Cos’è il ransomware
Il ransomware è un tipo di software malevolo che cifra i dati di un sistema e li rende illeggibili, per poi chiedere un riscatto (in inglese ransom) in cambio della chiave di decifratura. In pratica i file restano sul disco, ma diventano inutilizzabili: documenti, database, backup online, immagini di macchine virtuali. La vittima si trova davanti a una richiesta di pagamento, quasi sempre in criptovaluta, con un conto alla rovescia pensato per spingere a decidere in fretta.
Non si tratta di un fenomeno di nicchia. Le agenzie di sicurezza europee e statunitensi lo indicano da anni come una delle minacce più impattanti per organizzazioni di ogni dimensione, dalle grandi aziende ai piccoli enti, fino ai professionisti che lavorano da soli.
Come funziona la catena d’attacco
Un attacco ransomware raramente è un singolo clic sfortunato. È una sequenza di passaggi, e conoscerla aiuta a capire dove intervenire.
- Accesso iniziale. È la porta d’ingresso. I due vettori più comuni restano le email di phishing e l’accesso remoto esposto: servizi RDP (Remote Desktop Protocol) lasciati su Internet con password deboli, oppure vulnerabilità non corrette su VPN e server perimetrali.
- Movimento laterale. Ottenuto il primo appoggio, gli attaccanti esplorano la rete, rubano credenziali e cercano di raggiungere gli account con più privilegi, spostandosi da una macchina all’altra.
- Esfiltrazione. Prima di cifrare, spesso copiano fuori una parte dei dati. È il presupposto della doppia estorsione.
- Cifratura. Solo alla fine scatta la cifratura vera e propria, in genere di notte o nel fine settimana, quando è meno probabile che qualcuno reagisca in tempo.
La doppia estorsione
La forma più diffusa oggi non si limita a bloccare i dati. Gli attaccanti li copiano prima di cifrarli e minacciano di pubblicarli se il riscatto non viene pagato. È la cosiddetta doppia estorsione: da un lato la perdita di disponibilità (i sistemi fermi), dall’altro la perdita di riservatezza (i dati esposti online).
Questo cambia la logica della difesa. Anche chi ha backup perfetti e può ripristinare tutto rapidamente resta esposto al ricatto sulla pubblicazione. Ci sono poi varianti con più livelli di pressione, come attacchi verso i partner della vittima o contatti diretti ai clienti. Il messaggio pratico è chiaro: i backup restano fondamentali, ma da soli non risolvono la questione della fuga di dati.
Chi è a rischio
La risposta breve è: tutti. È diffusa l’idea che il ransomware colpisca solo le grandi organizzazioni, ma la realtà è diversa. Molti attacchi sono opportunistici: gli aggressori scansionano Internet in cerca di servizi esposti e credenziali riutilizzabili, e colpiscono chiunque trovino vulnerabile. Piccole imprese, studi professionali, comuni e associazioni sono bersagli frequenti proprio perché spesso hanno difese meno strutturate. La domanda giusta non è “sono abbastanza grande da interessare a qualcuno”, ma “quanto è facile entrare nei miei sistemi”.
Come difendersi prima di un attacco
La prevenzione è dove si vince o si perde. Le misure che seguono sono quelle indicate con più costanza dalle fonti primarie, e su alcune di esse trovi approfondimenti dedicati su questo sito.
- Backup con regola 3-2-1, offline o immutabili. Tre copie dei dati, su due supporti diversi, con una copia fuori sede. Almeno una deve essere scollegata dalla rete o immutabile, così che il ransomware non possa cifrarla o cancellarla insieme al resto.
- Aggiornamenti e patch. Correggere tempestivamente sistemi operativi, VPN e dispositivi perimetrali chiude molte delle vulnerabilità sfruttate per l’accesso iniziale.
- Autenticazione a più fattori (MFA). Attivare l’MFA, preferibilmente resistente al phishing, su email, VPN e accessi ai sistemi critici, rende molto più difficile riutilizzare una password rubata.
- Segmentazione della rete. Separare gli ambienti limita il movimento laterale: se una parte viene compromessa, il resto non cade a catena.
- Formazione anti-phishing. Le persone sono la prima linea. Un programma di sensibilizzazione che insegni a riconoscere e segnalare i messaggi sospetti riduce concretamente il rischio.
- Principio del minimo privilegio. Dare a ogni utenza solo i permessi strettamente necessari riduce i danni quando un account viene compromesso.
Nessuna di queste misure basta da sola: funzionano perché lavorano insieme, come strati sovrapposti.
Cosa fare se si viene colpiti
Nel momento dell’attacco, l’ordine delle azioni conta. Alcuni punti fermi.
- Isolare subito i sistemi coinvolti. Scollegarli dalla rete per fermare la propagazione, senza però spegnerli d’impulso: alcune informazioni utili all’analisi risiedono in memoria.
- Non pagare, come regola generale. Pagare non garantisce il recupero dei dati, non elimina le copie già esfiltrate, alimenta il modello criminale e può esporre a nuove richieste. Va valutato caso per caso con esperti, ma la posizione di riferimento delle autorità è scoraggiare il pagamento.
- Segnalare l’incidente. Coinvolgere le autorità competenti e, dove previsto dagli obblighi normativi, notificare la violazione. La segnalazione aiuta anche le indagini e le altre potenziali vittime.
- Ripristinare da backup verificati. Dopo aver ricostruito un ambiente pulito, si recuperano i dati dalle copie note come integre.
I backup come ultima linea
Se tutto il resto fallisce, sono i backup a fare la differenza tra un fermo di poche ore e una crisi che dura settimane. Ma valgono solo se rispondono a tre requisiti: essere fuori dalla portata dell’attaccante (offline o immutabili), essere recenti e, soprattutto, essere testati. Un backup mai provato in ripristino è una promessa, non una garanzia. Provare periodicamente il recupero è parte integrante della difesa.
In sintesi
Il ransomware non è un colpo di sfortuna imprevedibile: è un processo con fasi note, che si contrasta con misure note. La priorità è ridurre le porte d’ingresso, contenere il movimento laterale e mantenere backup che l’attaccante non possa toccare. Prevenzione a strati prima, procedure chiare dopo. È il modo più concreto per trasformare un potenziale disastro in un incidente gestibile.