Ransomware: backup scollegato, prime ore e prova di ripristino
Un ransomware non è un virus ma un’estorsione, e la differenza tra un brutto lunedì e un’azienda ferma per settimane la fa quasi sempre il backup. Questa guida spiega quale copia regge, che cosa fare nelle prime ore, quali notifiche scattano e come provare il ripristino.
Indice della guida
Il ransomware non è un virus qualunque: è un’estorsione. Gli attaccanti cifrano i dati, o li rendono inaccessibili, e chiedono un riscatto per restituirli. Spesso, prima di cifrare, copiano anche i dati e minacciano di diffonderli. Le vie d’ingresso sono quelle descritte nella guida per le PMI: falle non corrette, account rubati, fornitori, persone ingannate. Questa guida riguarda ciò che succede dopo, e soprattutto ciò che conviene aver preparato prima.
Il backup che serve davvero
La guida #StopRansomware della CISA, l’agenzia statunitense per la sicurezza informatica, dice tre cose semplici: mantenere backup offline e cifrati dei dati critici; fare backup spesso, offline o da cloud a cloud; verificare con regolarità disponibilità e integrità delle copie. Il motivo è nel testo: molte varianti di ransomware cercano le copie raggiungibili per cancellarle o cifrarle.
Una regola molto diffusa è la 3-2-1: tre copie, su due supporti diversi, una fuori sede. Oggi va completata con un criterio in più: almeno una copia non deve essere raggiungibile dalla rete aziendale con le credenziali usate ogni giorno. Come si comportano le soluzioni più comuni:
| Tipo di copia | Regge al ransomware? | Attenzione |
|---|---|---|
| NAS o disco di rete sempre collegato, con le credenziali del dominio | Di solito no | Chi controlla un account del dominio può cifrarlo o cancellarlo |
| Disco USB lasciato collegato | No | Per il sistema è una cartella come le altre |
| Cartella cloud sincronizzata | Dipende | La sincronizzazione replica anche i file cifrati: servono versioni precedenti e tempi di conservazione |
| Backup cloud con versioni, blocco della cancellazione e credenziali separate | Più resistente | Va configurato e provato; l’accesso di gestione richiede la verifica a più fattori |
| Copia offline (disco scollegato, nastro) tenuta fuori sede | Sì | Più lenta da aggiornare e da ripristinare; va provata |
Il criterio dei testimoni vale per qualsiasi prodotto, anche immutabile: chiedi sempre da quale rete e con quali credenziali si raggiunge la copia, e che cosa succede se quelle credenziali vengono rubate.
La prova di ripristino
Un backup si conosce solo quando si ripristina. Una prova ben fatta richiede un pomeriggio:
- Scegli un sistema critico, come il gestionale, il file server o la posta.
- Ripristinalo su una macchina di prova isolata, senza toccare la produzione.
- Misura quanto ci metti e quanti dati perdi rispetto al momento dell’incidente. Sono due numeri da confrontare con quanto l’azienda può tollerare.
- Controlla che i dati siano integri e utilizzabili: apri file, esegui un’operazione, fai accedere un utente.
- Annota chi ha eseguito il ripristino, con quali credenziali, e dove sono conservate le istruzioni e le chiavi di cifratura dei backup. Se perdi la chiave, perdi la copia.
- Ripeti la prova almeno una volta all’anno e dopo ogni cambiamento importante.
Un elenco dei sistemi critici con l’ordine di ripristino ti evita di decidere sotto pressione. In genere si parte da ciò da cui dipende il resto, come identità e rete, e poi si passa ai sistemi che permettono di lavorare e di fatturare. Si ricostruisce in un ambiente pulito, non sopra quello compromesso: la CISA avverte di non reinfettare i sistemi già puliti.
Le prime ore
La CISA indica di muoversi in sequenza: rilevamento e analisi, segnalazione e notifica, contenimento ed eradicazione. Tradotto per un’azienda:
| Quando | Che cosa fare | Perché |
|---|---|---|
| Primi minuti | Scollega dalla rete i dispositivi colpiti: cavo, Wi‑Fi, VPN. Non spegnerli se puoi scollegarli. Avvisa chi guida la risposta per telefono, non per posta aziendale | Ferma la propagazione, conserva le tracce nella memoria dei dispositivi e non allerta gli attaccanti, che potrebbero leggere la posta |
| Prima ora | Capisci che cosa è colpito: sistemi, utenti, dati. Isola per primi i sistemi critici; se i sistemi coinvolti sono molti, la CISA indica di staccare la rete a livello di switch. Fotografa il messaggio di riscatto e annota ora e fonte | Serve a decidere priorità e notifiche |
| Prime ore | Chiama gli esperti: consulente forense, fornitore IT, assicuratore se hai una polizza. Informa la direzione. Verifica i backup senza collegarli a reti non bonificate | Evita di cifrare anche l’unica copia pulita |
| Entro 24 ore | Valuta con legale e referente privacy le notifiche (tabella più sotto) e se sporgere denuncia alla Polizia Postale o ad altra forza dell’ordine | Alcune scadenze partono dal momento in cui ne vieni a conoscenza |
| Giorni successivi | Bonifica, ripristino da backup pulito, cambio di tutte le credenziali, controllo degli accessi e monitoraggio | Se resta un accesso dell’attaccante, tutto si ripete |
Prima di cancellare e reinstallare, conserva una copia forense dei sistemi colpiti, con l’aiuto di specialisti: serve a capire come sono entrati, per l’assicurazione e per un’eventuale denuncia. La CISA indica anche di conservare le prove volatili e di valutare con le forze dell’ordine l’esistenza di strumenti di decifratura. Sul secondo punto esiste un aiuto pubblico: il progetto No More Ransom, nato nel 2016 per iniziativa della polizia olandese, di Europol e di aziende di sicurezza, raccoglie strumenti gratuiti per alcune famiglie di ransomware.
Che cosa evitare nelle prime ore:
- Spegnere, formattare o reinstallare tutto di corsa: distrugge prove.
- Coordinarsi con la posta aziendale se potrebbe essere compromessa.
- Collegare i backup a una rete non ancora bonificata.
- Contattare gli attaccanti da soli, dai dispositivi aziendali, prima di aver sentito esperti e legale.
- Cancellare i registri degli eventi (i log) o «ripulire» i sistemi.
- Dire in pubblico quale sia la causa prima di averla verificata.
Le notifiche
| Obbligo | Chi | Termine | A chi |
|---|---|---|---|
| NIS2: preallerta | Soggetti essenziali e importanti, per incidenti significativi | Entro 24 ore da quando ne vengono a conoscenza | CSIRT Italia |
| NIS2: notifica dell’incidente | Gli stessi | Entro 72 ore | CSIRT Italia |
| NIS2: relazione finale | Gli stessi | Entro un mese dalla notifica; se l’incidente è ancora in corso, una relazione sullo stato e poi quella finale | CSIRT Italia |
| GDPR: violazione di dati personali | Titolare del trattamento, salvo sia improbabile un rischio per le persone | Senza ingiustificato ritardo e, ove possibile, entro 72 ore | Garante per la protezione dei dati personali |
| GDPR: comunicazione alle persone | Titolare, se il rischio è elevato | Senza ingiustificato ritardo | Persone coinvolte |
I due regimi sono indipendenti e possono scattare insieme. In ogni caso il GDPR chiede di documentare tutte le violazioni, anche quelle che non vengono notificate, con cause, conseguenze e misure adottate (art. 33, par. 5). Questa parte è informativa e non è consulenza legale: per decidere se un incidente è «significativo» o se c’è un rischio per le persone serve una valutazione caso per caso.
Pagare o non pagare
Non esiste una risposta valida per tutti, e questa guida non la dà. Ecco gli elementi su cui si basa una decisione responsabile:
- Che cosa dicono i dati. Secondo le sintesi del rapporto Verizon 2026, il 69% delle organizzazioni colpite non ha pagato, e il riscatto mediano è sceso da circa 150.000 a circa 140.000 dollari. La guida della CISA non dà indicazioni su se pagare. Europol invita le vittime a non pagare e a denunciare.
- Che cosa non è garantito. Il pagamento non assicura che la chiave funzioni, che il ripristino sia completo né che i dati copiati vengano cancellati.
- Che cosa hai già. Con un backup pulito e provato, il riscatto serve al massimo a scongiurare la diffusione dei dati. Senza backup, prima di decidere controlla con gli esperti se esiste uno strumento di decifratura.
- Che cosa dice la legge. Un pagamento può avere conseguenze, per esempio se i destinatari sono soggetti a sanzioni internazionali, e la tua polizza può richiedere un preavviso all’assicuratore. Serve un parere legale prima.
- Chi decide. È una scelta della direzione, presa con legale ed esperti e messa per iscritto.
Domande frequenti
Un backup nel cloud mi protegge dal ransomware?
Dipende da come è configurato. Una cartella sincronizzata replica anche i file cifrati. Serve un backup con versioni precedenti, blocco della cancellazione e credenziali separate, con accesso di gestione protetto dalla verifica a più fattori. E va provato.
Basta l’antivirus?
È uno strato utile ma non sostituisce backup provati, aggiornamenti e accessi protetti. L’antivirus può non vedere un attacco che usa account validi o strumenti legittimi.
Devo spegnere subito i computer colpiti?
Se puoi scollegarli dalla rete, scollegali e lasciali accesi: la CISA indica lo spegnimento solo come ultima risorsa, quando non si riesce a scollegarli, perché cancella le prove volatili.
Posso decifrare i file senza pagare?
A volte. Per alcune famiglie di ransomware esistono strumenti gratuiti, e il progetto No More Ransom permette di verificarlo caricando un file cifrato e il messaggio di riscatto. Se la chiave non è recuperabile, l’unica strada è un backup.
Chi devo avvisare per primo?
Prima di tutto chi guida la risposta tecnica e la direzione, per telefono. Poi, con il legale, le notifiche che ti riguardano: CSIRT Italia se sei nel perimetro NIS2, Garante per la protezione dei dati personali se sono coinvolti dati personali.
Fonti
- CISA, #StopRansomware Guide
- Verizon, Vulnerability exploitation top breach entry point, 2026 industry-wide DBIR finds (19 maggio 2026)
- Positive Technologies, Verizon DBIR 2026: exploitation of vulnerabilities becomes the leading initial access vector (26 maggio 2026)
- Direttiva (UE) 2022/2555 (NIS2), art. 23
- Regolamento (UE) 2016/679 (GDPR), artt. 33 e 34
- No More Ransom
- BleepingComputer, No More Ransom helps millions of ransomware victims in 6 years (26 luglio 2022)
- Decreto legislativo 4 settembre 2024, n. 138.
- Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.
Continua con queste guide
Sicurezza informatica per le PMI: mappa del rischio e dodici misure che contano
Una PMI non ha un reparto di sicurezza ma ha gli stessi problemi di una grande: accessi, aggiornamenti, backup, fornitori, persone. Questa guida parte dai dati 2026, disegna la mappa del rischio e indica dodici misure con il modo di verificarle in meno di un’ora.
Perquisizione e sequestro informatico: come prepararsi e che cosa non fare
Una perquisizione o un sequestro informatico possono colpire anche chi non è indagato. Questa guida spiega che cosa prevede il codice, come preparare l’azienda in modo lecito, che cosa non fare mai e come controllare l’integrità delle prove digitali. È informativa e non è consulenza legale.
Phishing oggi: furto di sessione, MFA che non basta e passkey
I vecchi consigli, controllare gli errori e non cliccare, non bastano più. Questa guida spiega come si ruba una sessione anche con l’autenticazione a più fattori attiva, quali metodi resistono davvero e che cosa fare nei primi minuti dopo un clic sbagliato.