di Flavio De Septis
Dopo gli attacchi ai sistemi di refrigerazione dei supermercati europei, l’Agenzia Ue per la cybersicurezza presenta al Parlamento europeo il rapporto 2026: difese più mature, ma divari profondi tra gli Stati, carenza di competenze e un’intelligenza artificiale che corre più veloce di chi deve difendersi. E i prossimi bersagli potrebbero essere i dispositivi che abbiamo in salotto.
Per anni la sicurezza informatica è stata percepita come un affare di data center, banche e grandi infrastrutture. Il messaggio arrivato da Bruxelles questa settimana rovescia la prospettiva: la superficie d’attacco ormai passa dalla porta di casa. Presentando al Parlamento europeo il rapporto 2026 sullo stato della cybersicurezza nell’Unione, il direttore esecutivo dell’Enisa, Juhan Lepassaar, ha indicato router ed elettrodomestici connessi come possibili prossimi obiettivi dei criminali informatici. Un avvertimento che arriva a pochi giorni da un episodio che ha reso il rischio tangibile anche per chi di tecnologia non si occupa.
Il precedente: i banchi frigo dei supermercati
L’11 ottobre un primo attacco aveva colpito la Francia. Poi, nella notte tra l’1 e il 2 novembre, una nuova ondata ha preso di mira i sistemi di controllo remoto degli impianti di refrigerazione della grande distribuzione in diversi Paesi europei: in centinaia di punti vendita frigoriferi e congelatori sono andati in surriscaldamento e gli esercenti hanno dovuto gettare merce per milioni di euro. Indagini sono state aperte, tra gli altri, in Belgio, Lussemburgo, Estonia, Finlandia, Svezia, Irlanda e Italia; secondo alcune ricostruzioni i Paesi coinvolti sarebbero una dozzina.
Al momento nessun gruppo è stato ufficialmente indicato come responsabile. La Commissione europea ha evitato ipotesi sull’attribuzione, limitandosi a sottolineare come episodi del genere dimostrino quanto un attacco informatico possa compromettere servizi essenziali e la vita quotidiana dei cittadini. Prudenza condivisa anche in Italia, dove il direttore della Polizia Postale, Ivano Gabrielli, ha invitato a diffidare di possibili depistaggi.
Il caso è emblematico: non è stato violato un server, ma un sistema di telecontrollo industriale, cioè un oggetto connesso che per sua natura resta acceso e raggiungibile 24 ore su 24. Esattamente come il router di casa, la telecamera di sorveglianza, il termostato o il videocitofono.
I numeri del rapporto: un’Europa “matura” ma a macchia di leopardo
Il rapporto, previsto dall’articolo 18 della direttiva NIS2, restituisce una fotografia in chiaroscuro. L’indice europeo di cybersicurezza si attesta in media a 71,53 punti su 100: la maggior parte degli Stati membri ha raggiunto un livello considerato maturo e due Paesi si collocano già a uno stadio più avanzato. Ma la media nasconde squilibri rilevanti.
Scomponendo l’indice emerge un’Europa a due velocità. Il punto di forza è la gestione della catena di fornitura da parte dei soggetti essenziali e importanti, che sfiora i 90 punti (89,91): il segnale che gli obblighi introdotti dalla NIS2 cominciano a produrre effetti concreti. Regge anche la formazione universitaria in cybersicurezza (73,59), mentre l’attuazione delle politiche nazionali si ferma a 66,72. Più indietro restano gli ecosistemi nazionali di certificazione (55,56) e soprattutto l’educazione alla sicurezza digitale nelle scuole primarie e secondarie (55,44): l’Europa forma gli specialisti, ma non ancora i cittadini consapevoli di domani. In fondo alla graduatoria, con 54,76 punti, si collocano i team nazionali di risposta agli incidenti.
Il dato che più colpisce è proprio quello dei CSIRT, le squadre nazionali che dovrebbero intervenire quando un attacco è in corso: è l’area con il punteggio più basso e con la maturità più disomogenea tra i Ventisette. In altre parole, l’Europa ha imparato a scrivere regole e a pretendere controlli lungo la catena di fornitura, ma la capacità operativa di reagire resta il suo punto debole. Cresce invece, pur partendo da livelli bassissimi, la quota di Paesi dotati di una politica nazionale di divulgazione coordinata delle vulnerabilità, passata dal 7% al 17%. E la conformità normativa si conferma il principale motore degli investimenti in sicurezza nei settori critici, indicata dal 70% dei soggetti.
Sul fronte delle minacce, il rapporto descrive un’attività di intrusione ancora significativa e diversificata: l’ideologia è il primo fattore alla base degli incidenti, la geopolitica continua a orientare le campagne, gli attacchi a scopo di lucro non accennano a diminuire e gli hacktivisti restano gli autori del maggior numero di attacchi.
L’intelligenza artificiale e il “doppio divario”
A rendere la partita più difficile è l’intelligenza artificiale di frontiera. Secondo l’Enisa, i modelli più avanzati, tra cui viene citato Mythos 5, sono in grado di individuare e sfruttare le vulnerabilità in tempi sempre più rapidi, offrendo un vantaggio agli aggressori. Dall’altra parte mancano ancora professionisti capaci di usare questi strumenti e di comprenderne i rischi. Lepassaar ha parlato esplicitamente di un “doppio divario di competenze”: quello, storico, di esperti di sicurezza, a cui si somma ora quello di specialisti in grado di governare l’AI applicata alla difesa.
Il direttore dell’Enisa ha anche richiamato una verità che chi lavora nei SOC conosce bene: chi attacca parte quasi sempre avvantaggiato, perché sceglie tempi, bersagli e strumenti, mentre chi difende deve proteggere tutto, sempre. E ha aggiunto che una popolazione abituata a lunghi anni di tranquillità deve ora fare i conti con una minaccia che può arrivare persino da un frigorifero.
La “bussola strategica” e le raccomandazioni
Per la prima volta il rapporto introduce una “bussola strategica” che indica le direzioni su cui l’Unione dovrà concentrarsi. Tra le priorità:
- Attuazione efficace delle norme, semplificando gli obblighi che si sovrappongono tra Stati e tra diverse legislazioni, così che chi opera in più Paesi trovi un quadro coerente.
- Piena capacità di risposta alle crisi, migliorando il coinvolgimento degli attori, le capacità operative e la condivisione delle informazioni.
- Preparazione e resilienza delle infrastrutture critiche, con livelli di maturità specifici per settore e risposte più rapide alle minacce potenziate dall’AI.
- Gestione della supply chain e delle dipendenze transfrontaliere, integrando la sicurezza dallo sviluppo del prodotto fino al suo esercizio.
Sullo sfondo, il cantiere normativo europeo: NIS2, Cyber Resilience Act e Cyber Solidarity Act in fase di attuazione, la proposta di un nuovo Cybersecurity Act e il piano d’azione Ue su cybersicurezza e intelligenza artificiale. Il Cyber Resilience Act, in particolare, è la norma destinata a incidere di più sugli oggetti di uso quotidiano, perché impone ai produttori di dispositivi connessi requisiti di sicurezza, aggiornamenti e obblighi di segnalazione delle vulnerabilità sfruttate.
Perché proprio il router
Compromettere uno smartphone significa colpire un singolo dispositivo; compromettere un router significa collocarsi in mezzo a tutto il traffico di una casa o di un piccolo ufficio. Da lì un attaccante può osservare le comunicazioni, raccogliere credenziali, raggiungere gli altri dispositivi della rete o arruolare l’apparato in una botnet da usare contro terzi. Non è un’ipotesi teorica: le agenzie di sicurezza di diversi Paesi hanno documentato negli ultimi mesi campagne di gruppi statali che sfruttano router obsoleti, con password deboli o configurazioni di fabbrica, come porta d’ingresso verso reti di comunicazioni, energia, difesa e sanità.
Il problema è strutturale. Molti apparati domestici ricevono aggiornamenti per pochi anni, o non li ricevono affatto; le interfacce di gestione restano talvolta esposte su Internet; e l’utente medio non ha né gli strumenti né le competenze per verificare la versione del firmware. A questo si aggiunge il riuso delle password: se l’account dell’app che comanda la lavatrice usa la stessa password della posta elettronica o della banca, una violazione apparentemente banale può trasformarsi in un furto d’identità.
Cosa possiamo fare, da subito
In attesa che le nuove regole europee producano effetti sui prodotti in commercio, alcune misure di igiene digitale riducono sensibilmente il rischio:
- Cambiare subito le credenziali di fabbrica del router e di ogni dispositivo connesso, usando password lunghe e diverse per ciascuno.
- Aggiornare il firmware e, dove possibile, attivare gli aggiornamenti automatici; un apparato non più supportato dal produttore va sostituito.
- Disattivare la gestione remota, il WPS e l’UPnP se non servono: sono tra le porte più sfruttate.
- Separare la rete: telecamere, elettrodomestici e assistenti vocali dovrebbero stare su una rete Wi-Fi “ospiti” o dedicata, distinta da quella di PC e smartphone.
- Proteggere gli account delle app che controllano i dispositivi con autenticazione a due fattori e password uniche.
- Valutare la sicurezza al momento dell’acquisto: per quanti anni il produttore garantisce gli aggiornamenti? Esiste un canale per segnalare le vulnerabilità?
- Spegnere o scollegare ciò che non si usa: un dispositivo offline non può essere attaccato da remoto.
Per le imprese, e in particolare per i soggetti che rientrano nel perimetro NIS2, il caso dei supermercati è un monito ancora più diretto: i sistemi OT e di telecontrollo, spesso gestiti da fornitori esterni con accessi remoti permanenti, devono entrare a pieno titolo nell’inventario degli asset, nel monitoraggio del SOC e nella valutazione del rischio della supply chain.
Una sicurezza che non è più solo per esperti
Il messaggio di fondo del rapporto Enisa è un cambio di mentalità: la cybersicurezza non può più essere considerata materia per specialisti, ma una condizione necessaria per proteggere servizi, aziende e cittadini, nelle case come nei luoghi di lavoro. Il frigorifero che si surriscalda in un supermercato di provincia è la dimostrazione più concreta che il confine tra mondo digitale e mondo fisico non esiste più. E che la prima linea di difesa, oggi, passa anche dal piccolo apparecchio con le lucine verdi che teniamo sul mobile dell’ingresso.
