Non servono attacchi spettacolari per mettere a rischio un supermercato: a volte basta una vulnerabilità nel sistema che controlla la temperatura dei frigoriferi. Una ricerca di Claroty Team82 ha individuato gravi falle nei controller industriali Danfoss AK-SM 800A, dimostrando come dispositivi destinati alla gestione della refrigerazione possano trasformarsi in un potenziale punto d’ingresso per i cybercriminali.
Quando si parla di attacchi informatici, l’immaginario corre immediatamente a computer bloccati, server aziendali violati, dati rubati e richieste di riscatto. Ma la realtà della cybersecurity industriale è molto più ampia e, talvolta, decisamente più sorprendente. A finire nel mirino degli hacker possono essere anche i sistemi che regolano la temperatura dei frigoriferi di un supermercato.
Il frigorifero è diventato un dispositivo informatico
I sistemi di refrigerazione industriale non sono semplici apparecchiature che accendono e spengono un compressore. Nelle grandi strutture commerciali, il controllo della temperatura è affidato a centraline elettroniche che raccolgono informazioni dai dispositivi sul campo, monitorano i circuiti frigoriferi, gestiscono gli allarmi e permettono ai tecnici di intervenire da remoto.
Il Danfoss AK-SM 800A svolge proprio questa funzione: è una sorta di centro di controllo dell’infrastruttura frigorifera. Attraverso un’interfaccia accessibile da browser, gli amministratori possono monitorare i circuiti, impostare le soglie di temperatura, consultare gli allarmi, modificare gli orari di funzionamento e gestire le attività di manutenzione.
Shodan, il motore di ricerca che trova i dispositivi esposti
Per individuare i dispositivi accessibili dalla rete pubblica, i ricercatori di Claroty hanno utilizzato piattaforme come Shodan e Censys.
Shodan è spesso definito il motore di ricerca di Internet delle cose (IoT). A differenza dei tradizionali motori di ricerca, che indicizzano pagine web e contenuti, Shodan individua dispositivi e servizi collegati a Internet, analizzandone le risposte di rete e alcune caratteristiche tecniche.
Router, telecamere, server, sistemi di videosorveglianza e apparecchiature industriali possono così comparire nei risultati delle sue ricerche.
Nel caso dei controller Danfoss, il gruppo Team82 ha individuato numerose interfacce di gestione direttamente raggiungibili da Internet. La ricerca riporta anche una rilevazione di Censys che mostrava 2.765 dispositivi esposti.
Tre vulnerabilità, un problema di sicurezza concreto
Analizzando il firmware del Danfoss AK-SM 800A, i ricercatori hanno ricostruito l’architettura del servizio web integrato e individuato tre problemi di sicurezza distinti.
Il primo riguarda un meccanismo di autenticazione nascosto, denominato dai ricercatori «Code-of-the-Day». Si tratta di una procedura alternativa che, anziché verificare la normale password amministrativa, accettava un codice giornaliero generato attraverso un algoritmo interno al dispositivo.
Secondo l’analisi di Team82, ricostruendo tale algoritmo era possibile generare un codice valido e ottenere una sessione amministrativa senza conoscere la password configurata dall’amministratore. La vulnerabilità è identificata come CVE-2025-41450.
La seconda falla, CVE-2025-41451, è ancora più delicata. Riguarda una vulnerabilità di tipo command injection, cioè un difetto nella gestione dei dati inseriti dall’utente che può consentire di introdurre comandi destinati al sistema operativo.
La terza vulnerabilità, CVE-2025-41452, riguarda invece la configurazione del server web Nginx integrato nel controller. La piattaforma consentiva a un utente autenticato di sostituire un file di configurazione e ricaricare le impostazioni del server.
Danfoss ha corretto le vulnerabilità
Claroty Team82 ha comunicato privatamente le vulnerabilità a Danfoss attraverso una procedura di divulgazione coordinata. L’azienda ha quindi pubblicato il firmware R4.3.1, che risolve i problemi descritti nella ricerca.
La raccomandazione è chiara: gli utilizzatori dei controller AK-SM 800A interessati devono aggiornare il firmware almeno alla versione R4.3.1, verificando anche le indicazioni del produttore per le singole vulnerabilità.
