Gli attacchi informatici che stanno interessando supermercati e istituti scolastici ci ricordano una realtà che spesso preferiamo ignorare: siamo tutti potenzialmente vulnerabili. E la vera lezione non è soltanto imparare a difendersi, ma capire che i nostri processi di sicurezza devono evolvere.
La minaccia informatica è molto più vicina di quanto pensiamo
Fino a qualche tempo fa, quando si parlava di attacchi hacker, l’immaginario collettivo correva immediatamente alle grandi multinazionali, alle banche, alle istituzioni governative o alle infrastrutture strategiche nazionali.
Sembrava un problema che riguardasse organizzazioni particolarmente esposte, dotate di grandi quantità di dati e di sistemi informatici complessi. Qualcosa che, in fondo, poteva accadere agli altri.
Gli avvenimenti delle ultime settimane ci stanno raccontando una storia diversa.
In Europa e anche in Italia, gli attacchi informatici hanno preso di mira realtà che fanno parte della nostra quotidianità: supermercati, sistemi di refrigerazione, servizi di ristorazione collettiva e, proprio in queste ore, istituti scolastici.
Non si tratta più soltanto di sottrarre informazioni, bloccare un server o chiedere un riscatto per ripristinare un sistema. Gli attacchi possono interferire direttamente con il funzionamento di attività concrete, condizionando servizi, processi operativi e, in alcuni casi, la sicurezza delle persone.
È un cambiamento importante nella percezione della minaccia. E dovrebbe esserlo anche nel modo in cui affrontiamo la sicurezza informatica.
I supermercati: quando un attacco informatico colpisce la catena del freddo
Uno degli episodi più significativi riguarda gli attacchi che, a partire dall’autunno 2026, hanno interessato diversi supermercati europei.
In diversi Paesi, tra cui Francia, Belgio, Svezia, Paesi Bassi e Italia, sono stati segnalati accessi non autorizzati ai sistemi informatici che gestiscono gli impianti di refrigerazione di punti vendita e strutture della distribuzione alimentare.
La dinamica è tanto semplice quanto preoccupante: attraverso l’accesso ai sistemi di controllo degli impianti, gli aggressori sono riusciti a modificare da remoto i parametri di funzionamento di frigoriferi e congelatori, provocando un innalzamento anomalo delle temperature.
Il risultato non è stato un semplice disservizio informatico. In alcuni casi, intere quantità di prodotti alimentari sono diventate inutilizzabili, con conseguenti perdite economiche e potenziali rischi per la sicurezza alimentare.
Anche in Italia sono stati registrati diversi episodi. A Sassari, ad esempio, due supermercati sono stati interessati da anomalie nei sistemi di refrigerazione, con temperature dei banchi frigoriferi portate fino a circa 15 gradi. In Abruzzo, a Silvi Marina, un altro esercizio commerciale ha registrato temperature anomale nei frigoriferi e nei congelatori, con conseguenze sulla conservazione degli alimenti. Sono stati segnalati episodi anche in altre regioni, mentre le autorità hanno avviato le indagini.
L’aspetto più interessante, dal punto di vista della sicurezza informatica, è che per provocare questi danni non è necessariamente necessario compromettere il gestionale del supermercato, sottrarre i dati dei clienti o bloccare i sistemi di cassa.
È sufficiente raggiungere un sistema apparentemente secondario: quello che controlla la temperatura dei frigoriferi.
E qui emerge una prima lezione fondamentale: non esistono sistemi informatici davvero secondari quando sono collegati ai processi aziendali.
Un impianto di refrigerazione, un sistema di videosorveglianza, una centralina industriale o un dispositivo di controllo remoto possono rappresentare un punto di ingresso per un attaccante. Se questi sistemi sono connessi alla rete, accessibili dall’esterno e non adeguatamente protetti, diventano potenziali elementi di vulnerabilità.
Il problema, quindi, non riguarda soltanto l’infrastruttura IT tradizionale, ma anche tutti quei sistemi operativi e tecnologici che spesso vengono gestiti da fornitori esterni e che non sempre rientrano nei processi di sicurezza informatica dell’organizzazione.
Le scuole: quando la vulnerabilità coinvolge i servizi pubblici
Se gli attacchi ai supermercati ci hanno mostrato quanto possa essere fragile la gestione di un’attività commerciale, gli episodi che stanno interessando il mondo scolastico aggiungono un ulteriore elemento di preoccupazione.
L’11 novembre 2026, in tutta Italia, sono stati segnalati allarmi bomba in molti istituti scolastici. La Prefettura ha confermato che le segnalazioni erano riconducibili a un attacco informatico, anche se, nelle prime ore, non erano ancora disponibili elementi sufficienti per ricostruire con precisione le modalità dell’azione.
Al di là della dinamica specifica, ancora da accertare, l’episodio evidenzia una questione importante: anche le scuole, come qualsiasi altra organizzazione, dipendono ormai da sistemi digitali per comunicare, gestire informazioni, organizzare attività e garantire il funzionamento dei propri servizi.
E quando questi sistemi vengono compromessi, le conseguenze non rimangono necessariamente confinate agli uffici amministrativi o ai computer del personale.
Possono coinvolgere studenti, famiglie, insegnanti, dirigenti scolastici e autorità pubbliche.
Una scuola non è una banca, non è una multinazionale e non è un’infrastruttura energetica. Ma custodisce dati personali, gestisce comunicazioni, utilizza piattaforme digitali e svolge una funzione sociale fondamentale.
Proprio per questo dovrebbe essere considerata un’organizzazione da proteggere, con un livello di attenzione coerente con il valore dei servizi che eroga e delle informazioni che gestisce.
La lezione è evidente: la dimensione dell’organizzazione non determina necessariamente la sua esposizione al rischio.
Il vero problema non è soltanto l’attacco, ma la vulnerabilità che lo rende possibile
Di fronte a questi episodi, è naturale chiedersi chi siano gli aggressori, quali siano le loro motivazioni e quali tecniche abbiano utilizzato.
Sono domande importanti, che spettano alle autorità investigative e agli specialisti di cybersecurity.
Ma per le organizzazioni che devono proteggere i propri sistemi c’è una domanda ancora più importante: perché è stato possibile?
Come è stato possibile raggiungere da remoto un sistema di refrigerazione? Perché un’interfaccia di controllo era accessibile? Erano presenti sistemi di autenticazione adeguati? Le credenziali erano protette? Esistevano procedure di aggiornamento e manutenzione? I sistemi erano separati dalla rete aziendale? Qualcuno stava monitorando eventuali anomalie?
Sono domande che non riguardano soltanto i supermercati.
Possono essere poste a qualsiasi azienda, a qualsiasi ente pubblico e a qualsiasi organizzazione che utilizzi tecnologie digitali.
Spesso immaginiamo che la sicurezza informatica dipenda principalmente dalla presenza di un buon antivirus, di un firewall aggiornato o di un sistema di backup.
Sono strumenti indispensabili, ma non sufficienti.
La sicurezza nasce dall’integrazione di tecnologia, processi organizzativi, responsabilità, competenze e comportamenti.
Un firewall non può compensare indefinitamente una gestione inadeguata delle credenziali. Un backup non impedisce che un impianto industriale venga manomesso da remoto. Un antivirus non risolve il problema di un dispositivo obsoleto collegato direttamente a Internet.
E soprattutto, nessuno strumento può sostituire la consapevolezza di chi deve gestire quotidianamente i rischi.
Siamo vulnerabili. E dobbiamo prenderne atto.
La parola vulnerabilità non deve essere interpretata come un’accusa nei confronti delle organizzazioni colpite.
Non significa necessariamente che chi ha subito un attacco abbia lavorato male o che non abbia investito nella sicurezza.
Significa riconoscere una realtà: nessun sistema è completamente invulnerabile e nessuna organizzazione può considerarsi al riparo da un attacco informatico.
La tecnologia evolve rapidamente, le modalità di attacco cambiano, i sistemi diventano sempre più interconnessi e le superfici di esposizione aumentano.
Quello che ieri sembrava un dispositivo innocuo, oggi può essere un elemento critico dell’infrastruttura aziendale. Quello che fino a ieri era considerato un problema esclusivamente tecnico, oggi può tradursi in un’interruzione del servizio, in un danno economico, in un problema di sicurezza fisica o in una perdita di fiducia da parte dei clienti.
La vulnerabilità, quindi, non è un’eccezione. È una condizione che deve essere riconosciuta, misurata e gestita.
Il vero errore non è avere una vulnerabilità. Il vero errore è non conoscerla, non valutarla e non fare nulla per ridurla.
Dalla tecnologia ai processi: cosa dovremmo fare concretamente?
Gli attacchi di questi giorni dovrebbero rappresentare un’occasione per rivedere il modo in cui le organizzazioni affrontano la cybersecurity.
Non serve necessariamente partire da investimenti enormi o da progetti tecnologici particolarmente complessi. Serve, prima di tutto, adottare un approccio strutturato.
Alcune attività dovrebbero diventare parte integrante della gestione aziendale.
1. Conoscere i propri sistemi e le proprie dipendenze tecnologiche.
Non è possibile proteggere ciò che non si conosce. Occorre censire non soltanto server, computer e applicazioni, ma anche dispositivi connessi, impianti industriali, sistemi di controllo, servizi cloud e tecnologie gestite da fornitori esterni.
2. Valutare i rischi in modo concreto.
La valutazione del rischio non deve essere un esercizio documentale fine a sé stesso. Deve permettere di capire quali sistemi sono realmente critici, quali conseguenze potrebbe avere un’interruzione e quali vulnerabilità meritano priorità.
3. Controllare gli accessi e le connessioni da remoto.
Ogni accesso deve essere autorizzato, identificato e protetto. Le credenziali devono essere gestite correttamente, l’autenticazione multifattore deve essere adottata dove possibile e le connessioni remote devono essere limitate alle effettive necessità operative.
4. Separare i sistemi e limitare la propagazione degli attacchi.
La rete aziendale non dovrebbe essere un ambiente indistinto nel quale ogni dispositivo può comunicare liberamente con qualsiasi altro. La segmentazione delle reti e la separazione tra sistemi IT e sistemi OT possono ridurre sensibilmente l’impatto di una compromissione.
5. Monitorare e aggiornare continuamente.
Le vulnerabilità cambiano, i sistemi evolvono e nuove minacce emergono continuamente. Occorrono attività periodiche di aggiornamento, controllo delle configurazioni, monitoraggio degli eventi e verifica degli accessi.
6. Prepararsi a gestire gli incidenti.
Non basta sperare che un attacco non avvenga. Bisogna sapere cosa fare quando accade: chi deve intervenire, chi deve essere informato, quali sistemi isolare, come garantire la continuità operativa e come ripristinare i servizi.
7. Coinvolgere i fornitori.
Una parte significativa dei rischi può trovarsi al di fuori dei confini fisici e organizzativi dell’azienda. Manutentori, fornitori IT, società che gestiscono impianti e provider di servizi possono avere accessi privilegiati ai sistemi. Anche questi rapporti devono essere governati attraverso requisiti di sicurezza, verifiche e responsabilità definite.
La NIS2 non è soltanto un obbligo normativo
In questo contesto, anche la Direttiva NIS2 assume un significato particolare.
Spesso le normative sulla cybersecurity vengono percepite dalle imprese come un ulteriore adempimento burocratico: documenti da predisporre, procedure da formalizzare, questionari da compilare e verifiche da superare.
Ma il senso di queste disposizioni è molto più profondo.
La NIS2 richiama le organizzazioni a un approccio basato sulla gestione del rischio, sulla responsabilità degli organi di amministrazione, sulla sicurezza della catena di fornitura, sulla gestione degli incidenti e sulla continuità operativa.
In altre parole, chiede di superare la logica secondo cui la sicurezza informatica è una questione esclusivamente tecnica, delegata al responsabile IT o al fornitore esterno.
La cybersecurity deve diventare parte integrante della governance aziendale.
E questo vale anche per le organizzazioni che non rientrano direttamente nel perimetro della NIS2: perché un obbligo normativo può definire un livello minimo di attenzione, ma il rischio informatico non si ferma davanti ai confini di una legge.
La consapevolezza è il primo passo, ma non basta
Gli attacchi ai supermercati e gli episodi che coinvolgono le scuole ci stanno offrendo una dimostrazione concreta di quanto la nostra quotidianità dipenda ormai da sistemi digitali che spesso consideriamo scontati.
Un frigorifero può diventare un punto di accesso a un sistema informatico. Una piattaforma di comunicazione può trasformarsi in uno strumento per creare allarme e disservizi. Un accesso remoto lasciato senza adeguate protezioni può compromettere un intero processo operativo.
Non dobbiamo aspettare che accada anche a noi per rendercene conto.
Dobbiamo utilizzare questi episodi per porci le domande giuste, verificare i nostri sistemi, rivedere le nostre procedure e investire nella capacità di prevenire, rilevare e gestire gli incidenti.
Non esiste una sicurezza informatica definitiva. Esiste, però, la possibilità di diventare progressivamente più resilienti.
E questa possibilità passa attraverso un cambiamento culturale prima ancora che tecnologico: comprendere che la sicurezza non è un costo da sostenere per rispettare una normativa, ma una condizione necessaria per garantire la continuità del proprio business, proteggere le persone e mantenere la fiducia di clienti, collaboratori e cittadini.
Gli attacchi di questi giorni ci stanno dimostrando che siamo vulnerabili. La domanda, a questo punto, non è più se siamo sufficientemente interessanti per diventare un bersaglio. La domanda è se siamo sufficientemente preparati per affrontare un attacco.
E la risposta dovrebbe spingerci tutti a fare qualcosa in più.