Attacco ransomware in corso: cosa fare nelle prime 24 ore

Un attacco ransomware raramente arriva con un preavviso. Nella maggior parte dei casi, chi lo scopre è una persona qualunque in azienda che nota qualcosa di strano: un file che non si apre più, un rallentamento anomalo, una schermata con una richiesta di riscatto. Cosa si fa nei minuti e nelle ore successive incide in modo determinante sull’entità del danno finale. Questo articolo è pensato per essere una guida pratica e immediatamente utilizzabile in un momento di emergenza.

I segnali che indicano un attacco ransomware in corso

Prima di reagire, è utile riconoscere i segnali tipici di un attacco in corso, perché non sempre la situazione è evidente fin da subito:

• file che improvvisamente non si aprono più, oppure che hanno un’estensione diversa dal solito (spesso aggiunta dal ransomware stesso);
• una nota di riscatto, in genere un file di testo o un’immagine, che compare sul desktop o all’interno delle cartelle colpite, con richieste di pagamento in criptovaluta;
• rallentamenti improvvisi e anomali di uno o più computer, con un’attività del disco molto elevata senza motivo apparente;
• impossibilità di accedere a cartelle condivise, server o applicazioni gestionali che fino a poco prima funzionavano normalmente;
• segnalazioni multiple e simultanee da più utenti in azienda, segno che l’attacco si sta propagando su più macchine contemporaneamente.

Se anche solo uno di questi segnali si presenta in modo anomalo e diffuso, è meglio agire immediatamente secondo la sequenza seguente, piuttosto che attendere ulteriore conferma.

Le prime azioni immediate: checklist per le prime ore

Questa sequenza è pensata per essere seguita, nell’ordine, da chiunque si trovi a gestire la situazione nei primi momenti, anche senza competenze tecniche specialistiche:

1. Isola i dispositivi colpiti dalla rete, scollegando il cavo di rete o disattivando il Wi-Fi, senza spegnere il computer. L’obiettivo è impedire che il ransomware continui a propagarsi ad altri dispositivi collegati alla stessa rete.
2. Non spegnere il computer alla cieca. Spegnere bruscamente un dispositivo può far perdere informazioni preziose in memoria, utili in seguito per capire come è avvenuto l’attacco e per un’eventuale attività forense. Isolare dalla rete è la priorità, non lo spegnimento.
3. Avvisa immediatamente il referente IT interno o il fornitore di assistenza informatica, comunicando con precisione cosa hai osservato (quali file, quali macchine, da quando).
4. Non pagare subito il riscatto, e non prendere questa decisione da solo. Il pagamento non garantisce il recupero dei dati, può finanziare ulteriori attacchi, e in alcuni casi può comportare implicazioni legali. È una decisione che va valutata con calma, con il supporto di esperti di sicurezza informatica e, se necessario, delle forze dell’ordine.
5. Isola anche i backup, se sono collegati alla rete o accessibili dai sistemi compromessi, per evitare che vengano a loro volta criptati o cancellati.
6. Contatta le forze dell’ordine competenti (in Italia, tipicamente la Polizia Postale) per presentare una denuncia formale: è un passaggio utile sia dal punto di vista investigativo sia per eventuali coperture assicurative.
7. Documenta tutto quello che osservi, con orari precisi: quando è comparso il primo segnale, quali sistemi risultano coinvolti, eventuali screenshot della richiesta di riscatto. Questa documentazione sarà utile sia per la gestione tecnica dell’incidente sia per eventuali obblighi di notifica.
8. Non comunicare con gli attaccanti senza un supporto esperto. Rispondere autonomamente a una richiesta di riscatto, anche solo per “capire meglio”, può essere controproducente e va evitato senza il coordinamento di chi gestisce l’incidente.

Perché un backup non testato non basta a garantire il ripristino

Molte aziende scoprono, proprio nel momento peggiore, che il backup su cui contavano non è effettivamente ripristinabile: può essere incompleto, corrotto, troppo vecchio rispetto all’ultima versione utile dei dati, oppure raggiungibile dagli stessi attaccanti perché collegato alla rete aziendale e quindi anch’esso criptato. Avere “un backup” non equivale ad avere “un piano di ripristino funzionante”: la differenza si vede solo nel momento del bisogno, quando è troppo tardi per porvi rimedio. Per questo motivo, testare periodicamente il ripristino effettivo dei backup, e non solo la loro esistenza, è una delle misure di sicurezza più semplici ma più trascurate nelle piccole e medie imprese.

Il ruolo della documentazione dell’incidente, anche ai fini NIS2

Per le aziende che rientrano nel perimetro della NIS2, un incidente di sicurezza significativo può comportare un obbligo di notifica alle autorità competenti, con tempistiche piuttosto strette rispetto al momento in cui si viene a conoscenza dell’evento. Anche per le aziende non direttamente obbligate, però, documentare con cura l’incidente (cosa è successo, quando, quali sistemi sono coinvolti, quali azioni sono state intraprese) è comunque una buona pratica: è utile per la gestione tecnica del ripristino, per eventuali comunicazioni a clienti o partner coinvolti, e per la copertura assicurativa se l’azienda dispone di una polizza cyber.

Come un piano preparato in anticipo riduce tempi di fermo e danni

La differenza più grande tra un’azienda che subisce un attacco ransomware in modo distruttivo e una che lo subisce ma riesce a limitare il danno, quasi sempre, non sta nella sofisticazione dell’attacco, ma nella preparazione precedente. Un piano di risposta agli incidenti predisposto in anticipo, per quanto semplice, definisce in modo chiaro: chi fare, chi contattare per primo, come isolare rapidamente i sistemi, dove si trovano i backup e come verificarne l’integrità, e quali informazioni raccogliere subito per la documentazione. Le aziende che arrivano a un attacco senza aver mai pensato a questi passaggi perdono tempo prezioso nelle prime ore, proprio quando la rapidità di reazione conta di più per contenere la propagazione e i danni.

Fatti trovare preparato, prima che succeda

Un check-up gratuito è il modo più semplice per capire se la tua azienda ha già le misure minime (backup testati, piano di risposta, segmentazione della rete) per limitare i danni di un attacco ransomware. Richiedilo su defendia.pro/nis2.

Domande frequenti

Bisogna sempre spegnere subito i computer in caso di ransomware?

No. La priorità immediata è isolare il dispositivo dalla rete (scollegando il cavo Ethernet o disattivando il Wi-Fi), non spegnerlo. Uno spegnimento brusco può far perdere informazioni in memoria utili per capire la dinamica dell’attacco e per un’eventuale analisi forense successiva. Isolare senza spegnere è la regola generale nei primi momenti.

Conviene pagare il riscatto?

Nella maggior parte dei casi la risposta prudente è no, o comunque non come prima reazione impulsiva. Il pagamento non garantisce che i dati vengano effettivamente recuperati, alimenta il modello di business degli attaccanti e può comportare implicazioni legali in alcune circostanze. Si tratta comunque di una decisione complessa, da valutare caso per caso con il supporto di esperti di sicurezza informatica, e se necessario delle forze dell’ordine, non da prendere da soli sotto la pressione del momento.

Un attacco ransomware va segnalato per obblighi NIS2?

Le aziende che rientrano nel perimetro della NIS2 come soggetti essenziali o importanti hanno l’obbligo di notificare alle autorità competenti gli incidenti di sicurezza considerati significativi, generalmente con tempistiche stringenti a partire dal momento in cui se ne viene a conoscenza. Un attacco ransomware che comporta un impatto operativo rilevante rientra tipicamente in questa categoria. Le modalità e i termini esatti di notifica sono definiti dal Decreto Legislativo 138/2024 e dalle indicazioni operative dell’Agenzia per la Cybersicurezza Nazionale, e vanno verificati puntualmente in base alla propria classificazione.