Ransomware in azienda: cosa fare nelle prime ore e come prevenirlo

Se l'azienda subisce un attacco ransomware (file cifrati e richiesta di riscatto), le priorità nelle prime ore sono quattro: isolare i sistemi per fermare la diffusione, non cancellare né reinstallare nulla prima di aver preservato le informazioni utili, verificare lo stato dei backup e attivare le persone giuste (referente tecnico, specialista di risposta agli incidenti, assicuratore, consulente privacy, legale). Il pagamento del riscatto non è una soluzione garantita né un obbligo, e non va deciso nel panico. Questa guida illustra una sequenza pratica, gli obblighi da valutare e le misure che riducono davvero il rischio.

Se stai affrontando un attacco in questo momento, contatta subito il tuo fornitore IT o uno specialista di risposta agli incidenti: questa guida è informativa e non può sostituire un intervento tecnico.

Come riconoscere un attacco in corso

Segnali tipici: file con estensioni insolite e non apribili, una nota di riscatto sullo schermo o in cartelle, server che rallentano o si fermano, antivirus disattivato, backup cancellati, account amministrativi usati fuori orario. Spesso l'attacco inizia giorni o settimane prima della cifratura: gli aggressori entrano, esplorano la rete, copiano dati e solo dopo cifrano. Per questo molti attacchi sono in realtà anche furti di dati (la cosiddetta doppia estorsione): minacciano di pubblicare i dati rubati.

Le prime ore: sequenza pratica

Annota l'ora della scoperta e chi l'ha scoperta.
Scollega dalla rete i dispositivi colpiti (cavo di rete, Wi-Fi), senza spegnerli subito se possibile: la memoria può contenere elementi utili. Se non puoi valutarlo, isola comunque prima di tutto.
Blocca gli accessi remoti (VPN, desktop remoto) e disattiva gli account sospetti. Cambia le password da un dispositivo pulito, partendo dagli amministratori.
Proteggi i backup: scollega i dischi e i servizi di backup raggiungibili e verifica che le copie siano integre e isolate.
Non toccare le prove: non cancellare note di riscatto o log, non reinstallare i sistemi prima del parere dello specialista.
Avvisa il responsabile della risposta, il fornitore IT, l'assicuratore (se hai una polizza cyber) nei termini del contratto, e il consulente privacy.
Valuta gli obblighi di notifica (sotto).
Comunica ai dipendenti in modo semplice cosa fare e cosa non fare, usando canali non compromessi.

Cosa non fare

Non pagare né rispondere agli attaccanti prima di aver sentito esperti e legali.
Non collegare dischi di backup a sistemi ancora infetti.
Non usare la posta aziendale se potrebbe essere compromessa per coordinare la risposta.
Non cercare "decifratori" sconosciuti in rete: possono essere altri malware.
Non minimizzare con i clienti: la trasparenza proporzionata riduce i danni di fiducia.

Pagare il riscatto?

Le autorità e gli specialisti sconsigliano in genere di pagare: non c'è garanzia di ricevere una chiave funzionante, i dati rubati possono essere comunque diffusi, il pagamento incoraggia altri attacchi e può esporre a rischi legali e di sanzioni finanziarie internazionali se i destinatari sono soggetti sanzionati. Tuttavia la decisione è dell'azienda, in una situazione difficile. Prima di decidere:

verifica se esiste un decifratore gratuito per quella famiglia di ransomware, per esempio tramite l'iniziativa NoMoreRansom;
valuta lo stato dei backup e i tempi reali di ripristino;
coinvolgi un legale e, se prevista, la compagnia assicurativa, che può avere procedure e consulenti dedicati;
considera l'effetto delle notifiche e delle denunce;
documenta le decisioni e le motivazioni.

La legge italiana non prevede un divieto generale di pagare, ma le conseguenze legali dipendono dal caso: chiedi un parere prima di agire.

Obblighi di notifica da valutare

Obbligo	Quando	Verso chi
GDPR, articolo 33	Se la violazione coinvolge dati personali e comporta un rischio per le persone: entro 72 ore dalla conoscenza	Garante per la protezione dei dati personali
GDPR, articolo 34	Se il rischio per le persone è elevato	Interessati
NIS2 (per i soggetti coinvolti)	Incidente significativo: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese	CSIRT Italia / ACN
Polizza cyber	Secondo le condizioni, spesso immediato o entro pochi giorni	Compagnia assicurativa
Denuncia o querela	Facoltativa o richiesta dalle condizioni di polizza	Polizia Postale e delle Comunicazioni
Contratti con i clienti	Secondo le clausole	Clienti interessati

Un ransomware che cifra dati personali è, di norma, una violazione della disponibilità dei dati e dev'essere valutata come tale anche se non c'è prova di esfiltrazione. Per i dettagli vedi la guida sulla notifica al Garante entro 72 ore e quella sulla NIS2 per le PMI.

Il ripristino

Il ripristino dovrebbe seguire un ordine:

Capire come sono entrati (accesso remoto, credenziali rubate, email di phishing, vulnerabilità non corretta) e chiudere quella porta: ripristinare senza eliminare la causa porta a una reinfezione.
Ricostruire in ambiente pulito: reinstallare i sistemi compromessi o usare immagini verificate; cambiare tutte le credenziali e le chiavi potenzialmente esposte.
Ripristinare i dati dai backup, dando priorità ai sistemi essenziali al business, e verificando che le copie non siano compromesse.
Rientro graduale con monitoraggio rafforzato.
Analisi finale e miglioramenti, documentati nel registro e nel piano di risposta.

I tempi dipendono molto da dimensione, qualità dei backup e preparazione: alcune imprese riprendono in pochi giorni, altre in settimane. Per questo RPO e RTO vanno definiti prima, come spiegato nella guida su backup aziendale.

Prevenzione: le misure che contano di più

Backup immutabili e provati: la difesa decisiva contro gli effetti della cifratura.
Autenticazione a più fattori su posta, VPN, amministratori; vedi la guida sull'MFA.
Nessun servizio di accesso remoto esposto senza VPN e MFA.
Aggiornamenti tempestivi, specie di firewall, VPN e server esposti.
Protezione delle postazioni con EDR e monitoraggio; vedi antivirus ed EDR.
Privilegi limitati e segmentazione della rete.
Formazione sul phishing, che è un ingresso frequente.
Piano di risposta provato; vedi il piano di risposta agli incidenti.

Dopo l'attacco: conseguenze da gestire

Oltre ai costi tecnici, possono emergere richieste dei clienti, controlli, domande dei fornitori, contestazioni contrattuali, danni di reputazione. Conserva la documentazione: cronologia, decisioni, fatture, comunicazioni. Può servirti per l'assicurazione, per l'autorità e per dimostrare di aver agito con diligenza.

Domande frequenti

Si può recuperare i dati senza pagare?

Spesso sì, se esistono backup integri e isolati. In alcuni casi esistono decifratori gratuiti per specifiche famiglie di ransomware; verifica su NoMoreRansom con l'aiuto di uno specialista.

Devo denunciare l'attacco?

È consigliabile valutarlo con un legale: può aiutare le indagini e alcune polizze la richiedono. Si può rivolgersi alla Polizia Postale e delle Comunicazioni.

I dati rubati sono stati pubblicati: cosa faccio?

Valuta con il consulente privacy la comunicazione agli interessati, informa i clienti coinvolti, monitora l'uso dei dati e segui le indicazioni del Garante.

Un attacco può colpire anche una piccola azienda?

Sì. Molti attacchi sono automatizzati e colpiscono chiunque abbia servizi esposti o credenziali deboli, indipendentemente dalle dimensioni.

Fonti ufficiali

CSIRT Italia — segnalazione degli incidenti e indicazioni operative.
Agenzia per la Cybersicurezza Nazionale — guide sul ransomware e sulla resilienza.
NoMoreRansom — decifratori e consigli.
Polizia Postale e delle Comunicazioni - Commissariato di PS online — segnalazioni e denunce.
Garante per la protezione dei dati personali — notifica delle violazioni dei dati.