Non spegnere i sistemi: scollegali dalla rete. Poi chiama subito il 06 86358341.
Come si riconosce
Un ransomware raramente si annuncia in modo teatrale. I primi segnali sono banali: un file che non si apre, estensioni sconosciute, cartelle condivise piene di file rinominati, un documento di testo con le istruzioni per il pagamento. A volte ci sono segnali anche prima: antivirus disattivati, account amministrativi creati da poco, traffico di rete insolito verso l'esterno.
Molti attacchi moderni sono a doppia estorsione: prima di cifrare, gli attaccanti copiano i dati all'esterno e minacciano di pubblicarli. Il problema quindi non riguarda solo la disponibilità dei dati, ma anche la loro riservatezza.
La prima ora: contenere
- Isola, non spegnere. Scollega dalla rete i sistemi colpiti, via cavo e Wi-Fi, e disattiva gli accessi remoti come VPN e desktop remoto. Non spegnerli: con lo spegnimento si perdono informazioni utili all'analisi, che risiedono solo in memoria, e si rischia di interrompere una cifratura a metà.
- Attiva il piano e le persone giuste. Chi decide, chi interviene, chi comunica. Se esiste un piano di risposta agli incidenti, questo è il momento di aprirlo; se non esiste, serve subito un riferimento unico che coordini.
- Comunica fuori banda. Se la posta o gli account aziendali potrebbero essere compromessi, coordinati per telefono o con canali esterni: l'attaccante potrebbe leggere i messaggi interni.
- Proteggi i backup. Verifica che le copie siano integre e scollega quelle raggiungibili dalla rete. Non avviare ripristini finché non è chiaro da dove è entrato l'attaccante: si rischia di ripristinare sistemi che verranno cifrati di nuovo.
- Preserva le evidenze. Fotografa le richieste di riscatto e i messaggi a schermo, conserva i log, annota ogni azione con l'orario. Servono per l'analisi, per le notifiche e per l'eventuale denuncia.
- spegnere tutto o riavviare i server;
- cancellare i file cifrati o reinstallare subito i sistemi: si distruggono evidenze e, a volte, possibilità di recupero;
- contattare gli attaccanti o pagare d'impulso;
- ripristinare dai backup prima di aver chiuso il varco d'ingresso;
- coordinarsi con gli stessi account e la stessa posta che potrebbero essere compromessi.
Le ore successive: capire e decidere
Contenuto l'attacco, il lavoro diventa di analisi: individuare il punto d'ingresso (una casella di posta compromessa, credenziali riutilizzate, un servizio esposto e non aggiornato), capire da quando l'attaccante è dentro, quali sistemi e quali dati sono coinvolti e se ci sono state sottrazioni di dati.
Da queste risposte dipendono le decisioni successive: cosa ripristinare e in che ordine, quali credenziali cambiare, cosa comunicare a clienti e fornitori.
Gli obblighi di notifica
Un ransomware è quasi sempre anche una violazione di dati personali: i dati diventano indisponibili e, con la doppia estorsione, possono essere stati sottratti. Le scadenze decorrono dal momento in cui l'azienda viene a conoscenza dell'incidente, quindi vanno considerate fin dalle prime ore.
- GDPR: il titolare del trattamento notifica la violazione al Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che comporti un rischio per le persone. Se il rischio è elevato, vanno informati anche gli interessati.
- NIS2: i soggetti che rientrano nel perimetro del D.Lgs. 138/2024 inviano al CSIRT Italia una pre-notifica entro 24 ore dalla conoscenza di un incidente significativo, una notifica entro 72 ore e una relazione finale entro un mese.
- Denuncia: è opportuno sporgere denuncia alla Polizia Postale.
- Assicurazione: se l'azienda ha una polizza cyber, avvisa subito l'assicuratore: molte polizze prevedono procedure e tempi precisi.
Questa è una sintesi generale: per il caso specifico è opportuno il supporto del consulente legale o del responsabile della protezione dei dati (DPO).
Pagare il riscatto?
È una decisione che non va presa d'impulso, né da soli. Pagare non garantisce di riavere i dati, né che quelli sottratti non vengano pubblicati o rivenduti, e finanzia nuovi attacchi. Forze dell'ordine e agenzie per la cybersicurezza sconsigliano in genere di pagare.
La vera alternativa al riscatto si costruisce prima: backup isolati e provati, che permettono di ripartire senza trattare. Ne parliamo nella guida sulla regola del backup 3-2-1.
Ripartire in sicurezza
- Chiudi il varco: correggi la vulnerabilità sfruttata e blocca gli accessi usati dall'attaccante.
- Cambia le credenziali: prima quelle amministrative e di servizio, poi quelle degli utenti.
- Ripristina per priorità: prima i servizi di base, come rete e autenticazione, poi i sistemi critici, secondo i tempi di ripristino stabiliti (vedi la guida su RTO e RPO).
- Verifica prima di riaprire: controlla che i sistemi ripristinati siano puliti e monitora con attenzione le settimane successive.
- Analizza e migliora: cosa ha funzionato, cosa no, cosa va cambiato nel piano.
Prepararsi prima: la checklist
Tutto ciò che rende gestibili le prime ore si decide nei mesi tranquilli. Una verifica rapida:
- esiste un piano di risposta agli incidenti, con ruoli e numeri di telefono, disponibile anche su carta;
- i backup hanno almeno una copia isolata o immutabile, e le prove di ripristino sono documentate;
- gli accessi remoti e amministrativi sono protetti con autenticazione a più fattori;
- i sistemi esposti su internet sono aggiornati e monitorati;
- le persone sanno riconoscere un'email sospetta e sanno a chi segnalarla;
- sai se la tua azienda rientra nel perimetro NIS2 e chi deve occuparsi delle notifiche.
La storia Il venerdì sera in cui i file cambiarono nome racconta come va un attacco reale quando questa lista è già spuntata.