Ransomware: cos’è, come proteggersi e cosa fare se sei colpito
Il ransomware è la minaccia informatica più temuta dalle aziende italiane. Un singolo attacco può bloccare l’operatività per giorni, cifrare anni di dati e costare centinaia di migliaia di euro. In questo articolo: cos’è, come funziona, come proteggersi e cosa fare se si viene colpiti.
Cos’è il ransomware
Malware che cifra i file della vittima e richiede un riscatto per restituire l’accesso. Le varianti moderne praticano la doppia estorsione: esfiltrano i dati prima di cifrarli, minacciando di pubblicarli nel dark web. Alcuni gruppi offrono Ransomware-as-a-Service (RaaS), moltiplicando gli attacchi.
In Italia, il danno medio per una PMI supera i 200.000 euro considerando fermo operativo, perdita dati e ripristino. La Toscana, con il suo tessuto di PMI manifatturiere, è tra le regioni più colpite.
Come funziona un attacco
Fase 1 — Accesso iniziale. L’attacco può partire da email di phishing, credenziali compromesse, vulnerabilità non corrette su servizi esposti, accessi remoti o compromissioni della supply chain.
Fase 2 — Movimento laterale. L’attaccante si muove nella rete, acquisisce privilegi, usa strumenti legittimi del sistema (living-off-the-land) per evitare il rilevamento.
Fase 3 — Preparazione. Disattiva le difese, identifica e compromette i backup raggiungibili, esfiltra i dati più preziosi. Questa fase può durare giorni.
Fase 4 — Cifratura e riscatto. I file vengono cifrati, compare il messaggio di riscatto. A quel punto: dati inaccessibili, backup compromessi, dati già esfiltrati.
Come proteggere la tua azienda
La protezione richiede un approccio multi-livello:
Protezione endpoint avanzata su TUTTI i dispositivi. Non antivirus tradizionale: serve analisi comportamentale che rileva il ransomware dal comportamento, non dalla firma.
Backup 3-2-1 con almeno una copia isolata o immutabile e test periodici di ripristino. 3 copie, 2 supporti, 1 offsite. Almeno una copia air-gapped o immutabile (non raggiungibile/modificabile dalla rete). I ransomware moderni cercano e distruggono i backup in rete.
MFA sugli accessi critici. Attivarla su email, VPN e account amministrativi riduce drasticamente il rischio che credenziali compromesse possano essere utilizzate per accedere ai sistemi.
Patching tempestivo. Vulnerabilità non corrette su VPN, firewall, sistemi operativi e servizi esposti possono essere sfruttate dagli attaccanti per ottenere un primo accesso alla rete.
Segmentazione di rete. Un ransomware che entra da un PC non deve raggiungere i server. VLAN e firewall interni limitano la propagazione.
Formazione anti-phishing. Il vettore #1. Sessioni periodiche e simulazioni aiutano gli utenti a riconoscere email, link e richieste anomale prima che diventino un punto di ingresso per un attacco.
Cosa fare se sei sotto attacco
1. Isola immediatamente i sistemi coinvolti. Disconnettili dalla rete per limitare la propagazione e coinvolgi il team di incident response prima di compiere ulteriori azioni.
2. Proteggi i sistemi ancora integri e i backup. Limita gli accessi e impedisci che l’attaccante possa raggiungere copie di backup non ancora compromesse.
3. Attiva l’incident response. Coinvolgi immediatamente il team IT, l’MSP o gli specialisti di sicurezza.
4. Preserva le evidenze. Log, email, indicatori di compromissione, messaggi di riscatto e altre informazioni possono essere fondamentali per l’analisi forense.
5. Valuta gli obblighi di notifica.
6. Avvia recovery e ripristino solo dopo aver compreso e contenuto il vettore d’attacco.
Ransomware e NIS2
La NIS2 impone misure che coprono direttamente la protezione dal ransomware: gestione incidenti con notifica, continuità operativa con DR testato, vulnerability management, formazione.
Per i soggetti rientranti nel perimetro NIS2, un incidente ransomware può inoltre far emergere eventuali carenze nelle misure di gestione del rischio, nella continuità operativa o nelle procedure di notifica previste dalla normativa.
La tua azienda è pronta a difendersi dal ransomware? Scopri di più.
