Ransomware in azienda: cosa fare nelle prime 24 ore

Sono le 9 di mattina. Il tuo commercialista apre un'email con un PDF dall'apparenza normale, ma il computer si blocca. Sul monitor compare un messaggio: "Tutti i vostri file sono crittografati." Sullo schermo, un conto Bitcoin e un countdown di 72 ore.

Il panico è la reazione più umana, ma anche la più pericolosa. Le decisioni che prendi nelle prime 24 ore determinano se riuscirai a recuperare i dati, se potrai denunciare, e se la tua azienda ripartirà in giorni o in mesi.

Questo articolo è un runbook di risposta: una sequenza di azioni concrete, dalla scoperta dell'attacco alla comunicazione con clienti e fornitori. Non parliamo di prevenzione — quella è già stata trattata nella guida al backup come difesa dal ransomware. Qui si parla di reazione, passo dopo passo.

Fase 1 — I primi 10 minuti: isolare senza distruggere

Quando scopri l'attacco, il tuo istinto è spegnere tutto. Resisti. Un arresto forzato può cancellare la memoria volatile del sistema — e con essa le prove indispensabili per capire come il ransomware è entrato.

Cosa fare subito

1. Stacca il cavo di rete dell'host infetto. Non spegnere il computer: scollega fisicamente il cavo Ethernet o disattiva il Wi-Fi. Questo impedisce al ransomware di crittografare ulteriori file su unità di rete condivise (NAS, server, cloud drive montati).
2. Fotografa lo schermo. Il messaggio di riscatto contiene dettagli utili: la variante di ransomware (il nome compare spesso nella nota), l'indirizzo di pagamento, l'ID univoco dell'infezione. Potranno servire a un analista forense per verificare se esiste un decrypter pubblico.
3. Contatta subito un professionista IT — non il "cugino bravo col PC", ma un consulente informatico che ha già gestito incidenti. In Ticino puoi contattare servizi come assistenza IT a Mendrisio o assistenza IT a Chiasso. Il tempo speso a cercare "un amico che ne capisce" è tempo perso.
4. Non pagare. Lo sappiamo, la tentazione è fortissima. Ma pagare il riscatto non garantisce la restituzione dei dati. Secondo i report di cybersecurity, solo il 60% circa delle vittime che paga recupera effettivamente i file. E anche in quel caso, l'attaccante sa che paghi — e tornerà.

Cosa NON fare

• Non spegnere il computer. Come detto, la memoria volatile (RAM) contiene tracce dell'esecuzione del malware. Un'analisi forense professionale può estrarre informazioni preziose se la macchina resta accesa.
• Non navigare nel sistema per "vedere cosa è successo". Ogni click apre o sposta file, alterando i timestamp e distruggendo potenziali prove forensi.
• Non connettere chiavette USB o dischi esterni per fare un salvataggio disperato. Se il ransomware è ancora attivo nella memoria, li crittograferà appena montati.

Fase 2 — Entro 1 ora: preservare le prove

Una volta isolato l'host infetto, devi capire cosa è successo. Se hai un consulente IT, sarà lui a guidare questa fase. Se sei da solo, procedi con ordine.

Preserva i log

Se hai un firewall aziendale o un server di logging, esporta subito:

• Log del firewall — connessioni in uscita anomale nelle ore precedenti l'attacco
• Log del server email — per identificare l'email infetta (mittente, oggetto, allegato)
• Log del controller Active Directory o del sistema di accesso — per capire quali utenti erano attivi al momento del compromesso

Identifica la variante

La nota di riscatto di solito indica il nome del ransomware (LockBit, BlackCat, Akira, ecc.). Se non compare, cerca l'estensione dei file crittografati (es. .lockbit, .akira, .encrypted). Questa informazione è fondamentale per due motivi:

1. Determina se esiste un decrypter pubblico (siti come NoMoreRansom rilasciano strumenti gratuiti per alcune varianti)
2. Aiuta le autorità a tracciare il gruppo criminale

Verifica lo stato dei backup

Questo è il passaggio più critico. Senza toccare i tuoi backup — in questo momento non ti fidi di niente — accerta se esistono copie integre e non compromesse. Controlla:

• Backup offsite immutabili (se hai seguito l'architettura descritta nella guida al backup immutabile, questa è la tua salvezza)
• Backup su cloud — verifica che le credenziali non siano state rubate e che le snapshot più vecchie siano ancora intatte
• Supporti fisici rimovibili — dischi USB, nastri, dischi ottici conservati fuori sede

Se il backup è su un NAS che era montato in rete al momento dell'attacco, presumi che sia compromesso. Non cancellarlo: tienilo isolato per l'analisi forense, ma non usarlo per il ripristino.

Fase 3 — Entro 4 ore: valutare obblighi legali e notifiche

Il ransomware non è solo un problema tecnico: in Svizzera e in Europa, è anche una questione legale.

Obblighi di notifica in Svizzera

La legge svizzera sulla protezione dei dati (nLPD) impone di notificare l'incidente al PFPDT (Prefederato federale per la protezione dei dati e la trasparenza) quando l'attacco comporta un rischio elevato per i diritti e la personalità delle persone coinvolte. In pratica:

• Se sono stati esposti dati personali di clienti, dipendenti o fornitori → dovete notificare
• Se si tratta solo di dati aziendali interni senza dati personali → potresti non essere obbligato, ma è comunque consigliabile segnalarlo

Notifica obbligatoria anche ai clienti e partner se i loro dati sono coinvolti. Il tempismo conta: ritardare la comunicazione può peggiorare la situazione legale.

Denuncia penale

In Ticino, la denuncia va presentata alla Polizia cantonale o al Ministero pubblico. Porta con te:

• Screenshot del messaggio di riscatto
• Log esportati
• Elenco dei file crittografati
• Eventuale report dell'analisi forense

Conserva l'host infetto come prova fisica. Non ripristinarlo finché le autorità non danno il via libera.

Quando coinvolgere un avvocato

In caso di furto di dati sensibili (dati sanitari, finanziari, categorie particolari), è prudente coinvolgere un legale specializzato in privacy e cybersecurity già in questa fase, per gestire correttamente la comunicazione e gli adempimenti.

Fase 4 — Entro 12-24 ore: verificare i backup e pianificare il ripristino

Con le prove al sicuro e le prime notifiche fatte, puoi iniziare a guardare al ripristino.

Verifica dei backup

Prima di ripristinare qualsiasi dato, devi essere certo che il backup sia pulito:

1. Monta il backup in isolamento — usa un computer dedicato, non connesso alla rete aziendale
2. Esegui una scansione antivirus su un campione rappresentativo dei file
3. Controlla i timestamp — se noti modifiche nelle 24-48 ore precedenti l'attacco, il backup potrebbe essere compromesso
4. Verifica l'integrità — confronta checksum o prova ad aprire file campione in modo casuale

Solo se queste verifiche passano, puoi considerare il backup affidabile per il ripristino.

Pianificazione

Se hai backup integri, il ripristino segue questa priorità:

1. Sistemi critici — server di posta, ERP, database dei clienti
2. Postazioni di lavoro — amministrazione, commerciale, direzione
3. Sistemi secondari — archivi, postazioni condivise

Se non hai backup integri, la situazione è drammaticamente diversa. A questo punto le opzioni sono:

• Negoziazione professionale — affidata a un mediator specializzato (non farlo da solo)
• Decrypter pubblico — cerca su NoMoreRansom o consulta un'analista forense
• Riparazione dati parziale — alcuni studi forensi riescono a recuperare file da snapshot cancellati o da volumi non sovrascritti

Fase 5 — Entro 24 ore: comunicare

Una comunicazione sbagliata può fare più danni del ransomware stesso. Ecco come gestirla.

Verso l'interno (dipendenti)

• Comunica i fatti, senza allarmismo: "Stiamo gestendo un incidente informatico, i sistemi sono offline in via precauzionale, stiamo lavorando al ripristino."
• Non dare colpe individuali nella fase calda. Il dipendente che ha aperto l'email è già sotto pressione; la valutazione delle responsabilità viene dopo.
• Fornisci istruzioni chiare su cosa fare e non fare (es. non accedere a determinati sistemi, non usare chiavette USB).

Verso l'esterno (clienti e fornitori)

• Sii trasparente ma controllato. Non minimizzare ("È solo un problema tecnico") ma nemmeno drammatizzare ("Abbiamo perso tutto").
• Comunica per canali ufficiali (email, comunicato sul sito) solo quando hai un quadro chiaro della situazione.
• Se i dati di clienti sono coinvolti, informali tempestivamente con una nota chiara su cosa è successo, quali dati sono stati esposti, e cosa stai facendo per rimediare.

Verso stampa e social

• Designa un unico portavoce. Messaggi contraddittori da persone diverse alimentano la sfiducia.
• Prepara un comunicato base anche se non intendi diffonderlo subito — avere una bozza pronta ti evita di improvvisare sotto pressione.

FAQ

Se ho un backup, posso stare tranquillo?

Dipende dal tipo di backup. Se hai una copia immutabile/offline verificata di recente, sì. Se il backup era montato in rete, potrebbe essere compromesso anche lui. L'unico modo per saperlo è verificare come descritto nella fase 4.

Quanto tempo ci vuole per ripartire?

Con backup integri e un piano di ripristino chiaro: da 2 a 5 giorni lavorativi. Senza backup: da 2 settimane a mai. La differenza la fa la preparazione.

Devo pagare il riscatto?

Le forze dell'ordine sconsigliano di pagare. Pagare finanzia il crimine organizzato e non garantisce il recupero dei dati. In alcuni casi, gruppi ransomware hanno comunque pubblicato i dati dopo il pagamento. Affidati a un mediatore professionale se la valutazione dei rischi porta a considerare questa strada.

Posso usare lo stesso computer dopo il ripristino?

Solo dopo una reinstallazione completa del sistema operativo da supporto pulito. Non basta cancellare il malware: il sistema potrebbe avere backdoor che permettono un nuovo accesso al criminale.

La polizia può aiutarmi a recuperare i dati?

Indirettamente sì: analizzando il codice possono identificare la variante e verificare se esistono decrypter pubblici. Inoltre la denuncia aiuta a tracciare i flussi di pagamento e contribuisce alle indagini contro i gruppi criminali.

Che copertura ho con l'assicurazione?

Alcune polizze assicurative per PMI coprono i danni da ransomware (cyber insurance). Verifica la tua polizza: spesso includono supporto legale, negoziazione e copertura dei costi di ripristino. Se non l'hai ancora fatto, è un investimento da valutare con il tuo consulente.

Conclusione

Un attacco ransomware non si previene quando è già in corso. Le prime 24 ore servono a limitare i danni, preservare le prove e preparare il ripristino — non a fare miracoli.

La differenza fra un'azienda che riparte in tre giorni e una che chiude i battenti è tutta qui: avere un processo chiaro di risposta, sapere chi chiamare, e avere backup verificati pronti al ripristino.

Se non hai ancora un piano di risposta agli incidenti o vuoi verificare che i tuoi backup siano davvero affidabili, puoi richiedere una valutazione iniziale della situazione informatica della tua PMI, senza impegno.

Fonti: National Cyber Security Centre (NCSC), NoMoreRansom Project, Swiss Federal Data Protection and Information Commissioner (FDPIC), reports annuali di Mitre ATT&CK e SANS Institute sulla risposta agli incidenti ransomware.