Ransomware

Cos'è

Il ransomware è un tipo di malware che cifra i file su un computer o su un'intera rete, rendendoli inaccessibili, e chiede un pagamento (quasi sempre in criptovaluta) per fornire la chiave di decifrazione. Nelle varianti più recenti (double extortion) i dati vengono prima esfiltrati e poi cifrati: anche pagando per riavere l'accesso, l'attaccante minaccia di pubblicare comunque quanto ha copiato.

L'ingresso più comune non è un attacco tecnico sofisticato: è una email di phishing con un allegato infetto, una credenziale RDP esposta su internet senza MFA, o una vulnerabilità nota non ancora patchata su un sistema esposto. Una volta dentro, il malware si muove lateralmente nella rete — spesso per giorni, silenzioso, mappando cosa vale la pena cifrare — prima di attivare la cifratura di notte o nel weekend, quando il team IT è meno presente e la reazione più lenta. Il modello ransomware-as-a-service ha abbassato parecchio la barriera d'ingresso: oggi basta affittare un kit già pronto da un gruppo, come si affitterebbe un software, senza sapere scrivere una riga di codice malevolo.

Perché conta

È la minaccia numero uno per continuità operativa che vedo sul campo: un'azienda con backup non testati o raggiungibili dalla stessa rete compromessa può restare ferma per giorni o settimane, con un danno che spesso supera di molto il riscatto stesso — ordini persi, clienti che se ne vanno, macchinari di produzione fermi. In Italia gruppi come Qilin hanno colpito sistematicamente le PMI proprio perché più esposte e meno strutturate delle grandi aziende, secondo quanto riportano i bollettini di CSIRT Italia. La differenza tra un incidente gestito e un disastro quasi sempre sta a monte: backup isolati (offline o immutabili, non raggiungibili con le stesse credenziali della rete di produzione), segmentazione di rete, e un piano di risposta già scritto e provato prima che serva — non improvvisato mentre i sistemi sono già cifrati.

Gli obblighi che scattano dopo l'incidente

Dopo il contenimento iniziale parte una fase che molte aziende sottovalutano: gli obblighi di notifica. Se rientri nel perimetro NIS2 hai finestre strette per segnalare l'incidente a CSIRT Italia (un preallarme entro 24 ore, poi la notifica completa), e se sono coinvolti dati personali scatta separatamente l'obbligo verso il Garante Privacy entro 72 ore. Vale la pena avere già pronti, prima che serva, i contatti e il modello di notifica: cercarli mentre i sistemi sono fermi costa tempo che non hai. Consiglio anche di coinvolgere da subito un legale specializzato e, se possibile, una società di incident response esterna per la parte forense — la documentazione raccolta in queste ore è quella che userai poi con l'assicurazione cyber, se ce l'hai. Il bollettino StopRansomware di CISA resta un buon riferimento operativo aggiornato su tattiche e contromisure.

// Nota pratica

Se sospetti un'infezione in corso, la prima azione è isolare la macchina dalla rete (cavo di rete staccato, non solo spegnimento), non tentare di decifrare da soli, e attivare il piano di incident response. Il tempo tra individuazione e contenimento è quello che decide quanto si allarga il danno.