In breve: Un ransomware cifra i file di un'azienda e chiede un riscatto. Entra da email ingannevoli, password deboli, software non aggiornato e accessi remoti esposti. Le difese che contano sono backup separati e provati, aggiornamenti, autenticazione a due fattori, pochi privilegi e formazione. Se succede si isola, si chiama un tecnico e non si paga subito.
Un ransomware è un programma che cifra i file di un'azienda e chiede denaro per restituirli. Non colpisce solo i grandi gruppi. Le piccole e medie imprese sono bersagli frequenti perché hanno dati preziosi e difese più deboli.
Da dove entra
- Email con allegati o link ingannevoli (phishing). Una persona li apre e il programma parte.
- Password deboli o riutilizzate su accessi remoti, posta e pannelli di gestione.
- Software non aggiornato: un server, un gestionale o un sito con falle note.
- Accessi remoti esposti come desktop remoto aperto su internet senza protezioni.
- Fornitori e collaboratori con accessi troppo ampi.
Le difese che pesano di più
1. Backup separati e provati
È la difesa che decide se un attacco è un fastidio o un disastro. Le copie devono stare fuori dalla rete principale e almeno una non deve essere modificabile dai computer collegati. Prova il ripristino. Trovi il metodo in backup che servono davvero.
2. Aggiornamenti
Sistemi operativi, gestionali, router, siti e plugin vanno aggiornati con regolarità. Molte intrusioni usano falle già corrette da mesi.
3. Autenticazione a due fattori
Su posta e accessi remoti e pannelli di gestione. Una password rubata da sola non basta più per entrare.
4. Pochi privilegi
Ognuno accede solo a ciò che gli serve. L'amministratore del sistema non è l'account con cui si legge la posta.
5. Protezione dei computer
Un antivirus aggiornato con rilevamento del comportamento sospetto. Sui server uno strumento di controllo più avanzato.
6. Formazione breve e regolare
Mezz'ora ogni tanto per riconoscere un messaggio sospetto e per sapere a chi segnalarlo senza paura di essere rimproverati. Chi segnala subito fa risparmiare giorni.
7. Segmentazione della rete
Se un computer viene colpito l'attacco non dovrebbe arrivare ovunque. Separare i server importanti dal resto limita i danni.
Se i file risultano bloccati
- Isola. Scollega dalla rete (cavo e Wi-Fi) i computer colpiti. Non spegnere i server senza consiglio di un tecnico: la memoria può contenere informazioni utili.
- Non pagare subito e non rispondere agli attaccanti. Il pagamento non garantisce il recupero e alimenta il fenomeno.
- Chiama chi se ne occupa. Un tecnico o un fornitore di sicurezza.
- Verifica i backup e che non siano stati toccati.
- Cambia le password dopo aver isolato i sistemi e da un computer pulito.
- Valuta gli obblighi di legge. Se sono coinvolti dati personali c'è la notifica al Garante entro 72 ore. Per le organizzazioni soggette alla direttiva NIS 2 ci sono ulteriori notifiche.
- Presenta denuncia alla Polizia Postale.
Un controllo rapido da fare oggi
- L'ultimo backup è di quando e dove sta?
- Chi ha un accesso amministratore e serve ancora?
- La posta ha l'autenticazione a due fattori?
- Esistono computer o server con software che non si aggiorna più?
Approfondimenti: sito hackerato · password e autenticazione a due fattori · phishing aziendale · presidio e manutenzione
Domande frequenti
Come entra un ransomware in azienda?
Soprattutto tramite email con allegati o link ingannevoli, password deboli o riutilizzate, software non aggiornato con falle note, accessi remoti esposti e fornitori con accessi troppo ampi.
Cosa fare se i file sono bloccati?
Isolare dalla rete i computer colpiti, non rispondere agli attaccanti, chiamare un tecnico o un fornitore di sicurezza, verificare i backup, cambiare le password da un computer pulito e valutare le notifiche di legge.
Conviene pagare il riscatto?
Il pagamento non garantisce il recupero dei dati e alimenta il fenomeno. Prima si verificano i backup e si chiede aiuto a esperti.