Ransomware in azienda: come prevenirlo e come ripartire

Un ransomware blocca l'accesso a file, server e applicazioni, di solito cifrandoli, e chiede un pagamento per restituirli. Per un'azienda il danno non è il singolo file perso: è il tempo in cui fatturazione, magazzino, posta o gestionale restano fermi, che può andare da poche ore a diversi giorni a seconda di quanto si era preparati.

Molti gruppi criminali, oltre a cifrare, sottraggono prima una copia dei dati per fare ulteriore pressione, minacciando di pubblicarli. Questo significa che anche un buon backup risolve solo metà del problema: riporta in funzione i sistemi, ma non annulla la fuoriuscita di informazioni, con le conseguenze che vedremo sugli obblighi di comunicazione.

La domanda utile, quindi, non è soltanto «come evitiamo di essere colpiti», ma anche «in quanto tempo e con quali dati potremmo ripartire». Le due metà dell'articolo seguono questa logica: prima riduciamo la probabilità, poi prepariamo il ripristino.

Come arriva un attacco in una piccola azienda

L'accesso iniziale ha poche strade ricorrenti, e nessuna richiede un attaccante geniale:

• Credenziali compromesse: password riusate, rubate con un phishing o acquistate da precedenti furti di dati, usate su VPN, desktop remoto, webmail o pannelli di gestione.
• Servizi esposti su Internet: un desktop remoto raggiungibile da fuori, un firewall o un NAS con l'interfaccia di amministrazione aperta, un vecchio server dimenticato.
• Vulnerabilità non corrette: aggiornamenti rimandati su sistemi raggiungibili dall'esterno, che consentono di entrare senza nemmeno una password.
• Software malevolo: un allegato o un download eseguito da un utente. Per le tecniche di inganno via email rimandiamo all'articolo sul phishing, qui interessa cosa succede dopo.

Una volta dentro, l'attaccante raramente cifra subito. Cerca privilegi più alti, esplora la rete, individua server e sistemi di backup, e spesso li disattiva o cancella prima di lanciare la cifratura. Per questo proteggere un singolo PC non basta: conta ciò che quel PC può raggiungere.

Cosa riduce il rischio

I controlli che ripetono tutte le linee guida ufficiali, compresa la guida #StopRansomware della statunitense CISA, sono pochi e poco spettacolari:

1. Autenticazione a più fattori su posta, VPN, accessi remoti e account amministrativi, preferendo metodi resistenti al phishing dove possibile.
2. Aggiornamenti con priorità ai sistemi raggiungibili da Internet e alle vulnerabilità già sfruttate attivamente.
3. Privilegi minimi: account amministrativi separati da quelli di lavoro quotidiano, e nessun utente con diritti di amministratore sul proprio PC senza motivo.
4. Segmentazione della rete: server, postazioni, dispositivi ospiti e impianti su segmenti distinti, con regole sul traffico tra l'uno e l'altro. Un attaccante che entra da una postazione non deve vedere direttamente il server dei backup.
5. Monitoraggio: qualcuno deve accorgersi di un nuovo account amministratore, di uno strumento di accesso remoto mai installato, di una cancellazione anomala di copie o di un grande volume di dati in uscita.
6. Inventario dei sistemi critici: sapere quali servizi servono per primi alla ripartenza evita di decidere sotto stress.

Antivirus ed EDR aiutano, ma sono uno strato tra gli altri.

Backup che sopravvivono all'attacco

Il backup è la differenza tra un fermo e una crisi, ma solo se l'attaccante non può raggiungerlo. Le indicazioni di CISA parlano di copie cifrate e tenute offline, con verifica periodica di disponibilità e integrità. I punti da controllare sono questi:

• Separazione: almeno una copia fuori dalla portata delle credenziali di dominio e non montata come unità di rete sui server.
• Immutabilità o scollegamento: copie che non si possono modificare o cancellare per un periodo definito, oppure supporti fisicamente staccati.
• Prova di ripristino: un backup mai ripristinato è un'ipotesi. Si prova a ricostruire un server vero, si misura il tempo e si annota cosa mancava.
• Dati e configurazioni: oltre ai file, servono le configurazioni di firewall, directory degli utenti e licenze, altrimenti si ricostruisce lentamente.

La strategia generale, con la regola 3-2-1, e il motivo per cui un RAID non è un backup meritano un discorso a parte; qui conta ricordare che un NAS sempre raggiungibile dalla rete è uno dei primi bersagli.

Le prime ore: contenere senza distruggere le prove

Quando si sospetta un attacco, la priorità è fermarne la diffusione. La checklist CISA indica di individuare i sistemi coinvolti e isolarli, se necessario togliendo la rete a livello di switch, e di coordinarsi con canali alternativi, per esempio il telefono, perché la posta potrebbe essere letta dall'attaccante.

Spegnere tutto di colpo sembra prudente, ma la stessa guida avverte che lo spegnimento cancella la memoria volatile, che può contenere tracce utili all'analisi. Se i dispositivi si possono scollegare dalla rete, è preferibile farlo; lo spegnimento resta il ripiego quando non è possibile altro.

Nelle prime ore, in ordine:

1. isolare i sistemi colpiti e quelli sospetti;
2. disabilitare o reimpostare le credenziali a rischio, in particolare quelle amministrative;
3. proteggere le copie di backup, scollegandole prima che vengano raggiunte;
4. conservare messaggi di riscatto, elenchi di file e log, senza modificarli;
5. avvisare chi deve essere coinvolto: fornitore informatico, assicurazione se presente, consulente legale.

Ripristinare senza reinfettare

La tentazione è restaurare subito i file. Se la causa non è stata trovata, o se l'attaccante ha ancora un accesso, si rischia di cifrare di nuovo tutto. L'ordine corretto è:

• capire come è entrato: accesso remoto, credenziale, vulnerabilità;
• chiudere quella porta e cercare altri punti di persistenza, come account creati dall'attaccante o strumenti di accesso remoto;
• ricostruire i sistemi in ambiente attendibile, reinstallando da supporti puliti i server compromessi invece di «ripulirli»;
• verificare le copie prima di usarle, controllando che non contengano già il malware;
• ripartire per priorità, dai servizi che sostengono gli altri (directory degli utenti, rete) a quelli di business, cambiando tutte le password.

Il pagamento del riscatto non garantisce la restituzione dei dati né impedisce un secondo attacco; se si valuta una richiesta, va discussa con consulenti e autorità, non decisa nella fretta.

Obblighi di comunicazione

Se nell'incidente sono coinvolti dati personali, il GDPR (articolo 33) chiede al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile un rischio per le persone; la notifica avviene con la procedura telematica del Garante. La violazione va comunque documentata. Se il rischio per le persone è elevato, vanno informati anche gli interessati.

Per i soggetti che rientrano nella disciplina NIS2 si aggiungono comunicazioni al CSIRT Italia con tempi ravvicinati; se l'azienda vi rientri va verificato caso per caso. Questo è un quadro generale al novembre 2026, non una consulenza legale: i casi concreti vanno valutati con un consulente.

Un passo concreto per questa settimana

Scegli un solo server o gestionale e prova a ripristinarlo da zero da un backup, cronometrando il tempo e annotando cosa manca. Poi verifica chi, tra fornitori e collaboratori, ha accesso remoto e con quali credenziali.

Se vuoi una valutazione dell'esposizione della tua rete e dei backup, la trovi nel servizio di reti e sicurezza; per partire con una richiesta guidata usa la richiesta di assistenza.

Fonti ufficiali: guida #StopRansomware di CISA, procedura di notifica del Garante privacy, Regolamento (UE) 2016/679 su EUR-Lex.