Lunedì mattina i file hanno estensioni strane, sui desktop compare un messaggio con una richiesta di riscatto, il gestionale non si apre. Le prime ore dopo un attacco ransomware sono decisive: quello che fai — e quello che eviti di fare — determina quanto durerà il fermo.
1. Isola, ma non spegnere tutto
Scollega dalla rete le macchine colpite (cavo di rete, Wi-Fi) per fermare la propagazione. Se possibile non spegnerle: la memoria contiene informazioni utili per capire come è entrato l'attacco. Disconnetti anche i dischi di backup collegati e sospendi le sincronizzazioni cloud.
2. Chiama subito chi gestisce la sicurezza
Ogni minuto conta. Il tuo fornitore di sicurezza deve verificare l'estensione dell'attacco, identificare il punto di ingresso e mettere in sicurezza ciò che non è stato ancora colpito. Se hai un servizio gestito con monitoraggio continuo, spesso l'allarme è già scattato.
3. Non pagare d'impulso
Pagare non garantisce di riavere i dati, finanzia i criminali e ti segnala come bersaglio disposto a pagare. La decisione, se mai, va presa a mente fredda dopo aver verificato lo stato dei backup.
4. Verifica i backup prima di ripristinare
Il ripristino va fatto da una copia pulita e precedente all'infezione, dopo aver eliminato la causa. Qui si vede la differenza tra un backup qualsiasi e un backup immutabile e verificato: i ransomware moderni cercano di cifrare o cancellare anche le copie di sicurezza.
5. Rispetta gli obblighi di notifica
- Se sono coinvolti dati personali, il GDPR prevede la notifica al Garante per la protezione dei dati personali entro 72 ore da quando si viene a conoscenza della violazione, salvo che sia improbabile un rischio per le persone.
- Se la tua azienda è un soggetto NIS2, l'incidente significativo va pre-notificato al CSIRT Italia entro 24 ore e notificato entro 72 ore.
- È opportuno sporgere denuncia alla Polizia Postale.
6. Dopo: capire e chiudere la porta
Come sono entrati? Una password rubata, un accesso remoto esposto, un'email di phishing, una vulnerabilità non aggiornata. Finché la causa non è chiusa, l'attacco può ripetersi.
Prepararsi prima costa meno
Backup immutabili e testati, protezione EDR sugli endpoint, MFA sugli accessi e un piano di risposta scritto trasformano un disastro di settimane in un fermo di ore. È il lavoro che conviene fare prima.