Prima i frigoriferi dei supermercati. Domani i router. Dopodomani gli elettrodomestici di casa. È l’avvertimento lanciato dal direttore dell’ENISA, l’agenzia europea per la cybersicurezza, Juhan Lepassaar. Lo ha detto in un’intervista all’Afp il 10 novembre. Poi ha presentato al Parlamento europeo il rapporto 2026 sulla sicurezza informatica nell’Unione. Il messaggio è semplice: la minaccia non riguarda più solo server e grandi aziende. Può arrivare anche da un oggetto che abbiamo in cucina.
Per capire il rischio serve partire dai fatti. Il primo caso noto è del 12 ottobre in Francia. Qualcuno ha colpito i sistemi che controllano la catena del freddo in centinaia di supermercati. Di notte sono partiti cicli di sbrinamento non richiesti. Dopo qualche ora alcune celle erano troppo calde e il cibo si è rovinato. Una seconda ondata è stata segnalata il 2 novembre in Belgio, Svezia, Lussemburgo, Estonia, Paesi Bassi e Irlanda. L’Italia non è rimasta fuori. In Sicilia sono stati colpiti i sistemi di refrigerazione di quattro punti vendita di un gruppo che gestisce supermercati a insegna Coop: tre a Catania e uno a Palermo. Secondo le notizie diffuse, l’Agenzia per la cybersicurezza nazionale ha ricevuto segnalazioni anche da un’azienda di catering in Toscana e da un produttore di surgelati in Emilia-Romagna.
C’è un dettaglio importante. Gli hacker non hanno “bucato” il frigorifero come lo immaginiamo noi. Hanno colpito i controllori remoti, cioè i piccoli computer che regolano temperatura e sbrinamento negli impianti commerciali. Sono collegati a Internet per permettere la manutenzione a distanza. Se restano visibili dall’esterno e hanno una password debole o ancora quella di fabbrica, sono una porta lasciata aperta. In alcuni casi i modelli erano anche vecchi e senza più aggiornamenti di sicurezza. Non serve un genio informatico. A volte basta trovare la porta giusta e provare a entrare.
Chi c’è dietro? Per ora non c’è una risposta certa. La Francia ha indicato l’Iran. Teheran nega tutto e risponde con ironia. Lo stesso direttore dell’ENISA non ha commentato questa attribuzione. Nessun gruppo ha rivendicato gli attacchi e non risultano richieste di riscatto. Questo fa pensare a qualcosa di diverso dal solito ransomware. Gli investigatori valutano più piste, compresa quella della guerra ibrida, cioè l’uso di attacchi digitali, disinformazione e pressione psicologica per indebolire la fiducia nelle istituzioni. Il ministro dell’Interno Matteo Piantedosi ha collegato questi episodi agli allarmi bomba su voli e scuole e ai disordini di Milano. Ha parlato di un tentativo comune di creare insicurezza. Ma ha anche precisato che non ci sono elementi per dire che esista un’unica regia. E ha ricordato che gli allarmi, per quanto gravi, si sono poi rivelati infondati.
Veniamo alle case. Oggi non risultano casi noti di elettrodomestici hackerati nell’ondata che ha colpito i supermercati. Gli esperti invitano alla calma, ma non a dormire tranquilli. Chi attacca le case di solito non cerca il singolo frigorifero. Cerca i grandi numeri. Gli obiettivi più appetibili sono le telecamere di sorveglianza, i router Wi-Fi, le smart TV, le serrature smart e gli speaker con microfono. Se mille dispositivi hanno la stessa falla, un criminale può collegarli tra loro e creare una botnet, cioè una rete di apparecchi infettati. Con quella può spiare, rubare dati o colpire servizi molto più grandi. Il rischio concreto per una famiglia, oggi, è la perdita di privacy, il furto di account e l’accesso non autorizzato alla rete di casa. Il router è il punto più delicato. Se cade lui, tutto il resto è più esposto.
Il problema vero, però, riguarda le infrastrutture italiane. Il Csirt, la squadra di risposta rapida dell’agenzia nazionale, ha elencato 177 asset strategici da proteggere. Dentro ci sono servizi essenziali come acqua, elettricità e gas, ma anche sanità, trasporti, banche e telecomunicazioni. Secondo i dati riportati dalla stampa, dodici di questi asset sarebbero potenzialmente compromessi. Le reti idriche sono al centro di esercitazioni mirate in diversi Paesi europei. Il motivo è facile da capire. Un acquedotto moderno funziona con sensori, pompe e centraline comandati a distanza, proprio come il frigorifero di un supermercato. Se un sistema di controllo è visibile da Internet e protetto male, il rischio è lo stesso. Solo che le conseguenze sono molto più pesanti.
I numeri dicono che la pressione cresce. Nel 2026 gli attacchi informatici in Italia sono stati 3.271. Di questi, 1.922 sono stati classificati come veri incidenti con impatto confermato, più del triplo rispetto al 2025. Calano gli attacchi DDoS, quelli che bloccano i sistemi sommergendoli di richieste. Il ransomware resta stabile, con circa novanta casi fino a giugno. Il dato più utile è un altro. Molti incidenti nascono da errori umani, phishing e software non aggiornato. L’ENISA aggiunge un altro fattore: l’intelligenza artificiale. I modelli più avanzati possono trovare e sfruttare le vulnerabilità sempre più in fretta. Per questo Lepassaar parla di un “doppio divario di competenze”: chi attacca corre più veloce di chi deve difendersi.
Cosa si può fare? Per le famiglie le regole sono poche e semplici. Cambiare le password di fabbrica. Usare password diverse per ogni servizio. Attivare la verifica in due passaggi. Aggiornare app e firmware. Spegnere le funzioni da remoto che non servono. Se il router lo permette, creare una rete separata per i dispositivi smart. Prima di comprare un apparecchio connesso, conviene chiedersi per quanti anni il produttore garantirà gli aggiornamenti. Per gestori e aziende l’indicazione dell’agenzia nazionale è ancora più netta: controllare che i sistemi di comando non siano raggiungibili direttamente da Internet.
La lezione, alla fine, è una sola. La sicurezza non può più essere un’idea dell’ultimo minuto. Deve essere pensata fin dalla progettazione e accompagnare il prodotto anche dopo la vendita. Come ha detto lo stesso Piantedosi, se bisogna investire, conviene farlo sull’educazione digitale. Perché oggi un frigorifero, un router o una centralina possono diventare il punto debole di un intero Paese.