Il ransomware è un software che rende inaccessibili i dati di un computer o di una rete, cifrandoli. Per ottenere la chiave di decifratura, gli attaccanti chiedono un riscatto, di solito in criptovaluta e con una scadenza stretta per creare pressione. Pagare, però, non garantisce il recupero dei dati, e incoraggia chi ha colpito a continuare.
Come si sviluppa un attacco
In molti casi l’attacco inizia con una mossa semplice: un messaggio di phishing, una password debole o un servizio esposto e non aggiornato. Una volta dentro, l’attaccante si muove con calma per settimane, cerca i sistemi più importanti e copia dati prima di cifrare, così da poter minacciare anche la pubblicazione. Il momento della cifratura è l’ultimo passo, ed è quello che si vede.
Come difendersi
- Backup regolari e separati dalla rete, verificati con prove di ripristino. Un backup collegato al sistema viene cifrato insieme ai dati.
- Aggiornamenti tempestivi di sistemi e applicazioni, soprattutto quelli rivolti a internet.
- Accesso con privilegi minimi: nessun utente dovrebbe avere più permessi di quelli che usa davvero.
- Verifica in due passaggi per le utenze amministrative e per l’accesso remoto.
- Formazione del personale sul phishing, il primo accesso più comune.
Se succede
Isola subito i sistemi coinvolti, senza spegnerli se la procedura prevede di conservare le prove. Non pagare e non contattare il gruppo criminale senza una valutazione con esperti. Avvisa il responsabile informatico, conserva le tracce e segnala l’incidente. In Italia il riferimento è il CSIRT Italia, che riceve le segnalazioni e può offrire indicazioni.
Un messaggio per tutti
Il ransomware non colpisce solo le grandi aziende: colpisce anche studi professionali, piccole imprese e privati. La difesa più economica è la combinazione di backup, aggiornamenti e attenzione alle email sospette. Chi ha copie dei dati recuperabili e un piano chiaro su cosa fare subisce un danno molto minore.