Un attacco ransomware lascia sempre una traccia: downtime, dati cifrati, clienti in attesa, ma lascia anche lezioni preziose. In questa guida trasformiamo l’esperienza di un attacco in un piano d’azione per PMI: cosa fare nelle prime 24 ore, come prevenire il prossimo incidente con backup 3-2-1 e tutte le precauzioni da adottare per lavorare in sicurezza.

Cos’è un ransomware?

Il ransomware è un software malevolo progettato per cifrare i dati e interrompere la disponibilità dei sistemi, così da estorcere un pagamento in cambio della chiave di decrittazione. Sempre più spesso, prima della cifratura, gli aggressori prelevano una copia dei dati: è la cosiddetta “doppia estorsione”, perché alla richiesta di riscatto si aggiunge la minaccia di pubblicare le informazioni sottratte.

Dal “doppio” al “triplo” ricatto

L’evoluzione recente degli attacchi aggiunge un’ulteriore leva di pressione: oltre alla cifratura e alla minaccia di pubblicazione, alcuni gruppi sferrano anche attacchi di negazione del servizio (DDoS) per amplificare il danno percepito e accelerare la decisione di pagare. Le autorità raccomandano di non pagare il riscatto: non c’è alcuna garanzia di recupero completo né di cancellazione dei dati già esfiltrati; restare focalizzati su prevenzione e ripristino è la strategia più efficace.

Cosa abbiamo imparato dai casi reali

Gli ingressi iniziali più frequenti restano le email di phishing, l’esposizione di servizi remoti come Remote Desktop Protocol (RDP) o reti private virtuali (VPN) non adeguatamente protette e gli attacchi alla catena di fornitura. Le esperienze delle piccole e medie imprese europee raccolte da ENISA confermano questa tendenza. Un’altra lezione chiave riguarda il tempo di fermo: dove mancano piani e backup testati regolarmente, il ripristino si allunga e i costi crescono. Le guide pratiche del NIST offrono architetture e procedure per tornare a uno stato “pulito” in modo ripetibile. In Italia è utile seguire gli indicatori di compromissione diffusi dal CERT-AGID, che consentono di bloccare in anticipo infrastrutture e file malevoli ricorrenti nelle campagne osservate.