Vai al contenuto

// guida pillar · ransomware

Ransomware.
Il giorno in cui i dati non si aprono più.

Un ransomware non sceglie le aziende grandi: sceglie quelle dove trova una porta aperta. Questa guida spiega come entra, come si prepara il backup che ti fa ripartire e cosa fare nelle prime ore, con le indicazioni dell'Ufficio federale della cibersicurezza (UFCS) e tutti gli articoli del sito sul tema (11 articoli) in 3 percorsi.

Cos'è un ransomware?

Ransomware = un programma che cifra i tuoi dati e chiede un riscatto per restituirli. Oggi spesso li copia anche prima, e minaccia di pubblicarli: è la doppia estorsione.

Il ricatto ha quindi due leve: il blocco (l'attività si ferma) e la pubblicazione (i dati dei clienti finiscono in mano ad altri). Un buon backup risolve la prima, non la seconda. Per questo la difesa ha due metà: tenere fuori l'attaccante e poter ripartire.

Da dove entra, di solito?

  1. Un'email con un allegato o un link: una falsa fattura, una PEC di sollecito, una risposta dentro una conversazione vera.
  2. Una password rubata o debole, su un account senza verifica in due passaggi: posta, accesso remoto, servizi cloud.
  3. Un accesso remoto esposto su internet, provato di continuo da programmi automatici.
  4. Un programma non aggiornato con una falla già nota e già sfruttata.
  5. Un fornitore che ha accesso ai tuoi sistemi o tiene i tuoi dati: è successo con Xplain in Svizzera.

Gli attaccanti spesso restano dentro giorni o settimane, copiano i dati e solo alla fine fanno partire il blocco. Per questo le difese "di ingresso" contano quanto il backup.

Il backup che ti fa ripartire

regola · 3-2-1

Tre, due, uno

  • 3 copie dei dati: l'originale più due
  • 2 supporti diversi
  • 1 copia fuori sede
protezione · scollegata

Fuori dalla portata

  • Un disco che si stacca dopo il backup
  • Oppure copie a versioni non modificabili dal computer
  • Il cloud solo con versioni precedenti e verifica in due passaggi
prova · ripristino

Provato, non sperato

  • Ripristino di qualche file una volta al mese
  • Simulazione completa una volta l'anno
  • Una persona responsabile, con nome e cognome

La regola 3-2-1 è quella consigliata dall'UFCS (UFCS, protezione dei dati e backup). Il dettaglio, con la prova di ripristino passo per passo, è nell'articolo Backup che funziona davvero.

Cosa fare nelle prime ore?

  1. Scollega i computer colpiti dalla rete: cavo e Wi-Fi. Se puoi, non spegnerli: servono per capire cosa è successo.
  2. Fotografa la richiesta di riscatto e annota ora e computer colpiti.
  3. Chiama chi gestisce la tua informatica o un esperto: prima di ripristinare o riavviare va valutata l'analisi forense, soprattutto se vuoi sporgere denuncia.
  4. Non collegare i backup finché non sai che la rete è pulita.
  5. Reinstalla e poi ripristina: i sistemi colpiti si reinstallano da una fonte affidabile, solo dopo si recuperano i dati dalle copie.
  6. Se non hai backup, conserva i dati cifrati: a volte le autorità ottengono in seguito le chiavi per decifrarli.

È la procedura dell'UFCS (UFCS, «Sono vittima di un attacco ransomware. E adesso?»).

Conviene pagare il riscatto?

L'UFCS lo sconsiglia. Non c'è nessuna garanzia di riavere i dati, né che quelli rubati non vengano pubblicati, e ogni pagamento finanzia e incoraggia nuovi attacchi.

Se un'azienda valuta comunque di pagare, l'UFCS consiglia di parlarne prima con la polizia cantonale. La decisione non si prende mai d'impulso nelle prime ore.

Cosa devo segnalare, e a chi?

  1. In Svizzera: i gestori di infrastrutture critiche devono segnalare l'attacco all'UFCS entro 24 ore; se sono coinvolti dati personali con un rischio elevato va avvisato l'IFPDT il prima possibile; la denuncia si fa alla polizia cantonale.
  2. In Italia: se sono coinvolti dati personali la violazione va notificata al Garante entro 72 ore; la denuncia si fa alla Polizia Postale.
  3. A tutti: avvisa i clienti coinvolti con un messaggio chiaro su cosa è uscito e cosa possono fare.

Segnalazioni: UFCS, Polizia Postale.

Il Metodo 3V applicato al ransomware

Il Metodo 3V del libro «Sicurezza informatica per professionisti», applicato alla tua azienda prima che succeda:

  1. Verifica: sai chi può entrare, e da dove? Accessi remoti, account attivi, fornitori con accesso.
  2. Validazione: le difese reggono davvero? Ultimo ripristino provato, aggiornamenti, verifica in due passaggi per tutti.
  3. Velocità controllata: il giorno dell'attacco, chi fa cosa? Un piano scritto, con i numeri da chiamare, vale più di qualsiasi decisione presa nel panico.

Gli articoli sul ransomware

Gli articoli del sito sul tema, organizzati in 3 percorsi.

A. Prima: le difese che contano

Backup provato, verifica in due passaggi, accessi esposti, account dimenticati.

4 letture · ~30 min

  1. 01 Backup che funziona davvero: la regola 3-2-1 e la prova di ripristino La regola 3-2-1 e la prova di ripristino: il backup che ti salva.
  2. 02 Verifica in due passaggi: SMS, app o chiave fisica? Quale scegliere e perché La verifica in due passaggi tiene fuori chi ha rubato una password.
  3. 03 793 tentativi di accesso in 24 ore cercando di sfruttare vulnerabilità da 10 attaccanti diversi! Ogni server esposto viene provato di continuo.
  4. 04 Account dimenticati e password predefinite: così entrano in Microsoft 365 Gli account dimenticati sono la porta più comoda.

B. Come entra

Allegati, false fatture, conversazioni dirottate, programmi non aggiornati.

4 letture · ~25 min

  1. 01 Cosa succede se apri un allegato infetto: dietro le quinte L'allegato che scarica altri programmi in sottofondo.
  2. 02 Il vecchio… malware Emotet ora usato per intrufolarsi nelle TUE conversazioni email ora ruba i TUOI allegati infettandoli! Emotet: la porta d'ingresso venduta ai gruppi ransomware.
  3. 03 Falsa fattura via email o PEC: come riconoscere il sollecito di pagamento truffa La falsa PEC di sollecito con l'archivio ZIP.
  4. 04 Webmail Roundcube, una falla è già sfruttata: cosa fare se leggi la posta dal browser Programmi non aggiornati: la falla già sfruttata.

C. Casi reali

Studi professionali, multinazionali, un comune: cosa è successo e cosa insegna.

4 letture · ~20 min

  1. 01 42 milioni di dollari richiesti allo studio legale di Trump Doppia estorsione in uno studio legale, e il caso svizzero Xplain.
  2. 02 GARMIN colpita, richiesto riscatto da 10 milioni di dollari! Garmin: servizi fermi e un riscatto da 10 milioni.
  3. 03 Attacco a Canon riuscito con successo! Canon: anche una multinazionale si ferma.
  4. 04 Sardegna: cancellati tutti i dati del Comune di Guasila Un comune italiano senza più dati.

Domande frequenti sul ransomware

Cos'è un ransomware?

È un programma malevolo che cifra i file di computer e server, rendendoli illeggibili, e chiede un riscatto per sbloccarli. Oggi spesso i criminali copiano anche i dati prima di cifrarli e minacciano di pubblicarli: è la doppia estorsione.

Conviene pagare il riscatto?

L'UFCS lo sconsiglia: non c'è nessuna garanzia di riavere i dati o che quelli rubati non vengano pubblicati, e ogni pagamento finanzia nuovi attacchi. Se si valuta comunque di pagare, l'UFCS consiglia di parlarne prima con la polizia cantonale.

Cosa devo fare subito se vedo la richiesta di riscatto?

Scollega subito i computer colpiti dalla rete, cavo e Wi-Fi, senza spegnerli se puoi. Fotografa la richiesta di riscatto, chiama chi gestisce la tua informatica e non toccare i backup finché non sai che sono puliti. Poi denuncia e segnala l'attacco.

Il backup mi protegge dal ransomware?

Ti fa ripartire, se almeno una copia era scollegata o non modificabile e se il ripristino è stato provato. Non impedisce però la pubblicazione dei dati rubati: per questo servono anche le difese che tengono fuori l'attaccante, come la verifica in due passaggi e gli aggiornamenti.

Devo segnalare un attacco ransomware?

In Svizzera i gestori di infrastrutture critiche devono segnalarlo all'UFCS entro 24 ore; se sono coinvolti dati personali con un rischio elevato va avvisato l'IFPDT il prima possibile, e conviene sporgere denuncia alla polizia cantonale. In Italia i dati personali vanno notificati al Garante entro 72 ore e la denuncia va fatta alla Polizia Postale.

// per le PMI

Backup provato e piano di risposta per la tua azienda

Verifica dei backup e del ripristino, accessi esposti, verifica in due passaggi, un piano scritto per il giorno dell'attacco.

Richiedi una consulenza

// per famiglie

I 10 comandamenti per difenderti dagli hacker

Checklist PDF gratuita da stampare, te la mando via email. Niente gergo, pensata per genitori, nonni, ragazzi.

Ricevi il PDF