Il ransomware è un malware che cifra file e sistemi dell’azienda e chiede un riscatto per restituirli. Oggi quasi sempre è una doppia estorsione: prima i criminali copiano i dati, poi li cifrano e minacciano di pubblicarli se il riscatto non viene pagato.
Per una PMI significa fermare produzione, fatturazione e posta per giorni, con costi di ripristino, perdita di clienti e obblighi di notifica. La buona notizia: le misure che riducono davvero il rischio sono note e alla portata di tutti.
In sintesi
Ransomware
Dati cifrati e spesso rubati: il riscatto non garantisce né il ripristino né il silenzio.
Ingresso tipico
Phishing, accessi remoti esposti, software non aggiornato
Danno
Fermo operativo e furto di dati
Difesa n. 1
Backup separati e ripristino provato
Difesa n. 2
MFA e aggiornamenti
Nelle prime ore
Isolare, non spegnere tutto a caso, chiamare esperti
Obblighi
GDPR 72 ore; NIS2 24/72 ore
Come entra il ransomware in azienda
- Email di phishing con allegati o link a pagine di login false (vedi la guida sul phishing).
- Accessi remoti esposti: desktop remoto, VPN o pannelli di gestione senza MFA, con password deboli o rubate.
- Vulnerabilità non corrette su firewall, server e software raggiungibili da Internet.
- Fornitori con accesso ai sistemi aziendali e misure di sicurezza più deboli.
- Dispositivi personali e chiavette USB collegati alla rete senza controlli.
Come prevenire un attacco ransomware
Backup 3-2-1
Tre copie, due supporti diversi, una fuori dalla rete o non modificabile. E prove di ripristino periodiche.
MFA ovunque conti
Posta, accessi remoti, cloud, account amministrativi: una password rubata non deve bastare.
Aggiornamenti
Correzioni di sicurezza applicate in fretta, a partire dai sistemi esposti su Internet.
Protezione endpoint
Un EDR che rileva comportamenti sospetti, non solo file noti.
Privilegi minimi
Account amministrativi separati e solo per chi ne ha bisogno; rete segmentata.
Persone formate
Dipendenti che riconoscono il phishing e sanno a chi segnalarlo subito.
Un backup che non è mai stato ripristinato è solo una speranza. Prova il ripristino di un sistema critico almeno due volte l’anno.
Cosa fare in caso di attacco ransomware
01
Isolare
Scollegare dalla rete i dispositivi colpiti (cavo e Wi-Fi), senza cancellare nulla: servono per l’analisi.
02
Attivare il piano
Avvisare il responsabile IT, la direzione e il fornitore di sicurezza; seguire il piano di risposta agli incidenti.
03
Proteggere i backup
Verificare che le copie siano integre e separate prima di qualsiasi ripristino.
04
Valutare gli obblighi
Data breach GDPR (72 ore al Garante se c’è rischio per le persone); per i soggetti NIS2 pre-notifica al CSIRT Italia entro 24 ore.
05
Ripristinare e imparare
Ripartire da sistemi puliti, cambiare le credenziali, capire da dove è entrato l’attacco e correggere.
Le autorità sconsigliano di pagare il riscatto: non garantisce il ripristino né la cancellazione dei dati rubati e finanzia nuovi attacchi. Per alcune famiglie di ransomware esistono strumenti gratuiti di decifratura sul progetto No More Ransom. La denuncia si presenta alla Polizia Postale.
Continuità operativa: ripartire in ore, non in settimane
La differenza tra un incidente e una crisi la fa la preparazione: sapere quali sistemi ripristinare per primi, in quanto tempo e con quali risorse. È il lavoro del nostro servizio di monitoraggio e continuità operativa, che parte da un security assessment e si integra con i servizi di cybersecurity. Per le aziende soggette alla direttiva NIS2 gestione degli incidenti e continuità sono misure obbligatorie.
Domande frequenti sul ransomware
Cos’è il ransomware in parole semplici?
È un programma malevolo che blocca o cifra i dati dell’azienda e chiede un riscatto per renderli di nuovo accessibili, spesso minacciando anche di pubblicare i dati rubati.
Conviene pagare il riscatto?
No: non c’è garanzia di riavere i dati né che quelli rubati vengano cancellati, e il pagamento finanzia altri attacchi. La strategia è prevenire e avere backup ripristinabili.
Un antivirus basta contro il ransomware?
No. Serve un insieme di misure: backup separati, MFA, aggiornamenti, protezione endpoint di tipo EDR, privilegi minimi e formazione del personale.
Un attacco ransomware va notificato al Garante?
Se coinvolge dati personali e comporta un rischio per le persone, sì: entro 72 ore. Anche la sola indisponibilità dei dati può essere una violazione da valutare.
Quanto tempo serve per ripartire dopo un ransomware?
Dipende dalla preparazione: con backup integri e un piano provato si riparte in ore o pochi giorni; senza, il fermo può durare settimane.
Cybersecurity
La tua azienda ripartirebbe dopo un ransomware?
Verifichiamo backup, accessi, aggiornamenti e piano di risposta, e ti diciamo in quanto tempo potresti ripartire oggi.
