Cyber insurance: gli eventi della settimana dal 31 ottobre al 7 novembre 2026

Cinque eventi cyber della settimana dal 31 ottobre al 7 novembre 2026, dalla nuova ondata di attacchi agli impianti di refrigerazione dei supermercati europei a Crédit Mutuel Arkéa, Chainalysis, DigiCert e Queens Public Library, uniti da sistemi esposti e da fornitori usati come porta d'ingresso. Con l'impatto assicurativo e le domande da portare nei rinnovi.

Settimana dal 31 ottobre al 7 novembre 2026

La settimana dal 31 ottobre al 7 novembre 2026 ha un filo comune: sistemi lasciati esposti, a volte per anni, che diventano la porta d'ingresso. In Europa una seconda ondata di attacchi colpisce impianti di refrigerazione dei supermercati con software datato e password predefinite, fino in Sicilia. In Francia una banca cooperativa perde circa 100 milioni di euro passando dalla piattaforma di un fornitore. Un'autorità di certificazione scopre che un sistema interno è rimasto raggiungibile da internet per oltre 16 mesi, e una società di analisi delle blockchain ammette che l'attacco di fine ottobre ha esposto anche password dei clienti. Per chi assume il rischio cyber, la domanda non è solo se l'assicurato ha corretto le vulnerabilità note, ma se sa quali sistemi ha davvero esposti.

In sintesi

Impianti di refrigerazione in Europa: nella notte tra l'1 e il 2 novembre una nuova ondata colpisce supermercati in Belgio, Svezia, Irlanda, Paesi Bassi, Portogallo, Estonia, Finlandia e Italia; il 4 novembre ENISA, Commissione europea, Europol e la rete dei CSIRT pubblicano una dichiarazione congiunta.
Crédit Mutuel Arkéa: il 4 novembre la banca conferma un attacco che ha permesso operazioni fraudolente; il danno è nell'ordine dei 100 milioni di euro, convertiti in criptovalute.
Chainalysis: il 4 novembre la società conferma che l'attacco di fine ottobre ha esposto una parte delle password dei clienti; più prodotti restano fermi.
DigiCert: un sistema interno è rimasto esposto a internet per oltre 16 mesi; tra il 27 giugno e il 2 luglio un account non autorizzato ha consultato dati archiviati dei clienti, forse anche documenti d'identità.
Queens Public Library: dal 4 novembre un ransomware ferma sito, app, prestiti automatici, computer e Wi-Fi nelle 66 sedi della rete bibliotecaria di New York.

Gli attacchi della settimana

1. Impianti di refrigerazione: la seconda ondata in Europa

Nella notte tra domenica 1 e lunedì 2 novembre 2026 attacchi informatici hanno colpito i sistemi di refrigerazione di supermercati in più Paesi europei. In Belgio gli impianti sono stati messi in modalità sbrinamento, scaldando invece di raffreddare: sono coinvolti diverse decine di negozi Delhaize, 15 Carrefour, tra 10 e 15 Intermarché e 5 Spar. In Svezia, in un negozio ICA, le temperature sono state portate a 50 °C e la merce è stata buttata. In Irlanda Musgrave ha ritirato in via precauzionale i prodotti freschi e surgelati da 13 punti vendita SuperValu. Sono segnalati casi anche nei Paesi Bassi, in Portogallo, in Estonia, in Finlandia e in Italia, dove risultano colpiti almeno quattro supermercati Coop del gruppo Radenza in Sicilia (The Hacker News).

Il metodo ricorda gli attacchi dell'11 ottobre contro centinaia di supermercati francesi, che avevano sfruttato controller Danfoss AK-SM 800 e AK-SC 355 non più aggiornati dal produttore. L'avviso del CERT-FR riguarda anche dispositivi Copeland e Dixell xweb. Danfoss ha indicato che i sistemi colpiti nei Paesi Bassi non erano su una rete protetta e usavano ancora password predefinite. Nessuno ha rivendicato gli attacchi; il centro belga per la sicurezza informatica ha detto che il responsabile potrebbe non essere mai individuato, e la procura federale belga ha aperto un'indagine (stessa fonte).

Il 4 novembre ENISA, la Commissione europea, il centro di Europol per la criminalità informatica, la rete dei CSIRT dell'UE ed EU-CyCLONe hanno pubblicato una dichiarazione congiunta sugli incidenti negli impianti di refrigerazione commerciale di più Stati membri, chiedendo di ridurre subito l'esposizione dei sistemi. La dichiarazione non attribuisce gli attacchi (ENISA).

2. Crédit Mutuel Arkéa: circa 100 milioni passati dal conto della banca

Il 4 novembre 2026 Crédit Mutuel Arkéa, gruppo bancario cooperativo che comprende Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest e Fortuneo, ha confermato un attacco informatico che ha permesso «la réalisation d'opérations frauduleuses», definendo l'incidente sotto controllo. Alcune operazioni sono state sospese in via precauzionale, con ritardi nei bonifici. Secondo Le Télégramme sarebbero stati sottratti circa 118 milioni di euro; la banca non ha confermato la cifra. I fondi sarebbero stati trasferiti verso altri conti e piattaforme di scambio e convertiti in criptovalute; Kraken e Crypto.com avrebbero bloccato conti legati ai movimenti. La banca dichiara che l'incidente non avrà conseguenze finanziarie per i clienti (Le Monde Informatique).

La banca ha poi spiegato che gli attaccanti sono passati dalla piattaforma di un proprio fornitore, non nominato, e hanno usato il conto della banca stessa per inviare bonifici ad altre banche, senza toccare i conti dei clienti. Ha parlato di un attacco esterno sofisticato, escludendo un errore umano interno, e ha confermato solo l'ordine di grandezza del danno, che potrebbe superare i 100 milioni di euro. Nessuno ha rivendicato l'attacco (DH).

Un esperto citato dalla stessa fonte pone la domanda che conta per il mercato: se il fornitore serve anche altre banche, il rischio non riguarda un solo istituto.

3. Chainalysis: dalle e-mail alle password

Il 30 ottobre 2026 Chainalysis, società di analisi delle blockchain, aveva comunicato un attacco, precisando che non era collegato al furto a Binance. La prima analisi indicava come esposti solo identificativi utente, nomi, e-mail e ruoli, senza accesso a credenziali o token di sessione. Il 4 novembre la società ha confermato che un attacco di tipo «on-path» aveva esposto anche una parte delle password dei clienti, e che il vettore era stato contenuto. Reactor, Data Solutions e Chain (Beta) sono stati spenti per precauzione; KYT, gli altri prodotti di verifica degli indirizzi e la pagina di accesso sono stati fermati per attività anomala, e alla data dell'articolo erano in parte ripristinati. Chainalysis ha imposto il cambio della password a tutti gli utenti e chiesto ai clienti di ruotare le chiavi API. Nessun gruppo ha rivendicato l'attacco (TechRadar).

Il danno non resta a Chainalysis: i clienti usano KYT e gli altri prodotti per verificare transazioni e indirizzi, e un fermo di quei servizi si traduce in controlli sospesi o manuali presso di loro.

4. DigiCert: 16 mesi di esposizione non vista

Il 6 novembre 2026 è emerso che DigiCert, autorità di certificazione, ha subito un accesso ai dati archiviati dei clienti. Nel febbraio 2025 un sistema aziendale interno era stato spostato da una rete protetta da VPN a un'altra zona, diventando raggiungibile da internet; è rimasto così per oltre 16 mesi. Il sistema aveva una funzione di registrazione autonoma che permetteva a chiunque di creare un account senza autenticazione a più fattori, e un errore nei permessi consentiva a quegli account di consultare dati archiviati. DigiCert ha trovato gli account non autorizzati il 18 giugno 2026 ma li ha ritenuti innocui; il 2 luglio ha chiuso la registrazione; il 19 ottobre ha confermato che un account aveva consultato una parte dei record tra il 27 giugno e il 2 luglio (The Register).

Sono coinvolti nomi, e-mail aziendali, telefoni e indirizzi; alcuni record potrebbero contenere passaporti, patenti o bollette forniti per la verifica dell'identità. DigiCert non ha indicato il numero dei clienti coinvolti e dichiara che le attività dell'autorità di certificazione, CertCentral e DigiCert ONE non sono state toccate, senza prove di certificati emessi, revocati o convalidati dall'account non autorizzato (stessa fonte).

5. Queens Public Library: 66 sedi senza sistemi

Il 4 novembre 2026 la Queens Public Library, a New York, ha segnalato un'interruzione della rete su tutto il sistema, poi attribuita a un ransomware. Il giorno dopo erano fermi sito e app, le macchine per prestiti e restituzioni, i rinnovi, i computer delle sedi e il Wi-Fi gratuito; le 66 sedi sono rimaste aperte. La biblioteca lavora con la polizia di New York, partner federali e consulenti esterni; la polizia collabora con l'FBI. Non è stato indicato il gruppo responsabile né se siano stati sottratti dati, e non c'è una data per il ripristino (NY1).

Altri eventi da segnalare

Binance (criptovalute): il 31 ottobre l'FBI attribuisce il furto da 6,3 miliardi di dollari al gruppo nordcoreano TraderTraitor; il 1 novembre l'exchange riapre i prelievi per fasi e in poche ore registra un deflusso netto di 3,6 miliardi, il 2,1% degli asset.
Amadeus (trasporto aereo): salgono ad almeno 15 le compagnie coinvolte nell'accesso al sistema di prenotazione; il 3 novembre Singapore Airlines comunica circa 46.000 record, Condor conferma dati di voli internazionali e Qantas verifica la propria esposizione.
Synology (tecnologia): il gruppo C3RB3R cifra NAS con versioni di DSM non aggiornate, sfruttando falle corrette tra fine 2024 e settembre 2026.
QNAP e Plex (tecnologia): QNAP segnala NAS compromessi attraverso le quattro falle Plex2Shell di Plex Media Server e avverte che l'aggiornamento non rimuove i programmi già installati dagli attaccanti.

Impatto assicurativo

Il quadro comune è l'esposizione non governata: dispositivi e sistemi raggiungibili da internet che l'assicurato non controlla o non sa di avere. Per ogni evento si può leggere così il possibile impatto sulle polizze.

Impianti di refrigerazione. Coperture potenzialmente attivate: danni a beni di terzi e merce deperita, interruzione di attività, gestione dell'incidente. Potenziale di cumulo: molto alto, perché gli stessi controller sono installati in migliaia di negozi in più Paesi. Nodo contrattuale: il danno fisico da evento cyber, che può cadere tra polizza cyber e polizza danni, e le eventuali esclusioni per sistemi fuori supporto.
Crédit Mutuel Arkéa. Coperture potenzialmente attivate: frode informatica e trasferimento fraudolento di fondi, gestione dell'incidente. Potenziale di cumulo: medio-alto se il fornitore serve altre banche. Nodo contrattuale: il confine tra polizza crime e polizza cyber per la perdita diretta di fondi, e il ruolo del fornitore nella catena di responsabilità.
Chainalysis. Coperture potenzialmente attivate: interruzione di attività, responsabilità verso i clienti, notifica. Potenziale di cumulo: medio, per i clienti che dipendono dai servizi di verifica delle transazioni. Nodo contrattuale: l'interruzione dipendente presso i clienti e la durata del fermo dei prodotti.
DigiCert. Coperture potenzialmente attivate: notifica, responsabilità per la privacy, gestione dell'incidente. Potenziale di cumulo: basso per i dati, ma da seguire per la posizione centrale dell'emittente. Nodo contrattuale: un'esposizione iniziata nel 2025 e scoperta nel 2026, rispetto alla retroattività e alla data di scoperta.
Queens Public Library. Coperture potenzialmente attivate: ripristino, interruzione dei servizi, estorsione, notifica. Potenziale di cumulo: basso. Nodo contrattuale: i costi straordinari per mantenere aperti i servizi pubblici con i sistemi fermi.

Il danno cyber diventa fisico. Gli attacchi agli impianti di refrigerazione distruggono merce e possono danneggiare apparecchiature. È uno scenario che mette alla prova le definizioni di danno materiale e le esclusioni nelle polizze cyber e nelle polizze danni.

Il fornitore è la porta d'ingresso. Crédit Mutuel Arkéa indica la piattaforma di un fornitore, Chainalysis è a sua volta un fornitore per molti operatori. Il rischio si sposta dall'assicurato alle sue dipendenze.

L'esposizione dura più dell'attacco. DigiCert lascia un sistema raggiungibile per 16 mesi e i controller dei supermercati sono fuori supporto da anni. Contano l'inventario dei sistemi esposti e le date di scoperta, più del singolo attacco.

Cosa portare nei rinnovi

L'assicurato ha un inventario dei dispositivi di controllo (refrigerazione, climatizzazione, impianti) raggiungibili da internet, e chi li gestisce?
I dispositivi fuori supporto del produttore sono isolati dalla rete pubblica, e le password predefinite sono state cambiate?
La polizza copre il danno a beni e merce causato da un attacco informatico, o rimanda alla polizza danni?
Come sono trattate le perdite dirette di fondi da bonifici fraudolenti, e quale polizza risponde tra crime e cyber?
Quali fornitori hanno accesso ai sistemi di pagamento o ai conti dell'assicurato, e con quali controlli?
Come verifica l'assicurato che un cambio di rete o di configurazione non esponga sistemi interni a internet?
Quali servizi esterni sono indispensabili per gli obblighi di legge dell'assicurato, come la verifica delle transazioni, e cosa succede se si fermano?

Sul lato portafoglio vale la pena censire gli assicurati della grande distribuzione e della logistica del freddo che usano controller esposti, e trattare i fornitori di piattaforme bancarie e di servizi di verifica delle transazioni come punti di cumulo condivisi.