Di ransomware si parla quasi sempre al futuro e in astratto: «bisognerebbe proteggersi». Molto meno spesso si racconta cosa succede concretamente dentro un’azienda nelle ore in cui l’attacco si manifesta — quali cose si rompono, in che ordine, e quali decisioni prese in fretta determinano se ne uscite in tre giorni o in tre settimane.
Quella che segue è una ricostruzione realistica in un’azienda tipo: quaranta postazioni, un paio di server in sede, gestionale interno, posta su Microsoft 365. Le dinamiche sono quelle che si osservano più spesso; i dettagli sono un composito, non un cliente specifico.
Giorno meno venti: l’attacco è già cominciato
Il punto che sorprende chi non ci è passato è questo: quando i file si cifrano, l’attacco è nella sua fase finale, non iniziale. Fra il primo accesso e la cifratura passano tipicamente settimane.
In quelle settimane chi è entrato fa cose silenziose: guarda come è fatta la rete, cerca le credenziali degli amministratori, individua dove stanno i backup, capisce quali server contano davvero. Nessuna di queste attività fa rumore, e nessuna fa scattare un antivirus tradizionale, perché spesso vengono usati strumenti legittimi di amministrazione — gli stessi che usa il vostro tecnico.
È questa la ragione per cui un EDR vede cose che un antivirus non vede: non cerca file riconosciuti come cattivi, osserva comportamenti anomali. Un account che alle 3 di notte inizia a leggere sistematicamente tutte le cartelle condivise è anomalo, anche se ogni singola azione è lecita.
Ora zero, di solito venerdì sera
La cifratura parte quasi sempre quando in azienda non c’è nessuno: venerdì sera, la vigilia di un ponte, ferragosto. Non è superstizione, è calcolo: più ore passano prima che qualcuno se ne accorga, più il danno è completo e meno margine avete.
In poche ore diventano illeggibili i file sulle condivisioni di rete, i database del gestionale, spesso le macchine virtuali intere. Se i backup sono raggiungibili dalla stessa rete con le stesse credenziali — ed è il caso più comune — vengono cifrati anche quelli. È il singolo fattore che più di ogni altro decide la gravità dell’incidente.
Ora 8: qualcuno arriva in ufficio
La scoperta è quasi sempre banale: il primo che accende il computer trova i file con estensioni strane e un messaggio di riscatto. Da qui in poi contano tre decisioni, e vanno prese in fretta.
- Isolare, non spegnere. Staccare la rete impedisce che la cifratura prosegua. Spegnere brutalmente i server, invece, può distruggere informazioni utili a capire cosa è successo — e in certi casi peggiora il danno ai dati.
- Non toccare nulla in più. L’istinto è provare a sistemare qualcosa. È il momento sbagliato: ogni azione non tracciata rende più difficile ricostruire la catena e capire se l’intruso è ancora dentro.
- Chiamare chi sa cosa fare. Se avete un contratto di assistenza con reperibilità, è adesso che serve. Se non ce l’avete, scoprite che trovare qualcuno competente un sabato mattina è complicato e caro.
Ore 8-24: capire l’estensione del danno
La prima giornata non si passa a ripristinare. Si passa a rispondere a tre domande, in quest’ordine: fino a dove è arrivata la cifratura, l’attaccante ha ancora accesso, e cosa è utilizzabile dei backup.
La terza domanda è quella decisiva. Le situazioni possibili sono sostanzialmente tre.
| Situazione dei backup | Cosa comporta |
|---|---|
| Copie immutabili fuori dalla rete aziendale | Si riparte dall’ultima copia sana. Il problema diventa organizzativo e di tempo, non esistenziale. |
| Backup su NAS raggiungibile dalla rete | Spesso cifrati anche quelli. Si cerca qualcosa di più vecchio, su nastro o su un disco scollegato, se esiste. |
| Backup solo su disco collegato al server | Persi con tutto il resto. È lo scenario in cui si comincia a parlare di riscatto. |
Vale la pena essere espliciti: pagare il riscatto non è una strategia di ripristino. Non c’è garanzia che la chiave arrivi, non c’è garanzia che funzioni su tutto, e non risolve il fatto che qualcuno ha avuto accesso completo ai vostri dati — che nel frattempo potrebbero essere stati copiati fuori.
Ore 24-48: il lavoro vero
Se i backup ci sono, la seconda giornata è quella del ripristino. Ed è dove si scopre una cosa che quasi nessuno ha mai misurato: quanto tempo ci vuole davvero.
Non è il tempo di copiare i dati. È il tempo di rimettere in piedi i server nell’ordine giusto — prima i controller di dominio, poi i database, poi gli applicativi, poi le postazioni — verificando a ogni passo di non reintrodurre il problema. Su un’infrastruttura mai testata in questo scenario, si misura in giorni.
Nel frattempo l’azienda deve continuare a funzionare in qualche modo: bolle scritte a mano, ordini presi al telefono, produzione che va avanti a memoria. È la parte che nessun piano tecnico copre e che pesa più di tutte sul risultato economico dell’incidente.
Cosa distingue le aziende che ne escono in fretta
Guardando gli incidenti che finiscono bene, tre elementi ricorrono. Nessuno dei tre è costoso in assoluto; tutti e tre richiedono di essere stati messi in piedi prima.
- Backup irraggiungibili dalla rete aziendale. Copie immutabili, con credenziali diverse da quelle di dominio. È la differenza fra un problema serio e una catastrofe. Ne parliamo in dettaglio nella pagina su Cove Data Protection.
- MFA su tutti gli account, non solo sugli amministratori. Una parte enorme degli accessi iniziali passa da credenziali rubate. L’autenticazione a più fattori chiude quella porta a costo quasi zero — ne abbiamo scritto parlando di Microsoft 365 senza MFA.
- Qualcuno che guarda gli avvisi. Le settimane di preparazione lasciano tracce. Un monitoraggio attivo e un presidio di sicurezza esistono per intercettarle mentre l’attacco è ancora reversibile.
La domanda utile da farsi oggi
Non «siamo protetti?», che è una domanda a cui tutti rispondono di sì. Piuttosto: se i nostri file venissero cifrati stanotte, da dove ripartiremmo domani mattina, e quanto tempo ci vorrebbe?
Se non sapete rispondere con un numero, è quella la prima cosa da sistemare — prima di comprare qualunque prodotto nuovo. Un assessment gratuito serve esattamente a questo: guardare com’è messa l’infrastruttura oggi e mettere in fila i rischi per gravità reale, non per quanto fanno paura.