Accendi il PC e i documenti hanno un'estensione strana, non si aprono più, e sul desktop c'è un file che chiede un pagamento in criptovaluta per "riavere i tuoi dati". Oppure è il server a non rispondere, e dentro le cartelle condivise trovi solo file illeggibili. È un ransomware: un programma che cifra i dati e chiede un riscatto, spesso minacciando anche di pubblicare quello che ha copiato. In quel momento la tentazione è fare qualcosa, qualunque cosa: riavviare, cancellare, pagare. Questa guida ti dà invece una sequenza ordinata, divisa per tempi: i primi minuti, le prime ore, le comunicazioni da fare e la ripartenza. Stampala o salvala fuori dal computer: il giorno in cui serve, potresti non avere accesso ai tuoi file.
I primi 15 minuti: fermare il contagio
- Scollega dalla rete i computer colpiti. Togli il cavo di rete e disattiva il Wi-Fi. Il ransomware cerca di raggiungere altri PC, il server e il NAS: isolarlo subito limita i danni.
- Non spegnere e non formattare di tua iniziativa. Un computer acceso conserva tracce utili per capire da dove è entrato l'attacco. Fa eccezione il caso in cui vedi i file cifrarsi sotto i tuoi occhi e non riesci a isolare la macchina: lì decidi con il tecnico, anche al telefono, se spegnere.
- Avvisa tutti in ufficio. Nessuno deve aprire file dalle cartelle condivise, collegare chiavette o dischi di backup, o fare "prove". Se il problema riguarda il server, scollega anche quello dalla rete.
- Fotografa la richiesta di riscatto con il telefono: testo, indirizzi, eventuali codici. Servono per identificare il tipo di ransomware e per la denuncia.
- Non contattare i criminali e non cliccare sui link del messaggio.
- Chiama il tuo tecnico da un telefono, non dal computer colpito. Se pensi che la posta sia compromessa, non usarla per parlare dell'incidente.
Prendi nota dell'ora in cui ti sei accorto dell'attacco. Da quel momento partono alcuni termini di legge, come le 72 ore per l'eventuale notifica al Garante.
Le prime ore: capire quanto è grande il problema
Quando la situazione è isolata, serve una fotografia precisa. Con il tecnico cerca di rispondere a queste domande:
- Quali macchine sono colpite? Un solo PC, alcune postazioni, il server, il NAS, i dischi esterni collegati in quel momento.
- I backup sono integri? È la domanda più importante. Prima di collegare un disco di backup a qualsiasi computer, il tecnico deve essere sicuro che quel computer sia pulito, altrimenti il ransomware cifra anche l'ultima copia buona.
- Il cloud è stato toccato? Servizi di sincronizzazione come OneDrive, Google Drive o Dropbox possono copiare i file cifrati anche online. Quasi sempre però conservano versioni precedenti dei file o un cestino recuperabile per un certo periodo: va verificato subito, prima che scadano.
- Sono stati copiati dati? Molti gruppi criminali, prima di cifrare, portano via documenti per ricattare una seconda volta ("se non paghi, pubblichiamo"). Il messaggio di riscatto e i registri di firewall e server aiutano a capirlo.
- Da dove è entrato? Un allegato email, un desktop remoto raggiungibile da internet, una VPN non aggiornata, una password rubata. Finché la porta resta aperta, ripristinare serve a poco.
In questa fase cambia anche le password più importanti (posta, banca, gestionale in cloud, accessi da remoto), ma da un dispositivo sicuro, per esempio un telefono o un PC non collegato alla rete aziendale.
Chi avvisare: obblighi e segnalazioni consigliate
Un ransomware non è solo un guasto informatico: è un reato e, se tocca dati personali, una violazione da gestire secondo il GDPR.
| A chi | Quando | Perché |
|---|---|---|
| Garante per la protezione dei dati personali | Senza ingiustificato ritardo e, se possibile, entro 72 ore da quando te ne sei accorto | Obbligatorio se la violazione dei dati personali presenta un rischio per le persone (art. 33 GDPR) |
| Persone a cui si riferiscono i dati | Senza ingiustificato ritardo | Obbligatorio se il rischio per loro è elevato (art. 34 GDPR) |
| Polizia Postale e per la Sicurezza Cibernetica | Appena possibile | Denuncia del reato; utile anche per l'assicurazione |
| CSIRT Italia (ACN) | Entro 24 ore la pre-notifica, entro 72 ore la notifica, per i soggetti NIS | Obbligatorio per i soggetti NIS in caso di incidente significativo; volontario per gli altri |
| Assicurazione, banca, clienti e fornitori | Secondo il contratto e il buon senso | Copertura dei danni, blocco di pagamenti sospetti, avviso di possibili email truffa a tuo nome |
Garante privacy: le 72 ore
Il ransomware è quasi sempre una violazione dei dati personali: anche se nessuno li ha copiati, i dati non sono più disponibili. L'articolo 33 del GDPR chiede di notificare la violazione al Garante entro 72 ore da quando il titolare ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti delle persone. La notifica si fa con la procedura online sul sito del Garante; se non hai ancora tutte le informazioni, puoi inviarle in un secondo momento. Indipendentemente dalla notifica, ogni violazione va annotata in un registro interno, con fatti, conseguenze e rimedi adottati (art. 33, paragrafo 5). Se i dati coinvolti sono delicati, per esempio sanitari o relativi a minori, e il rischio per le persone è alto, vanno informate anche loro (art. 34). Per la valutazione coinvolgi il tuo consulente privacy o il responsabile della protezione dei dati, se ne hai uno.
Polizia Postale e CNAIPIC
Il reato si denuncia alla Polizia Postale e per la Sicurezza Cibernetica, presso un ufficio sul territorio. Sul portale ufficiale commissariatodips.it trovi la sezione per le segnalazioni online e le informazioni su come presentare la denuncia. Porta con te le foto del messaggio di riscatto, l'ora della scoperta e l'elenco dei sistemi colpiti. All'interno della Polizia Postale opera il CNAIPIC, il centro dedicato alla protezione delle infrastrutture critiche: se la tua organizzazione gestisce servizi di questo tipo, il canale di riferimento passa da lì.
CSIRT Italia
Il CSIRT Italia è la squadra di risposta agli incidenti dell'Agenzia per la Cybersicurezza Nazionale. Se la tua azienda è un soggetto NIS, gli incidenti significativi vanno notificati con tempi precisi: una pre-notifica entro 24 ore e una notifica entro 72 ore. Le aziende che non rientrano nella NIS possono comunque segnalare l'incidente in modo volontario, tramite i canali indicati sul sito del CSIRT Italia: è un contributo alla conoscenza delle minacce in circolazione. Per capire se sei soggetto NIS leggi la guida NIS2: a chi si applica.
Pagare il riscatto?
Forze dell'ordine e autorità per la sicurezza informatica sconsigliano di pagare, per motivi molto concreti:
- Non c'è nessuna garanzia. Lo strumento per decifrare può non arrivare, funzionare solo in parte o essere lentissimo su molti dati.
- I dati copiati restano a loro. Pagare non cancella i documenti che hanno già portato via.
- Chi paga diventa un cliente. Un'azienda che ha pagato una volta è un bersaglio interessante per un nuovo attacco.
- Finanzi altri attacchi, contro altre imprese come la tua.
Prima di qualsiasi decisione verifica se esiste uno strumento di decifratura gratuito: il progetto No More Ransom (nomoreransom.org), sostenuto da Europol e da forze di polizia di diversi paesi, raccoglie programmi gratuiti per molte famiglie di ransomware, soprattutto vecchie o con difetti noti. Non funziona sempre, ma è un controllo da fare.
Ripartire: l'ordine giusto
- Chiudere l'ingresso. Se l'attacco è passato da un desktop remoto esposto, da una VPN non aggiornata o da un account rubato, si chiude o si corregge prima di tutto il resto.
- Reinstallare, non "ripulire". Server e PC colpiti si reinstallano da zero. Togliere il ransomware con un antivirus non dà la certezza che non sia rimasta una porta nascosta.
- Ripristinare dai backup verificati, scegliendo una copia di prima dell'infezione. Gli attaccanti a volte restano nella rete per giorni prima di cifrare: la copia di ieri potrebbe già contenere il problema.
- Partire da ciò che ferma il lavoro. Prima gestionale, fatturazione e posta, poi gli archivi meno usati. Una lista di priorità decisa con il titolare evita di perdere ore sui dati sbagliati.
- Cambiare tutte le password, comprese quelle degli amministratori, dei servizi e degli apparati di rete.
- Tenere d'occhio i sistemi nei giorni successivi: accessi strani, nuovi utenti, traffico verso l'esterno.
I tempi dipendono quasi interamente dallo stato dei backup. Con copie recenti, integre e già provate si può tornare operativi in tempi brevi; senza backup utilizzabili la ripartenza può richiedere molto di più e alcuni dati potrebbero non tornare.
Dopo l'emergenza: perché non succeda di nuovo
Superata la crisi, scrivi due righe su com'è andata: da dove è entrato, cosa ha funzionato, cosa no. Poi intervieni sulle cause. Le misure di base (doppio controllo all'accesso, aggiornamenti, account separati, regole per le persone) sono descritte nella guida sulla sicurezza informatica per piccole aziende; il punto più importante, avere sempre una copia dei dati che il ransomware non può raggiungere, è spiegato nella guida al backup aziendale.
Prepararsi prima: la scheda d'emergenza di una pagina
Il modo migliore per affrontare un ransomware è averne già immaginato uno. Prepara una pagina, stampata e conservata anche fuori dall'ufficio, con:
- i numeri del tecnico informatico, del consulente privacy e dell'assicurazione;
- l'elenco dei sistemi in ordine di importanza e dove si trovano i backup;
- chi decide in azienda e chi parla con clienti e fornitori;
- i primi sei passi descritti all'inizio di questa guida;
- le credenziali di emergenza degli account principali, in busta chiusa o in un gestore di password accessibile da fuori.
Se ti serve aiuto
Se l'attacco è in corso, telefona o scrivi su WhatsApp a Faberweb al numero 0371 464 186, dal lunedì al venerdì, 9–13 e 15–18:30, oppure scrivi a info@faberweb.it. Ti aiutiamo a isolare i sistemi, a capire lo stato dei backup e a ripartire, lavorando da remoto quando è possibile e in sede entro circa 100 km da Lodi Vecchio. Per chi vuole prepararsi prima che succeda, verifichiamo i backup con prove di ripristino, chiudiamo gli accessi rischiosi e scriviamo insieme la scheda d'emergenza. Le nostre tariffe e i servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Avevo l'antivirus: perché non ha bloccato il ransomware?
Molti attacchi non arrivano con un file riconoscibile, ma con una password rubata o un accesso remoto lasciato aperto: chi entra così agisce come un utente legittimo e a volte disattiva le protezioni prima di cifrare. L'antivirus resta utile, ma da solo non basta; servono doppio controllo all'accesso, aggiornamenti e backup isolati.
Posso recuperare i file senza backup e senza pagare?
A volte sì. Si controlla se esiste uno strumento gratuito di decifratura su No More Ransom, se il cloud conserva versioni precedenti dei file, se Windows o il NAS hanno copie automatiche non cancellate. Non sempre si recupera tutto, e prima si interviene più possibilità ci sono.
Devo avvisare il Garante anche se nessun dato è stato rubato?
Anche la sola indisponibilità dei dati personali è una violazione. Va notificata entro 72 ore se presenta un rischio per le persone: per esempio se non puoi più accedere a dati di clienti o pazienti di cui hai bisogno. Se valuti che il rischio sia improbabile non c'è obbligo di notifica, ma la violazione va comunque annotata nel registro interno con le motivazioni.
Anche il NAS è stato cifrato: è perso tutto?
Non necessariamente. Molti NAS possono creare istantanee (snapshot) di sola lettura che un ransomware arrivato dalla rete non riesce a modificare: se erano attive, i dati si possono recuperare. Il NAS va scollegato subito dalla rete e analizzato prima di qualsiasi altra operazione.
L'assicurazione copre un attacco ransomware?
Dipende dalla polizza. Le coperture specifiche per i rischi informatici possono comprendere costi di ripristino, fermo attività e assistenza, ma spesso chiedono di avvisare la compagnia subito e di rispettare certe misure di sicurezza. Leggi le condizioni prima che serva e tieni il numero da chiamare nella scheda d'emergenza.