Un file che non si apre, una richiesta di riscatto sullo schermo, cartelle condivise rinominate: nelle prime ore l’azienda rischia di perdere non solo dati, ma anche fatturato, fiducia e capacità di lavorare. Sapere cosa fare dopo ransomware evita che una compromissione tecnica diventi una crisi senza controllo. La priorità non è ripartire il più velocemente possibile a qualsiasi costo: è fermare la diffusione, capire cosa è accaduto e recuperare l’operatività in modo sicuro.

Un ransomware può colpire server, PC, sistemi cloud, caselle email e backup collegati alla rete. In molti casi combina la cifratura con l’esfiltrazione dei dati: i criminali minacciano quindi di pubblicare documenti, informazioni commerciali o dati personali anche se l’azienda riesce a ripristinare i file. Per questo la risposta deve coinvolgere direzione, IT, sicurezza, aspetti legali e comunicazione interna.

Cosa fare dopo un ransomware: contenere subito l’attacco

La prima misura è isolare i dispositivi sospetti. Scollegate dalla rete cablata e Wi-Fi i PC, i server o gli apparati che mostrano segnali di cifratura, note di riscatto, rallentamenti anomali o accessi insoliti. Se un computer è collegato a dischi esterni o condivisioni di rete, interrompete anche quei collegamenti. L’obiettivo è bloccare il movimento laterale del malware verso altri sistemi, backup e archivi condivisi.

Isolare non significa cancellare o formattare. Non eliminate file, non reinstallate il sistema operativo e non avviate strumenti casuali trovati online. Queste azioni possono distruggere tracce utili a ricostruire l’incidente, compromettere eventuali possibilità di recupero e rendere più difficile stabilire quali dati siano stati coinvolti. Anche spegnere immediatamente ogni sistema può essere una scelta da valutare con il team tecnico: in alcune situazioni preservare lo stato della macchina aiuta l’analisi; in altre, un’attività di cifratura ancora in corso richiede un’interruzione più netta.

Attivate una gestione dell’emergenza, non una catena di messaggi

Serve un piccolo gruppo decisionale con ruoli chiari: titolare o direzione, responsabile IT o fornitore tecnico, referente privacy e, se necessario, legale e comunicazione. Centralizzate gli aggiornamenti in un canale sicuro, possibilmente esterno all’infrastruttura potenzialmente compromessa. Non usate l’email aziendale se non avete verificato che sia affidabile.

Registrate orari, sistemi coinvolti, messaggi visualizzati, account usati, attività insolite e decisioni prese. Conservate screenshot della nota di riscatto, nomi delle estensioni aggiunte ai file e ogni indicazione tecnica disponibile. Un registro accurato serve a coordinare il ripristino, supporta gli obblighi di documentazione e riduce le decisioni affrettate.

Nel frattempo, sospendete gli accessi remoti non essenziali, come VPN, desktop remoto e pannelli amministrativi esposti. Disabilitate gli account sospetti e bloccate le credenziali che potrebbero essere state sottratte. Non è necessario spegnere indiscriminatamente tutta l’azienda: la scelta dipende dalla segmentazione della rete, dalla diffusione osservata e dai sistemi critici. Una produzione isolata e verificata può dover rimanere attiva; una rete piatta e poco segmentata richiede maggiore prudenza.

Valutare l’impatto prima di ripristinare

Dopo il contenimento, occorre distinguere ciò che è certamente compromesso da ciò che è solo potenzialmente esposto. Un’analisi tecnica deve verificare endpoint, server, account amministrativi, log di sicurezza, servizi cloud, posta elettronica, firewall, macchine virtuali e archivi condivisi. Il punto d’ingresso può essere una password rubata, una vulnerabilità non corretta, un allegato email, un accesso remoto esposto o un software di terze parti.

L’analisi deve rispondere a domande concrete: quali dati sono stati cifrati? Quali sistemi risultano inutilizzabili? Il malware è ancora presente? Sono stati copiati dati all’esterno? Quali processi aziendali sono fermi? Senza queste risposte, ripristinare un server può significare reinserire un sistema infetto nella rete e ricominciare da capo.

Controllare i backup con metodo

Il backup è utile soltanto se è integro, disponibile e separato dall’ambiente colpito. Prima di usarlo, verificate la data dell’ultimo salvataggio valido, l’accessibilità, la presenza di più versioni e l’assenza di cifratura o modifiche anomale. I backup costantemente collegati alla rete sono spesso uno dei primi obiettivi dell’attacco.

La strategia più affidabile prevede copie separate, versionate e testate periodicamente. Tuttavia, anche con backup validi, il recupero va pianificato per priorità di business. Di solito si parte da identità digitali e accessi, rete e sicurezza, applicativi indispensabili, dati operativi e postazioni utente. Ripristinare prima il gestionale senza avere messo in sicurezza account, firewall e sistemi di autenticazione può esporre subito l’ambiente a una nuova compromissione.

Ogni sistema recuperato va verificato prima di tornare operativo. Significa controllare aggiornamenti, configurazioni, account amministrativi, servizi attivi, protezioni endpoint e connessioni esterne. È spesso più sicuro ricostruire alcune macchine da immagini pulite piuttosto che recuperarle integralmente da un ambiente di cui non si conosce lo stato.

Riscatto, dati personali e comunicazioni: decidere con responsabilità

Pagare il riscatto non garantisce la restituzione dei dati, la consegna di una chiave funzionante o la cancellazione delle copie sottratte. Inoltre, finanzia un’attività criminale e può esporre l’organizzazione a ulteriori richieste. La scelta non va affrontata in autonomia o sotto pressione: richiede valutazioni tecniche, legali, assicurative e di continuità operativa.

Se l’incidente coinvolge dati personali, l’azienda deve valutare se si è verificata una violazione dei dati e quale rischio comporti per le persone interessate. Il GDPR prevede, quando ricorrono le condizioni, la notifica all’autorità di controllo entro 72 ore dal momento in cui il titolare ne viene a conoscenza. In caso di rischio elevato per gli interessati, può essere necessaria anche una comunicazione diretta alle persone coinvolte.

Non ogni ransomware genera automaticamente lo stesso obbligo, ma ritardare la valutazione è un errore. Servono evidenze sull’accesso ai dati, sulla loro possibile sottrazione, sulle categorie interessate e sulle misure adottate. Il coinvolgimento tempestivo di consulenti privacy e legali consente di documentare correttamente l’accaduto e di scegliere una comunicazione proporzionata, chiara e verificabile.

Anche dipendenti, clienti e fornitori devono ricevere indicazioni operative quando possono essere coinvolti. Evitate messaggi vaghi o rassicurazioni premature. Comunicate ciò che è noto, i comportamenti richiesti – per esempio il cambio password o l’attenzione a email fraudolente – e il canale da usare per segnalare anomalie. Un attacco ransomware può infatti essere seguito da campagne di phishing che sfruttano la confusione dell’incidente.

Gli errori che allungano il fermo aziendale

Nella fase di emergenza, alcune reazioni comprensibili peggiorano l’impatto. Le più frequenti sono:

• riavviare o formattare i dispositivi senza aver raccolto informazioni e senza aver contenuto la diffusione;
• ripristinare backup non verificati o ricollegare sistemi senza aver rimosso la causa dell’accesso;
• continuare a usare account e password potenzialmente compromessi;
• lasciare che singoli reparti comunichino all’esterno senza una linea condivisa;
• trattare il ransomware come un problema limitato a un PC, quando può coinvolgere dati, posta, cloud e fornitori.

La velocità conta, ma non coincide con la fretta. Un intervento ordinato riduce il tempo necessario per tornare a lavorare e protegge l’azienda da una seconda interruzione, spesso più costosa della prima.

Dopo il ransomware, trasformare l’incidente in protezione concreta

Quando la parte più critica è sotto controllo, è il momento di correggere le debolezze emerse. Non basta installare un nuovo antivirus. Occorre rivedere segmentazione della rete, gestione degli accessi, autenticazione a più fattori, aggiornamenti, privilegi amministrativi, protezione email, monitoraggio e criteri di backup. Ogni misura deve essere collegata a un rischio reale e a un processo aziendale da proteggere.

Le PMI ottengono risultati migliori quando definiscono anche un piano di risposta agli incidenti semplice e applicabile: chi chiama chi, quali sistemi hanno priorità, dove sono custodite le credenziali di emergenza, come si verifica un backup e chi può autorizzare comunicazioni o spese straordinarie. Questo piano va provato. Un backup mai testato e una procedura mai simulata sono solo promesse, non garanzie di continuità.

Un partner IT che conosce infrastruttura, applicativi, comunicazioni e processi aziendali può ridurre i tempi di diagnosi e coordinare ripristino, sicurezza e obblighi organizzativi senza scaricare il problema su più fornitori. Per un’impresa, la preparazione non significa prevedere ogni attacco: significa sapere chi prende in carico la situazione e con quali priorità quando il tempo diventa il fattore più costoso.

La lezione utile non è lavorare con paura, ma rendere la tecnologia più governabile: sistemi separati, dati recuperabili, responsabilità chiare e una risposta pronta prima che l’emergenza arrivi.