Attacchi hacker alle aziende, chi paga i danni e come assicurarsi

Freezer trasformati in forni nel giro di poche ore, banchi frigo da svuotare all’apertura e merce che finisce dritta nei cassonetti. La nuova ondata di attacchi hacker ai supermercati ha portato in Italia uno scenario che fino a pochi giorni fa sembrava confinato alla Francia e al Nord Europa. E ha messo commercianti e PMI di fronte a una verità scomoda: un attacco informatico non si limita più a rubare dati o bloccare i computer, ma può distruggere merce, fermare impianti e bruciare ricavi in una sola notte.

La domanda che tanti privati e imprese si stanno facendo è molto concreta. Chi paga i danni? E una polizza cyber basta davvero a mettersi al riparo?

Cosa è successo nei supermercati italiani e perché è un vero allarme di sistema

L’attacco è scattato intorno alle 4 del mattino di lunedì 2 novembre. In Sicilia il gruppo Radenza, che gestisce i supermercati a marchio Coop sull’isola, ha confermato intrusioni nei sistemi di refrigerazione di almeno quattro punti vendita, tre a Catania e uno a Palermo. I parametri di temperatura sono stati modificati da remoto, con l’avvio dello sbrinamento e il deterioramento dei surgelati. I danni sono ancora da quantificare, ma l’azienda li stima in diverse migliaia di euro.

Sono stati coinvolti anche alcuni negozi Decò tra Palermo e Trapani: secondo il gruppo si tratta solo di punti vendita affidati in gestione a terzi. Altri esercizi si trovano nel Ragusano: a Modica un manager ha raccontato al Corriere della Sera di aver dovuto buttare la merce e di voler aumentare gli investimenti in sicurezza.

Il problema, però, non riguarda solo la grande distribuzione. L’Agenzia per la cybersicurezza nazionale (ACN) ha ricevuto la notifica NIS di un incidente da un’azienda toscana della ristorazione collettiva. Ha inoltre individuato un attacco, non ancora notificato, ai danni di un’impresa emiliana che produce surgelati.

Martedì 3 novembre il sottosegretario Alfredo Mantovano ha riunito a Palazzo Chigi il direttore dell’ACN e i vertici dell’intelligence, mentre il Copasir ha avviato le audizioni. La Polizia postale sta verificando i collegamenti con gli episodi europei. Nella stessa notte sono finiti nel mirino supermercati di Belgio, Lussemburgo, Irlanda, Paesi Bassi, Estonia, Finlandia e Svezia, con temperature dei congelatori schizzate fino a 50 gradi.

Il precedente è francese. Il 12 ottobre gli hacker avevano sfruttato vecchie versioni di un software di gestione remota della refrigerazione sviluppato dalla danese Danfoss. Erano stati colpiti centinaia di punti vendita Intermarché, Netto, Coopérative U ed E.Leclerc. Nessuno, finora, ha rivendicato gli attacchi.

leggi anche

Questa birra è sotto attacco hacker. Scaffali vuoti al supermercato, stabilimenti chiusi

Perché un attacco informatico diventa un danno fisico

Il nodo è proprio questo. Frigoriferi, celle, magazzini, linee produttive: la tecnologia governa ormai anche processi fisici, e un accesso remoto lasciato aperto basta per trasformare una falla informatica in un danno materiale.

Nel bollettino dedicato alla filiera del freddo, riproposto il 3 novembre dopo i casi italiani, il CSIRT Italia elenca i fattori sfruttati dagli aggressori: installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e meccanismi di autenticazione deboli. Da qui le contromisure:

• censire controllori e servizi di teleassistenza;
• eliminare l’esposizione online delle funzioni di controllo;
• separare le reti degli impianti da quelle aziendali;
• consentire l’amministrazione remota solo tramite VPN e autenticazione a più fattori;
• aggiornare o sostituire i dispositivi non più supportati.

Le principali catene italiane hanno dichiarato di non utilizzare il software Danfoss, ma potrebbero usare tecnologie simili con le stesse debolezze. E la sicurezza non dipende solo dal singolo punto vendita: entrano in gioco anche produttori, installatori, fornitori del software e manutentori.

Chi paga i danni di un attacco hacker?

In prima battuta il conto ricade sull’impresa colpita: merce da smaltire, produzione ferma, incassi persi, interventi tecnici e ripristino dei sistemi. I casi francesi danno la misura del problema. Un Intermarché di Haguenau ha perso surgelati per 50mila euro, un E.Leclerc di Wasselonne circa 220mila euro tra prodotti freschi e congelati. Risalire agli autori e recuperare le somme, soprattutto quando l’attacco arriva dall’estero, è un’impresa quasi impossibile.

Resta la strada della rivalsa su fornitore IT, produttore o manutentore. Ma solo quando emergono responsabilità dimostrabili, per esempio un inadempimento degli obblighi contrattuali o una gestione negligente degli accessi. Per questo i contratti di assistenza e manutenzione meritano la stessa attenzione riservata alle polizze.

leggi anche

Un’AI hacker che cerca altri modelli da infettare. Ecco come funziona l’attacco informatico Skynet

Cosa copre davvero una polizza cyber

L’assicurazione trasferisce alla compagnia una parte del rischio, ma paga solo nei limiti di garanzie, massimali e franchigie sottoscritti. L’IVASS ha analizzato 50 polizze in commercio, di cui 26 dedicate alle PMI. Ha rilevato coperture articolate (danni subiti dall’impresa, danni causati a terzi, spese legali), ma anche esclusioni, limitazioni e franchigie dell’assicurazione che riducono ampiezza e applicabilità della protezione. Le perdite legate alla richiesta di riscatto, per dire, erano coperte solo da due compagnie estere.

Le garanzie più diffuse comprendono analisi forense, contenimento dell’attacco, rimozione dei malware, recupero dei dati e ripristino dei sistemi, oltre all’assistenza legale e alla tutela dalle richieste di risarcimento di clienti e fornitori. L’interruzione dell’attività, con la relativa perdita di profitto, richiede invece spesso un’estensione specifica. Può inoltre prevedere franchigie temporali: l’indennizzo scatta solo dopo un certo numero di giorni di fermo.

Per supermercati, ristoranti, magazzini e imprese alimentari c’è un controllo in più da fare. Una copertura pensata per il furto di dati non garantisce in automatico il rimborso di alimenti deteriorati o impianti manomessi da remoto. Prima della firma conviene farsi confermare per iscritto se rientrano nella polizza:

• i danni fisici agli impianti provocati da un attacco informatico;
• il deterioramento delle merci refrigerate e i costi di smaltimento;
• il fermo dell’attività, con indicazione di franchigie e massimali.

Altrettanto importante è coordinare la polizza cyber con quelle property, guasti macchine e merci. Le esclusioni incrociate possono lasciare scoperto proprio il danno più costoso.

Quanto costa una polizza cyber

Un listino unico non esiste. Secondo l’IVASS il premio è spesso rapportato al fatturato. Pesano poi settore, numero di sedi, dati trattati, massimale scelto, storico dei sinistri e livello di sicurezza già adottato.

Il Cyber Index PMI 2025 aggiunge un dettaglio decisivo: l’accesso alla copertura è vincolato a standard minimi di sicurezza, valutati dalla compagnia al momento della sottoscrizione.

In parole povere, chi non ha autenticazione a più fattori, backup testati e sistemi aggiornati rischia premi più alti o un secco no.

Intanto la gran parte delle PMI resta scoperta. Il Rapporto Cyber Index PMI 2024, promosso da Confindustria e Generali con il Politecnico di Milano e l’ACN, fotografava solo il 31% delle PMI italiane con un’assicurazione contro i rischi informatici. Oltre due terzi, quindi, erano senza protezione.

L’edizione 2025, presentata a marzo su un campione di oltre 1.500 imprese, assegna un punteggio medio di 55 su 100, ancora sotto la soglia di sufficienza fissata a 60. Solo il 16% delle aziende è considerato «maturo» e quasi una PMI su quattro ha subito una violazione negli ultimi tre anni. Per chi deve rafforzare le difese, una leva in più è il voucher Cloud & Cybersecurity per PMI e lavoratori autonomi.

leggi anche

Come difendersi da un attacco hacker

NIS2: quali obblighi per le aziende?

La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, impone a soggetti essenziali e importanti misure adeguate di gestione del rischio: analisi delle vulnerabilità, continuità operativa, backup, gestione degli incidenti e sicurezza della catena di fornitura.

Il calendario è entrato nella fase più calda. Da gennaio 2026 è operativo l’obbligo di notificare gli incidenti significativi al CSIRT Italia: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Il 31 ottobre 2026 è scaduto il termine entro cui i soggetti inseriti nell’elenco NIS nel 2025 dovevano rendere operative le misure di sicurezza di base. Da novembre l’ACN passa alle verifiche.

Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o all’1,4% per quelli importanti. Il caso toscano mostra che il meccanismo è già in funzione: l’azienda della ristorazione collettiva ha notificato l’incidente proprio come soggetto NIS.

Attenzione, però: non ogni negozio o PMI rientra automaticamente nella NIS2. Per il settore alimentare l’allegato II del decreto richiama le imprese impegnate nella distribuzione all’ingrosso e nella produzione industriale e trasformazione. Contano poi le dimensioni (in linea generale medie e grandi imprese), l’attività effettivamente svolta ed eventuali individuazioni specifiche da parte dell’ACN. Chi resta fuori dal perimetro può comunque ritrovarsi requisiti analoghi per via contrattuale, quando sono i grandi clienti a imporli ai fornitori della filiera.

Aspettare il prossimo attacco, insomma, non è un’opzione. Prima di qualsiasi preventivo vengono alcuni passaggi: mappare i dispositivi connessi, chiudere gli accessi remoti superflui, attivare l’autenticazione a più fattori, aggiornare i sistemi, testare i backup e stabilire chi interviene in emergenza, manutentore compreso. Solo dopo ha senso mettere a confronto le polizze.