza2.
Il 3 novembre, la stessa dinamica di sbrinamento forzato, con temperature ben al di sopra della norma, ha toccato supermercati in Svezia, Belgio, Lussemburgo, Estonia e Irlanda. Sebbene l’estensione degli attacchi sia stata generalmente limitata – la catena Carrefour ha dichiarato che l’attacco informatico ai danni dei sistemi di refrigerazione ha interessato 15 dei suoi oltre 700 punti vendita in Belgio3 – i danni riportati non possono solo essere stimati col semplice metro delle derrate alimentari andate perdute. Sebbene con un bersaglio diverso, ma con la stessa metodologia, l’attacco cyber si è ripetuto ancora tra il 1 e il 2 novembre, quando “diverse sedi regionali dell’Établissement Français du Sang (EFS) sono state interessate da un incidente di sicurezza informatica che ha coinvolto alcuni sistemi di monitoraggio e controllo delle celle frigorifere4”. L’EFS ha confermato l’accaduto precisando però che i propri sistemi non sono stati presi direttamente di mira e grazie ai dispositivi di sicurezza, non si è verificata alcuna perdita di emocomponenti. L’attacco ha preso di mira apparecchiature contenenti campioni di sangue e plasma congelato, incluse scorte destinate alle trasfusioni. Come ha dichiarato l’EFS (l’ente francese per la donazione di sangue), i sistemi di monitoraggio e allarme hanno permesso di individuare tempestivamente l’anomalia, scongiurando qualsiasi compromissione dei prodotti ematici. Appena rilevato il problema, i dispositivi coinvolti sono stati messi in sicurezza o neutralizzati, mentre i prodotti conservati sono stati trasferiti preventivamente in altre strutture. Secondo le ricostruzioni, i responsabili avrebbero manomesso i parametri di controllo termico delle celle frigorifere, impostando la temperatura limite a +110°C (o modificandone i valori nominali). Tuttavia, le autorità hanno precisato che ciò non implica che l’interno delle celle o i campioni abbiano effettivamente raggiunto quella temperatura.
Che si tratti di un frigorifero da grande distribuzione alimentare o per lo stoccaggio di emocomponenti lo schema è però evidente: gli attaccanti sono penetrati nel sistema di controllo dei refrigeratori e ne hanno modificato la temperatura da remoto per cercare di creare un danno immediato.
Falsi allarmi bomba
Più complessa e diffusa capillarmente appare la successiva ondata di falsi allarmi bomba su aerei di linea in servizio lungo le tratte del continente europeo.
Anche qui si possono distinguere due fasi temporali distinte, che mostrano similitudini col caso dei refrigeratori per quanto riguarda il progressivo aumento del numero dei bersagli. Nella prima risalente al 3 novembre, l’allarme bomba ha coinvolto sette voli con con partenza da Regno Unito, Irlanda, Danimarca, Portogallo e Italia, e arrivo in Polonia, Spagna, Italia e Bulgaria. Quattro dei voli erarno stati operati da Ryanair, gli altri da Wizz Air, LOT e SAS.
Nella seconda, del 5 e 6 novembre, l’allarme ha riguardato almeno 21 voli aventi come destinazione Austria, Belgio, Bulgaria, Repubblica Ceca, Francia, Italia, Polonia e Romania, coinvolgendo direttamente anche parecchi aeroporti in Europa, La giornata più intensa è stata quella del 5 novembre, con l’Italia particolarmente colpita: un volo Aegean Airlines proveniente da Salonicco è stato oggetto di un allarme dopo l’atterraggio a Milano Malpensa, un volo Finnair da Helsinki a Roma è stato scortato da Eurofighter dell’Aeronautica Militare Italiana, e un volo Wizz Air da Milano a Bucarest è riuscito ad atterrare in sicurezza nonostante la minaccia, trovandosi già in fase di avvicinamento. Lo stesso giorno un Airbus in volo da Dublino a Roma è stato dirottato verso la base aerea di Évreux, nel nord della Francia, mentre in Spagna la polizia ha segnalato tre minacce arrivate via email nell’arco di venti minuti contro un volo Air Europa da Madrid a Parigi e due voli Iberia in arrivo da Roma e Milano. L’ondata ha poi toccato numerosi altri vettori e scali in tutta Europa, tra cui voli Air Serbia, EasyJet, KLM, LOT, Jettime e Ryanair diretti o in partenza da città come Bucarest, Praga, Vienna, Bruxelles, Porto e Londra Stansted, con controlli di sicurezza che non hanno rilevato alcuna criticità. L’allarme è proseguito anche il 6 novembre, quando un volo Ryanair proveniente da Roma ha innescato un’operazione di sicurezza all’aeroporto di Lisbona, conclusasi senza il ritrovamento di alcun ordigno, e due voli Wizz Air, uno da Milano a Bucarest e uno da Praga a Roma, sono stati interessati da minacce, con quest’ultimo costretto a deviare verso Venezia per consentire i controlli da parte della polizia5.
In molti casi, questi allarmi bomba hanno innescato le procedure NATO di scramble, che come abbiamo visto hanno riguardato anche l’Italia dove si sono attivate almeno tre volte in pochi giorni. Inoltre, come effetto immediato, le autorità di molti Paesi coinvolti in via precauzionale hanno rinforzato la sicurezza negli aeroporti – come a Copenhagen – mentre in tutti i casi le autorità di polizia hanno avviato indagini per stabilire l’origine di questi allarmi bomba.
L’iniziale rivendicazione, da parte di di un gruppo o di un individuo che si definiva “Combattenti dello Stato Maschile”, appare incosistente. L’espressione “Combattenti dello Stato Maschile” (Male State) si potrebbe riferire al gruppo russo di estrema destra “Muzhskoi Legion” (Legione maschile), messo al bando da un tribunale di Mosca nel 2021. Ciononostante, il gruppo ha mantenuto decine di migliaia di seguaci online, arrivando a sostenere l’invasione russa dell’Ucraina l’anno successivo6. In ultima analisi, che dietro i sedicenti “Combattenti dello Stato Maschile” ci siano appartenenti al gruppo russo “Legione maschile” non è ancora stato provato.
Costi immediati e occulti
L’attacco ai refrigeratori in Europa potrebbe rientrare in una tendenza più ampia che vede gli hacker mettere alla prova le vulnerabilità di sicurezza di varie tecnologie operative. In molte aziende, infatti, le tecnologie operative (OT) possono risultare meno sicure dei sistemi IT.
Sebbene le azioni abbiano causato danni immediati – che per la Francia sono stati cautelativamente stimati in “decine di milioni di euro”7 – con conseguenze finanziarie che possono persistere nel breve termine dovute al ripristino delle scorte, alla ricostituzione dell’assortimento e al ritorno alla normale operatività a cui si aggiungono anche i costi per soluzioni di refrigerazione temporanee, consegne urgenti e altre misure adottate per limitare i danni, esse comportano anche dei costi occulti (o secondari) identificabili sommariamente in due tipologie: di sicurezza, cognitivi.
Oltre agli oneri assicurativi, per quanto riguarda la prima tipologia possiamo citare l’esempio italiano dove l’Agenzia per la Cybersicurezza Nazionale (ACN) ha emesso un bollettino8, pubblicato inizialmente il 13 ottobre e ripubblicato il 3 novembre in cui invita gli operatori a prendere dei provvedimenti per il rafforzamento della sicurezza dei sistemi OT e per la tracciabilità degli eventi ad essi connessi. Queste procedure richiedono specialisti e tempo, quindi un costo a carico delle società della grande distribuzione che si riverserà sul singolo acquirente finale. Le indicazioni diramate dall’ACN mettono in luce tre livelli prioritari di rischio e impatto per la popolazione e le infrastrutture:
1) Accumulo di informazioni operative ed effettiva replicabilità dell’attacco.
La richiesta di preservare preventivamente log di sistema, configurazioni e dati di traffico degli ultimi 90 giorni prima di qualunque ripristino risponde alla necessità di comprendere le modalità di ricognizione degli attaccanti. L’intersezione tra registri dei controller industriali, accessi VPN e strumenti di teleassistenza consente agli attaccanti di creare una vera e propria mappa di vulnerabilità. Se non adeguatamente analizzato e mitigato, questo patrimonio informativo rende l’attacco altamente reiterabile, estendendone il potenziale campo d’azione verso infrastrutture ancora più critiche, come i sistemi di conservazione di beni sanitari di primo soccorso (es. sacche di sangue e plasma) o la rete di conservazione dei vaccini.
2) Impatto diretto e percepito sulla popolazione.
L’alterazione intenzionale dei parametri termici o l’innesco remoto dei cicli di sbrinamento non punta unicamente alla distruzione fisica del prodotto (sia esso alimentare o farmaceutico). L’impatto primario risiede nella perdita di fiducia della popolazione nella qualità e sicurezza dei beni di prima necessità, oltre al rischio immediato di carenze e sprechi su vasta scala causati dallo smaltimento cautelativo dei lotti esposti ad anomalie termiche.
3) Costi di gestione e paralisi da allerta permanente.
La necessità di condurre verifiche di integrità, isolare e segregare le interfacce esposte, riconfigurare i sistemi di accesso remoto dei manutentori ed eventualmente effettuare il trasferimento preventivo dei prodotti comporta ingenti costi operativi e logistici immediati. La reiterazione periodica di questi incidenti genera una condizione di pressione economica e sistemica costante, dove l’onere finanziario delle continue procedure di risposta e messa in sicurezza rischia di diventare insostenibile nel tempo per gli operatori della filiera.
Dal punto di vista cognitivo, il costo è ancora una volta dato dalla percezione di vulnerabilità del sistema della grande distribuzione: per il cittadino medio è molto difficile capire come sia stato possibile effettuare gli attacchi, le vulnerabilità intrinseche dei sistemi OT, e gli effetti che si volevano ottenere con questo tipo di attacchi, soprattutto perché essi sono andati a toccare un sistema – la catena del freddo – che l’opinione pubblica presumeva sicuro a priori.
Per quanto riguarda i falsi allarmi bomba sugli aerei di linea, si sono attivate risorse statali con costi diretti che potrebbero essere quantificabili col costo per ora di volo dei caccia intervenuti in scramble (circa 44mila euro/h per gli Eurofighter “Typhoon”9), quello per i ritardi e i cambiamenti di destinazione dei voli stessi, per lo schieramento di forze di sicurezza aggiuntive in alcuni aeroporti europei (che è ancora in corso) e infine per l’avvio delle indagini per determinare l’autore/i.
Anche in questo caso ci sono dei costi occulti, o secondari. La deviazione di un volo a causa di una minaccia di bomba può costare fino a 250mila dollari10 a una compagnia, ma trattandosi per la maggior parte di voli a corto raggio questo valore può essere minore. Questo costo però resterà a carico delle compagnie aeree in quanto le polizze di responsabilità civile e di assicurazione dell’aviazione coprono i danni materiali e i danni a terzi, e una falsa minaccia non causa né l’uno né l’altro. Una compagnia di assicurazione in genere non copre le perdite commerciali derivanti da interruzioni operative. Pertanto è probabile che le compagnie aeree più colpite ammortizzeranno questa spesa sull’utente finale, soprattutto in un periodo storico in cui il prezzo dei carburanti è aumentato vertiginosamente a causa delle congiunture internazionali.
Anche i falsi allarmi bomba hanno un risvolto in ambito cognitivo, sebbene leggermente diverso dal caso dei refrigeratori: la sicurezza del volo dalle minacce terroristiche è percepita dal cittadino medio come fondamentale – soprattutto dopo gli eventi dell’11 settembre 2001 – ma comunque non è mai data per scontata. La percezione umana vuole vedere “forze sul campo” ed è disposta anche a sottoporsi a controlli più scrupolosi in quest’ambito (anche se si tratta di palliativi in casistiche come quelle determinatesi nei casi in esame) proprio perché tocca una parte irrazionale della nostra mente: la paura di prendere un aereo. L’aver diramato falsi allarmi bomba è andato a toccare proprio questa corda comportando una serie di interrogativi sull’effettiva capacità di uno Stato di garantire la sicurezza dei voli, e più in generale di garantire la sicurezza stessa dello Stato. Secondariamente, ma non per questo meno importante, si potrebbe innescare il processo di assuefazione alla minaccia qualora questi falsi allarmi venissero reiterati nel tempo, col rischio di sottostimarne una reale.
Conclusioni
Gli eventi qui indicati non appaiono slegati per via della stretta successione temporale in cui sono accaduti. Sebbene non sia possibile procedere a un’attribuzione che sia inequivocabile – come da manuale per quanto riguarda un conflitto ibrido – è possibile osservare degli schemi ricorrenti: dapprima un attacco iniziale poco esteso, successivamente un’azione più ampia e coordinata in un breve lasso di tempo. Nonostante questo schema, non è possibile affermare con certezza se ci sia un’unica regia dietro gli attacchi ai refrigeratori e agli allarmi bomba sui voli di linea. L’ipotesi di due (o più) differenti origini che hanno seguito lo stesso schema per efficacia operativa non è da scartare.
Si è evidenziata, in ogni caso, la capacità di deterioramento di un servizio anche senza la necessità di infliggere un colpo diretto a sistemi più complessi, mettendo anche in luce da un lato, la vulnerabilità dei sistemi OT della filiera della grande distribuzione – che apre questioni riguardanti la sicurezza di altre filiere/strutture utilizzanti sistemi similari – e dall’altro la semplicità del turbamento/interruzione di un servizio sfruttando proprio le cautele che si impongono per la gestione dello stesso.
Dal punto di vista delle contromisure, oltre a quelle tecniche per la filiera del freddo già menzionate, occorrerebbe una comunicazione verso l’opinione pubblica che sappia distinguere meglio le azioni di Guerra Ibrida: un drone che sconfina ha un impatto diverso sulla popolazione da un allarme bomba su un volo di linea. Inoltre queste azioni di Guerra Ibrida dovrebbero essere ricondotte a una narrazione in cui deve essere oltremodo chiaro l’attuale persistenza di un conflitto, con degli attori che hanno interessi a perpetrarlo, che non si combatte sul campo di battaglia con armamenti di varia natura ma che si manifesta con strumenti non letali in grado di seminare paura, diffidenza, disinformazione ma anche interruzioni delle normali funzionalità di uno Stato come abbiamo visto.
Fonti
1 S.N. Haq – Thousands of refrigerators were hacked across France. How worried you should be? – CNN; 14 ottobre 2026
2 A. Charlton, D. Durbin – Cyberattacks hit European supermarket chains and disrupt refrigeration systems – Associated Press; 13 ottobre 2026
3 Supermarket freezers in several European countries hit by apparent cyberattack – Associated Press; 3 novembre 2026
4 S. Bhaimiya – Blood banks targeted in latest European fridge cyberattacks – CNBC; 4 novembre 2026
5 AAVV – Bomb threats cause flight disruptions across Europe – Reuters; 3 novembre 2026, aggiornato il 6 novembre
6 M. Colborne – Male State: The russian online hate group backing Putin’s war – Bellingcat; 11 marzo 2022
7 L. Marchandon, G. Stargardter – Hackers heat French supermarket fridges, sparking fires and spoiling food – Reuters; 12 ottobre 2026, aggiornato il 13 ottobre
8 Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo – ACN; 13 ottobre 2026
9 Professor Spry – Comparing F-35 and Typhoon operating and support costs – King’s College London; 12 giugno 2026
10 J. Recamara – Bomb hoaxes leave airlines with costs insurance won’t cover – Insurance Businness; 6 novembre 2026
