Alle 7:18 di un lunedì, gli utenti di un’azienda manifatturiera non riescono più ad aprire i documenti condivisi, il gestionale rallenta fino a fermarsi e sui server compare una richiesta di riscatto. Questo caso reale ripristino dati ransomware, qui raccontato in forma anonimizzata, mostra perché il recupero non dipende soltanto dall’avere una copia dei file: dipende dalla capacità di prendere decisioni corrette nelle prime ore, isolare il danno e ripartire senza riportare l’attaccante dentro l’infrastruttura.

L’impresa coinvolta conta circa 40 dipendenti, utilizza un gestionale con database locale, file server per ufficio tecnico e amministrazione, posta in cloud e alcune postazioni remote collegate in VPN. Un contesto comune in molte PMI: tecnologie diverse, processi operativi strettamente legati ai dati e poco margine per lavorare a lungo in modalità manuale.

Il caso reale di ripristino dati ransomware

L’attacco non ha avuto origine da un server esposto direttamente su Internet. L’accesso iniziale è avvenuto tramite le credenziali di un account aziendale compromesso, probabilmente dopo una campagna di phishing. Nei giorni precedenti erano comparsi accessi anomali fuori orario, ma non avevano generato un blocco operativo immediato. L’aggressore ha sfruttato quel tempo per esplorare la rete, ottenere privilegi più elevati e individuare le risorse con maggior valore operativo.

Nella notte tra domenica e lunedì sono stati cifrati i file condivisi, parte delle cartelle dei reparti e alcune macchine virtuali. Il database del gestionale non era stato cifrato completamente, ma il server che lo ospitava risultava compromesso. Questo dettaglio è stato decisivo: tentare una riaccensione frettolosa avrebbe potuto alterare dati ancora recuperabili e rendere più difficile ricostruire l’accaduto.

La prima richiesta dell’azienda era comprensibile: far tornare tutto operativo il prima possibile. La priorità tecnica, però, non era riavviare i server. Era fermare la propagazione.

Le prime ore: contenere prima di recuperare

Il team intervenuto ha isolato i sistemi colpiti dalla rete, disattivato temporaneamente le connessioni VPN e separato i segmenti ancora non interessati. Le postazioni sospette non sono state formattate subito: servivano a comprendere il vettore di accesso e a verificare se fossero presenti strumenti di persistenza dell’attaccante.

Parallelamente, sono state sospese le credenziali amministrative esistenti e avviata la reimpostazione controllata delle password, partendo dagli account con privilegi elevati. Anche la posta elettronica e gli accessi cloud sono stati verificati, perché un ransomware può essere il punto visibile di una compromissione più ampia, non l’unico problema.

Questa fase genera spesso una tensione concreta tra sicurezza e operatività. Ogni ora di fermo può significare ordini non evasi, ritardi di produzione, impossibilità di fatturare o assistenza clienti rallentata. Tuttavia, recuperare sistemi senza avere circoscritto l’incidente può produrre un secondo fermo, più costoso del primo. La rapidità utile non è quella di chi accende tutto subito: è quella di chi ripristina nell’ordine giusto.

Nel caso esaminato, alcune funzioni essenziali sono state mantenute attive in modo isolato. La posta cloud, non coinvolta direttamente, è stata resa disponibile dopo il controllo degli account. Per ordini e comunicazioni urgenti è stata predisposta una procedura temporanea, limitando le attività al personale autorizzato. Non era una condizione ideale, ma ha permesso all’azienda di continuare a gestire le urgenze mentre l’infrastruttura veniva bonificata.

Il backup c’era, ma non era tutto utilizzabile

L’azienda disponeva di backup giornalieri su NAS locale e di una replica separata in cloud. La presenza di più copie ha evitato il pagamento del riscatto, ma non tutte le copie erano immediatamente sicure. Il NAS, raggiungibile dalla rete aziendale con credenziali troppo estese, conteneva anche alcuni backup cifrati dal ransomware.

La replica esterna, invece, utilizzava versioning e conservazione separata. È stato quindi possibile individuare una copia precedente all’attacco. Prima di usarla, il backup è stato analizzato in un ambiente isolato per verificare l’integrità dei dati, la presenza dei file necessari e l’assenza di elementi anomali.

Qui emerge una distinzione che molte aziende sottovalutano: backup non significa automaticamente ripristino. Un backup è utile solo se è aggiornato, leggibile, sufficientemente completo e protetto dall’accesso dell’attaccante. Deve inoltre essere testato. Scoprire durante un’emergenza che il ripristino richiede giorni, che mancano cartelle critiche o che una licenza applicativa non è disponibile equivale, sul piano operativo, a non avere un piano adeguato.

Nel caso concreto, i dati recuperati avevano una perdita massima stimata di circa 14 ore lavorative per alcune cartelle condivise. I documenti più recenti sono stati ricostruiti attraverso allegati e-mail, copie locali verificate e scambi con clienti e fornitori. Non tutto può essere recuperato al 100% in ogni incidente: dichiararlo con trasparenza permette di organizzare il lavoro e gestire correttamente le priorità.

Ripristinare non significa copiare di nuovo i file

Il recupero è avvenuto in più fasi. Prima sono stati ricostruiti gli account amministrativi e le regole di accesso. Poi sono state reinstallate o ripristinate da immagini pulite le macchine virtuali necessarie, aggiornando sistemi operativi e applicazioni prima della rimessa in produzione. Solo a quel punto sono stati importati i dati verificati.

Il gestionale ha richiesto un’attenzione specifica. Il database è stato ripristinato su un server pulito, quindi sottoposto a controlli di coerenza insieme al fornitore dell’applicativo. La verifica non si è limitata al fatto che il programma si avviasse: bisognava controllare anagrafiche, movimenti, documenti, permessi utente e procedure di stampa. Un sistema apparentemente acceso può comunque restituire informazioni incomplete o incoerenti.

Le cartelle dei reparti sono state riattivate gradualmente, con autorizzazioni ridotte al minimo necessario. Questo ha rallentato leggermente il ritorno alla piena normalità, ma ha dato il tempo di rilevare eventuali comportamenti sospetti. In un ripristino post-ransomware, reintrodurre tutte le condivisioni e tutti i privilegi del passato è una scorciatoia pericolosa.

Dopo due giorni lavorativi l’azienda aveva nuovamente disponibili gestionale, posta, condivisioni principali e accesso remoto controllato. Nei giorni successivi sono stati completati il recupero dei dati secondari, la verifica delle postazioni e la revisione della documentazione tecnica. Il risultato non è stato soltanto il ritorno alla produttività: è stata una rete più governabile di prima.

Cosa ha evitato il pagamento del riscatto

Il pagamento non offre una garanzia reale di recupero e può esporre l’impresa a ulteriori richieste, ricatti sulla pubblicazione dei dati o nuovi attacchi. La scelta va valutata con il supporto di specialisti, anche rispetto agli obblighi legali, assicurativi e di notifica eventualmente applicabili. In questo caso, l’azienda ha potuto escluderlo perché disponeva di una copia esterna recuperabile e di una procedura tecnica per ricostruire l’ambiente.

Tre elementi hanno fatto la differenza: una replica dati separata dalla rete operativa, la disponibilità delle informazioni necessarie a ricostruire server e applicazioni, e un presidio tecnico capace di coordinare contenimento, recupero e comunicazioni con i fornitori. A questi si è aggiunta una scelta organizzativa corretta: evitare interventi improvvisati sulle macchine coinvolte.

Le correzioni introdotte dopo l’incidente

Terminata l’emergenza, il lavoro più utile è iniziato quando i sistemi erano già tornati disponibili. L’azienda ha adottato autenticazione a più fattori per gli accessi critici, segmentato maggiormente la rete e rivisto gli account amministrativi. Le VPN sono state aggiornate con criteri di accesso più restrittivi e le autorizzazioni alle cartelle sono state riallineate alle mansioni effettive.

Il sistema di backup è stato riprogettato secondo un principio semplice: più copie, su supporti distinti, con almeno una copia non raggiungibile direttamente dalla rete aziendale. Sono stati programmati test di ripristino periodici, non solo controlli sull’esito del backup. È stato inoltre definito chi può autorizzare un fermo, chi contatta i fornitori e quali servizi devono essere ripristinati per primi.

Anche le persone sono entrate nel piano di sicurezza. Una sessione formativa mirata ha affrontato messaggi sospetti, richieste anomale di credenziali, uso corretto della posta e segnalazione tempestiva degli eventi. La formazione non elimina ogni rischio, ma riduce la probabilità che un singolo clic si trasformi in un blocco generalizzato.

Un ransomware mette sotto pressione server, dati e persone nello stesso momento. Per una PMI, la vera protezione non è affidarsi a un unico prodotto, ma sapere che backup, infrastruttura, identità digitali e procedure operative sono stati progettati per funzionare anche nel giorno peggiore. Prepararsi a quel giorno significa proteggere la capacità dell’impresa di lavorare, servire i clienti e prendere decisioni senza essere ricattata dall’emergenza.