Ransomware in azienda: cosa fare nelle prime ore (e cosa non fare)

Le prime ore, nell’ordine

1. Stacca i computer colpiti dalla rete

   Togli il cavo di rete, spegni il Wi-Fi, scollega dischi esterni e chiavette. Se il ransomware sta cifrando anche il server o il NAS (il disco di rete dell’ufficio), stacca anche quelli. Non spegnere e non riavviare, se puoi: spegni solo se non riesci a isolare un computer in altro modo.

2. Ferma tutti e segna l’ora

   Avvisa i colleghi di non accendere, non collegare e non usare i computer dell’ufficio. Annota quando hai visto il problema, cosa compariva sullo schermo e chi ha notato cosa. Ti servirà per la denuncia, per l’assicurazione e per l’eventuale notifica al Garante.

3. Fotografa la nota di riscatto e non rispondere

   Fotografa con il telefono lo schermo e la nota, di solito un file di testo con un nome come «leggimi». Non cliccare sui link, non scrivere nella chat dei criminali, non cancellare nulla.

4. Chiama il tecnico e l’assicurazione

   Il tuo tecnico o fornitore informatico deve salvare le tracce prima di toccare i sistemi. Se hai una polizza cyber, telefona subito al numero di emergenza: molte polizze chiedono un avviso immediato e mettono a disposizione una squadra di intervento.

5. Verifica i backup senza collegarli

   Chiedi al tecnico di controllare quando è stato fatto l’ultimo backup e se è integro, da un computer pulito. Non collegare il disco di backup a un computer infetto: verrebbe cifrato anche lui.

6. Avvia denuncia e valutazione privacy

   Fai denuncia alla Polizia Postale. Intanto valuta con il consulente se ci sono dati personali coinvolti: quasi sempre sì, e il tempo per la notifica al Garante sta già correndo.

Come capire che è un ransomware

Il ransomware è un programma che cifra i file, cioè li rende illeggibili, e chiede un riscatto, di solito in criptovaluta, per la chiave che li sblocca. I segnali tipici:

• i file non si aprono e hanno un nome o un’estensione strana: per esempio «fattura.pdf» diventa «fattura.pdf.lockx» o una sequenza di lettere a caso;
• in molte cartelle compare un file di testo con istruzioni, oppure lo sfondo del desktop è stato sostituito da un messaggio;
• il computer o il server diventano lentissimi, il disco lavora senza sosta, l’antivirus risulta disattivato;
• il gestionale non parte perché il database è cifrato.

Non confonderlo con i falsi avvisi del browser che dicono «il tuo PC è bloccato, chiama questo numero»: quelli sono truffe telefoniche, non cifrano nulla. Se invece tutto è partito da un clic su un’email, leggi anche ho cliccato su un link di phishing.

Isolare senza distruggere le prove

L’obiettivo delle prime ore è fermare la diffusione senza cancellare ciò che serve a capire come sono entrati. Le linee guida delle agenzie di sicurezza vanno tutte nella stessa direzione: prima si scollega, e si spegne solo se non c’è altro modo, perché lo spegnimento fa perdere le tracce che restano nella memoria del computer.

Se il ransomware ha colpito anche la posta o un account cloud, segui in parallelo account violato: cosa fare subito.

Chi avvisare, e in che ordine

1. Il tecnico o il fornitore informatico, per primo. Se non ne hai uno, cerca chi faccia risposta agli incidenti, non solo assistenza: deve saper salvare le tracce e analizzarle.
2. L’assicurazione cyber, se c’è. Leggi la polizza: spesso chiede l’avviso entro poche ore e l’uso dei suoi tecnici, e può negare il rimborso se fai da solo.
3. La Polizia Postale. Il ransomware è un’estorsione: dal 2024 il codice penale punisce l’estorsione commessa con attacchi informatici con la reclusione da 6 a 12 anni. Porta foto della nota, orari e nomi dei file. Sul sito del Commissariato di PS online puoi fare una segnalazione, ma non sostituisce la denuncia; in alcuni uffici è in prova il portale Denunce Online, da confermare di persona entro 48 ore.
4. Il CSIRT Italia, la squadra di risposta dell’Agenzia per la cybersicurezza nazionale (ACN). Per la maggior parte delle piccole imprese e degli studi la segnalazione è volontaria: la legge la permette anche a chi non rientra nella NIS2, e aiuta ad allertare altri. Se invece sei un soggetto NIS2, la notifica è obbligatoria con tempi stretti: trovi il riepilogo in data breach: cosa fare nelle prime 72 ore.
5. Il consulente privacy, per decidere sulla notifica al Garante e sull’avviso a clienti e dipendenti. Tempi e modulo sono spiegati nello stesso articolo sul data breach.
6. Clienti e fornitori, quando sai cosa è successo: i criminali possono usare gli indirizzi rubati per email false a tuo nome.

Si possono recuperare i file senza pagare?

A volte sì. Il progetto No More Ransom, lanciato nel 2016 da Europol, dalla Polizia olandese e da aziende di sicurezza informatica, mette a disposizione gratis oltre cento strumenti di decifratura per ransomware i cui codici sono stati scoperti. Con lo strumento Crypto Sheriff carichi un paio di file cifrati e la nota di riscatto, e il sito ti dice se esiste un decifratore per quel ransomware.

• Fallo da un computer pulito, copiando i file campione su una chiavetta nuova.
• Se lo strumento esiste, lascia che lo usi il tecnico, su copie dei file e non sugli originali.
• Se non esiste, conserva i file cifrati: a volte i decifratori escono mesi dopo.

Diffida di chi promette di «decifrare tutto» a pagamento senza spiegare come: alcune ditte in realtà pagano il riscatto e ti girano il conto.

Perché non pagare il riscatto

ACN, Garante privacy, Europol e le agenzie di sicurezza degli altri Paesi dicono la stessa cosa: non pagare. I motivi sono concreti:

• Nessuna garanzia. La chiave può non arrivare o funzionare male, e decifrare un server intero può richiedere giorni.
• Doppia estorsione. Quasi sempre i criminali copiano i dati prima di cifrarli e minacciano di pubblicarli. Pagare non ti assicura che non li vendano o li pubblichino lo stesso, magari chiedendo una seconda somma.
• Diventi un bersaglio. Chi paga finisce nelle liste di chi paga, e viene attaccato di nuovo.
• Rischi legali. In Italia, secondo l’orientamento prevalente, la vittima che paga non commette reato. Ma l’Unione europea ha messo sotto sanzione alcuni membri di gruppi ransomware, e a chi è in elenco è vietato far arrivare denaro: pagando non sai chi c’è dall’altra parte.

Se stai valutando di pagare perché non hai alternative, non farlo da solo e non trattare direttamente: parlane prima con le forze dell’ordine, con l’assicurazione e con un legale.

Ripartire dai backup, nel modo giusto

La vera salvezza è un backup che il ransomware non poteva raggiungere. I criminali cercano apposta i backup per cifrarli o cancellarli: un disco sempre collegato al server o una cartella sincronizzata vengono colpiti insieme ai dati. Resistono invece:

• i backup offline, cioè su dischi scollegati dopo la copia e conservati altrove;
• i backup immutabili, che per un certo periodo non possono essere modificati né cancellati da nessuno, neppure con la password di amministratore;
• i servizi cloud con versioni precedenti conservate per settimane.

Prima di ripristinare, il tecnico deve: capire da quanto tempo i criminali erano dentro, perché spesso entrano settimane prima e un backup recente può contenere già il loro accesso; reinstallare da zero i computer colpiti invece di «pulirli»; chiudere la via d’ingresso; cambiare tutte le password. Solo dopo si rimettono i dati, partendo da ciò che serve per lavorare. La regola generale delle tre copie, due supporti, una fuori sede è spiegata in file cancellati; per un’azienda va aggiunta almeno una copia scollegata o immutabile, con una prova di ripristino ogni tanto.

Dopo l’attacco: capire la causa e chiudere la porta

Se non trovi come sono entrati, torneranno. Le cause più frequenti nelle piccole realtà:

Poi scrivi un piano di risposta agli incidenti: una o due pagine con chi chiamare (tecnico, assicurazione, consulente privacy, con numeri di telefono stampati su carta), chi decide, dove sono i backup e come si ripristinano, quali clienti avvisare. Le misure da mettere e documentare sono quelle della guida sulla sicurezza informatica in azienda.

Un esempio concreto

Lo studio di commercialisti di Laura e Stefano, sette persone, trova un martedì mattina il gestionale bloccato e i file del server con estensione «.qwx». In ogni cartella c’è un file «LEGGIMI.txt» che chiede 40.000 euro in bitcoin e minaccia di pubblicare i dati dei clienti.

• 8.20: Stefano stacca server e computer dalla rete senza spegnerli, scollega il NAS e fotografa la nota.
• 8.45: chiamano il tecnico e il numero di emergenza della polizza cyber, che manda un analista da remoto.
• Mattina: il NAS, sempre collegato, è cifrato. Il backup in cloud con copie immutabili di 30 giorni invece è integro. Crypto Sheriff non trova decifratori per quel ransomware.
• Pomeriggio: l’analista scopre che sono entrati dal desktop remoto, lasciato aperto su Internet per un collaboratore in smart working, con una password debole. Ci sono segni di dati copiati all’esterno. Laura fa denuncia alla Polizia Postale e, con il consulente privacy, avvia la notifica al Garante.
• Giorni seguenti: computer reinstallati, desktop remoto chiuso, VPN con verifica in due passaggi, password cambiate, ripristino dal cloud. Non pagano. Poi aggiungono un backup su disco scollegato e un piano di risposta.

Cosa fa il consulente su Intervento

Descrivi cosa vedi, quali computer sono colpiti e come fai i backup. L’orientamento gratuito ti dice cosa fare subito. Con l’Analisi ottieni una lettura automatica di ciò che carichi, come la foto della nota. Con l’Esperto un consulente privacy e sicurezza verificato ti risponde per iscritto: priorità tecniche, se e come notificare, cosa scrivere a clienti e dipendenti. Se il tempo stringe, con il Live ne parli in videochiamata. Con il livello Soluzione, su preventivo, ti aiuta a scrivere il piano di risposta e a rivedere le misure di sicurezza.