Cosa fare in caso di attacco ransomware: piano di risposta passo-passo

Se stai cercando cosa fare in caso di attacco ransomware, è necessario agire rapidamente, ma senza panico. L'obiettivo principale nei primi minuti è fermare la diffusione del malware, preservare le prove, proteggere i backup e preparare un recupero sicuro. In questo articolo viene esaminato un ordine pratico di azioni per aziende e utenti domestici: come riconoscere un ransomware, cosa disattivare, a chi segnalare, se pagare il riscatto e come ridurre il rischio di un nuovo attacco.

Il ransomware blocca l'accesso a file e sistemi e poi richiede un riscatto per la chiave di decrittazione. A volte, i criminali informatici rubano anche dati e minacciano di divulgarli. Pertanto, la risposta deve tenere conto non solo del ripristino dei file, ma anche della possibile fuga di informazioni.

Piano breve per i primi 15 minuti

Di seguito è riportato un algoritmo compresso che aiuta a guadagnare tempo e ridurre i danni. È adatto per la maggior parte dei casi in cui sul computer compaiono file criptati, una nota di riscatto o errori di accesso dati.

1. Isolare il dispositivo infetto dalla rete. Disconnetti il cavo Ethernet, il Wi-Fi e la VPN. Non collegare dischi esterni.
2. Non eliminare la nota di riscatto e i file sospetti. Potrebbero essere necessari per indagini e per trovare un decryptor.
3. Non riavviare il computer senza indicazioni da un esperto. A volte, dopo il riavvio, si perdono le tracce dell'attacco o la crittografia continua.
4. Segnala a chi è responsabile per IT o sicurezza informatica. Se sei a casa, annota l'orario dell'incidente e fotografa lo schermo.
5. Disconnetti le cartelle condivise e gli archivi di rete, se accessibili. È importante fermare la diffusione tramite SMB, RDP, VPN e altri canali.
6. Controlla i backup, ma non collegarli all'ambiente infetto. I backup devono essere protetti da sovrascrittura e infezione.
7. Raccogli i dati minimi. Nome del dispositivo, utente, orario di rilevamento, estensioni dei file criptati, testo della richiesta di riscatto.
8. Non pagare subito. Prima valuta l'ampiezza, la presenza di backup, i rischi legali e la possibilità di decrittazione gratuita.

Come capire che si tratta di un attacco ransomware

Non ogni danno a un file significa ransomware. Tuttavia, ci sono segni che, presi insieme, quasi sempre indicano un attacco ransomware.

Segni principali di infezione

I sintomi tipici si presentano in questo modo:

• i file hanno ricevuto una nuova e insolita estensione;
• documenti, database, fotografie o archivi hanno smesso di aprirsi;
• nelle cartelle sono comparsi file con istruzioni per il pagamento del riscatto;
• il desktop è cambiato con un messaggio di minaccia;
• antivirus, EDR o SIEM hanno registrato un cambiamento massivo dei file;
• i server hanno iniziato a funzionare lentamente e i dischi registrano attivamente dati;
• gli utenti hanno perso l'accesso alle cartelle di rete;
• gli account sono stati improvvisamente bloccati o utilizzati da indirizzi insoliti;
• nei registri sono visibili connessioni tramite RDP, PowerShell, PsExec o script sospetti.

Particolarmente pericolosa è la situazione in cui la crittografia avviene contemporaneamente su più computer o su un server di file. Ciò significa che i criminali informatici potrebbero già aver ottenuto diritti amministrativi.

Cosa non considerare prova di per sé

Un file danneggiato, un errore del disco o un guasto del programma non sono sempre collegati ai ransomwares. Pertanto, è importante non trarre conclusioni affrettate. Controlla prima i registri, gli eventi antivirus, la cronologia degli accessi e lo stato di altri dispositivi. Ma se c'è una nota di richiesta di riscatto e un ribattezzamento massivo dei file, reagisci come se fosse un incidente reale.

Risposta passo-passo all'incidente

In caso di attacco ransomware, è importante agire in modo sequenziale. Azioni caotiche ostacolano le indagini e possono aumentare i danni. Di seguito è riportato un ordine pratico che puoi utilizzare come checklist.

Passo 1. Nomina un coordinatore

In azienda deve esserci un solo coordinatore responsabile: il direttore IT, un esperto di sicurezza informatica, il capo turno o un esperto esterno. Egli registra le decisioni, distribuisce i compiti e non consente azioni conflittuali.

Per un utente domestico, il ruolo del coordinatore è più semplice: annota l'orario di rilevamento, cosa è accaduto prima dell'incidente, quali dispositivi erano collegati e quali file sono stati colpiti.

Passo 2. Isola i sistemi infetti

L'isolamento è la massima priorità. Disconnetti la rete sui dispositivi infetti, ma non iniziare a spegnere tutto senza un piano. Se la crittografia sta attivamente avvenendo su un server di file, potrebbe essere necessario disattivare immediatamente l'interfaccia di rete o bloccare l'accesso alle risorse condivise.

Cosa fare:

• disconnettere i cavi di rete sulle postazioni di lavoro infette;
• spegnere Wi-Fi e client VPN;
• bloccare gli account sospetti;
• limitare temporaneamente RDP, SMB e connessioni amministrative;
• disattivare la sincronizzazione delle cartelle cloud, se sta diffondendo file criptati;
• separare i server critici dalla rete degli utenti.

Cosa evitare: non collegare a un computer infetto pen drive, dischi esterni e supporti di backup. Così si può criptare l'unica copia dei dati.

Passo 3. Preserva le prove

Le prove aiutano a capire il percorso di infiltrazione e a trovare un modo per il recupero. Non eliminare la nota di riscatto, file eseguibili sospetti, archivi, script e registri. Se possibile, crea un'immagine del disco o uno snapshot della macchina virtuale.

È utile conservare:

• screenshot dei messaggi di riscatto;
• un esempio di file criptato e il suo originale, se disponibile;
• il testo della richiesta di riscatto;
• registri di Windows, Linux, VPN, firewall, gateway di posta e EDR;
• elenco dei processi attivi e delle connessioni di rete;
• informazioni sull'orario della prima attività.

Non inviare file riservati a siti casuali per la verifica. Usa solo servizi affidabili e rimuovi dati personali o commerciali, se possibile.

Passo 4. Ferma gli account dei criminali

Molti attacchi ransomware moderni non iniziano con un file virale, ma con una password rubata. I criminali entrano attraverso VPN, RDP, pannello cloud, email o account amministrativo. Pertanto, è necessario controllare rapidamente gli accessi sospetti.

Azioni:

• disconnetti gli account rilevati in accessi sospetti;
• cambia le password degli amministratori da un dispositivo pulito;
• revoca le sessioni VPN attive e i token;
• controlla le regole di inoltro nelle email;
• attiva MFA dove non era presente;
• controlla i nuovi account e le modifiche ai gruppi degli amministratori.

È importante cambiare le password solo dopo aver isolato i sistemi infetti. Se un malware è attivo su un computer, potrebbe intercettare le nuove credenziali.

Passo 5. Determina l'entità dell'attacco

Prima del ripristino, è necessario capire esattamente cosa sia infetto. Altrimenti, rischi di sollevare un sistema in cui il criminale è ancora presente.

Controlla:

• postazioni di lavoro degli utenti;
• server di file e cartelle di rete;
• controller di dominio;
• server di backup;
• hypervisor e archivi di macchine virtuali;
• cataloghi cloud e servizi SaaS;
• caselle di posta e regole di inoltro;
• registri di VPN, firewall e proxy.

Crea un elenco di sistemi in tre categorie: infetti, sospetti, relativamente puliti. Quindi aggiornalo man mano che procedi con le indagini.

Passo 6. Proteggi i backup

I backup sono la risorsa principale nel recupero dopo un attacco ransomware. Ma molti attacchi sono specificamente mirati ai server di backup. Pertanto, non iniziare il ripristino finché non sei certo che le copie non siano compromesse e non siano accessibili ai criminali.

Controlla se ci sono:

• copie offline su supporti disconnessi;
• backup immutabili, ad esempio immutable storage;
• copie risalenti a prima della compromissione;
• account separati per il sistema di backup;
• registri di eliminazione, sovrascrittura o fallimenti di task di backup.

Se i backup sono archiviati nel cloud, controlla la cronologia delle versioni, il cestino, le impostazioni di accesso e i registri di accesso.

Passo 7. Scegli una strategia di recupero

Ci sono tre opzioni principali: recupero da backup, decrittazione con uno strumento disponibile o reinstallazione completa con trasferimento di dati puliti. Spesso viene utilizzata una combinazione.

Situazione	Migliore azione	Cosa evitare
Ci sono backup puliti	Reinstalla i sistemi e recupera i dati dai backup	Ripristinare sulla OS infetta
Esiste un decrittore conosciuto	Controllalo su copie dei file	Eseguire utility non verificate di autori sconosciuti
Non ci sono backup	Conserva immagini del disco e rivolgiti a esperti	Eliminare file criptati e formattare dischi immediatamente
Ci sono segni di fuga di dati	Coinvolgi i legali e la direzione	Nascondere l'incidente dalle autorità responsabili
È compromessa l'infrastruttura del dominio	Ripristina l'ambiente fidato da zero o da copie pulite	Semplicemente cambiare le password e riaccendere i server

È necessario pagare il riscatto?

La risposta breve è che non si dovrebbe pagare finché non sono esaurite le opzioni sicure. Il pagamento non garantisce la decrittazione, non garantisce l'eliminazione dei dati rubati e può comportare ulteriori rischi legali e reputazionali. Inoltre, dimostri ai criminali che l'organizzazione è disposta a pagare.

Tuttavia, nella vita reale, si valuta talvolta la decisione qualora si tratti di infrastrutture critiche, minacce alla vita delle persone o assenza completa di backup recuperabili. In tal caso, la decisione deve essere presa dalla direzione insieme ai legali, esperti di sicurezza e, se necessario, forze dell'ordine. È importante considerare le restrizioni sanzionatorie e il rischio di finanziare gruppi criminali.

Prima di prendere qualsiasi decisione, controlla:

• se ci sono backup funzionanti;
• se si conosce il tipo di ransomware;
• se esiste un decrittore gratuito;
• se sono stati rubati dati;
• quali leggi e obblighi contrattuali si applicano;
• come il pagamento influenzerà la futura sicurezza.

Se i criminali hanno inviato quello che viene chiamato una prova di decrittazione di un file, ciò non garantisce comunque il recupero dell'intera infrastruttura.

Dove cercare un decrittore

A volte i file possono essere ripristinati senza pagare il riscatto. Per alcune famiglie di ransomware vengono pubblicati decrittori gratuiti. Puoi iniziare con progetti noti contro il ransomware, come No More Ransom, i siti dei produttori di antivirus e le raccomandazioni dei centri nazionali di cybersicurezza.

Prima di utilizzare un decrittore:

1. Fai copie dei file criptati.
2. Conserva i file originali intatti.
3. Esegui lo strumento su una macchina isolata.
4. Controlla la fonte del download.
5. Testa la decrittazione su un piccolo set di dati.

Non fidarti di siti che promettono decrittazioni universali per tutti i ransomware. Non esiste un decrittore universale.

Recupero dopo un attacco ransomware

Il recupero non è solo il ripristino dei file. È necessario assicurarsi che il criminale non abbia più accesso e che la vulnerabilità attraverso la quale è avvenuto l'attacco sia stata chiusa.

Ripristina solo in un ambiente pulito

L'approccio migliore è distribuire nuovi sistemi o ripristinarli da immagini note per essere pulite. Poi installa gli aggiornamenti, configura la protezione, cambia le password e solo dopo trasferisci i dati dai backup verificati.

Non è sufficiente semplicemente eliminare il file maligno e continuare a lavorare. I gruppi di ransomware moderni spesso lasciano diversi modi per riaccedere: nuovi account, attività pianificate, web shell, politiche modificate, token di accesso e strumenti di gestione remota nascosti.

Controlla la data di compromissione

L'infezione potrebbe essere iniziata giorni o settimane prima della crittografia. Se ripristini una copia troppo recente, puoi rimettere in rete un sistema già compromesso. Pertanto, cerca segni precoci: primo accesso sospetto, avvio di uno script, creazione di un nuovo account, disattivazione della protezione, scansione della rete.

Testa i dati prima di riavviare l'attività

Prima di riavviare i sistemi in produzione, controlla l'integrità dei database, i diritti di accesso, il funzionamento delle applicazioni e l'attualità delle configurazioni. Per i servizi critici, esegui un test in un segmento isolato.

Ordine utile:

1. Ripristina i servizi infrastrutturali: dominio, DNS, DHCP, identificazione.
2. Ripristina i sistemi di sicurezza: EDR, SIEM, registri, backup.
3. Attiva le applicazioni critiche per il business.
4. Controlla i dati e i diritti di accesso.
5. Collega gli utenti per gruppi, non tutti insieme.
6. Monitora la rete dopo l'avvio.

Cosa fare per le aziende in caso di attacco ransomware

Per un'organizzazione, un incidente di ransomware influisce non solo sull'IT. Influisce sulle operazioni, sui clienti, sui contratti, sui dati personali e sulla finanza. Pertanto, è importante coinvolgere subito il management e il settore legale.

Organizza le comunicazioni

Nomina responsabili per le comunicazioni interne, i contatti con clienti, partner e appaltatori. Non fare promesse non verificate. È meglio comunicare i fatti: quali servizi non sono accessibili, cosa è stato fatto così far, quando ci sarà il prossimo aggiornamento.

Devi spiegare ai dipendenti:

• quali sistemi non possono essere accesi;
• dove segnalare file e email sospette;
• se è possibile usare dispositivi personali;
• quali canali di comunicazione sono ufficiali;
• chi prende decisioni sul recupero.

Valuta il rischio di fuga di dati

Se i criminali hanno avuto accesso alla rete, non si può escludere la sottrazione di informazioni. Controlla il traffico in uscita, gli archivi, i caricamenti nel cloud, i log proxy, le email e le azioni degli account privilegiati. Se potrebbero essere compromessi dati personali, segreti commerciali o dati dei clienti, coinvolgi avvocati e definisci gli obblighi di notifica.

In diversi paesi e settori ci sono requisiti diversi. Pertanto, non esiste un modello universale di notifica. Ma nascondere un incidente all'interno dell'organizzazione è pericoloso: ostacola l'indagine corretta e aumenta il rischio di un attacco ripetuto.

Rivolgiti a esperti se non hai esperienza

Se i server, il dominio, i backup o più sedi sono compromessi, è meglio coinvolgere un team di incident response. Gli esperti possono aiutare a preservare le prove, trovare il punto di ingresso, valutare la fuga e costruire un piano di recupero sicuro.

Cosa fare per l'utente domestico

Se un ransomware ha attaccato un computer personale, l'ordine è più semplice, ma i principi rimangono gli stessi.

Fai quanto segue:

1. Disconnetti il computer da internet e dalla rete domestica.
2. Non collegare dischi esterni con foto o archivi.
3. Fotografa il messaggio dei criminali.
4. Copia su un supporto separato alcuni file criptati e la nota, se un esperto te lo chiede.
5. Controlla altri dispositivi in casa.
6. Cambia le password di email, banca, servizi cloud e social media da un dispositivo pulito.
7. Controlla gli archivi cloud e la cronologia delle versioni dei file.
8. Scopri se esiste un decrittore gratuito per il tuo tipo di ransomware.
9. Reinstalla il sistema o rivolgiti a un servizio, se non sei sicuro della pulizia del computer.

Se nel cloud sono stati sincronizzati file criptati, non affrettarti a svuotare le cartelle. Molti servizi consentono di ripristinare versioni precedenti o di tornare allo stato della cartella.

Come prevenire un attacco ripetuto

Dopo il recupero, è necessario eliminare le cause dell'incidente. Altrimenti, l'attacco potrebbe ripetersi utilizzando le stesse credenziali o vulnerabilità.

Configura backup affidabili

Una buona strategia di backup si basa sul principio di più copie indipendenti. Un orientamento pratico è archiviare i dati in luoghi diversi e avere una copia che non può essere rapidamente modificata dalla rete di lavoro.

Controlla:

• la regolarità dei backup;
• il ripristino automatico dei test;
• account separati per il backup;
• protezione da eliminazione e sovrascrittura;
• copie offline o immutabili;
• documentazione per il recupero di sistemi critici.

Un backup che non è mai stato verificato non può essere considerato affidabile.

Rafforza gli accessi e gli account

La maggior parte dei danni deriva da diritti privilegiati. Limita l'accesso amministrativo, utilizza MFA, disattiva account non utilizzati e controlla regolarmente i gruppi degli amministratori.

Presta particolare attenzione a RDP e VPN. Non lasciare RDP aperto su internet. Utilizza VPN, MFA, limitazioni IP e monitoraggio degli accessi per l'accesso remoto.

Aggiorna e segmenta la rete

Le aggiornamenti chiudono vulnerabilità note e la segmentazione impedisce al ransomware di raggiungere rapidamente tutti i sistemi. Separa computer degli utenti, server, backup, sistemi di produzione e postazioni di lavoro amministrative.

Sono inoltre utili:

• EDR o buona protezione antivirus;
• raccolta centralizzata dei registri;
• filtraggio delle email e degli allegati;
• divieto di macro da internet;
• controllo dell'esecuzione degli script;
• principio dei privilegi minimi;
• formazione dei dipendenti sulla phishing;
• piano di risposta agli incidenti.

Domande frequenti sull'attacco ransomware

È possibile spegnere il computer in caso di ransomware?

Se la crittografia continua attivamente, l'isolamento dalla rete è la cosa più importante. Lo spegnimento completo a volte aiuta a fermare il processo, ma può distruggere i dati nella memoria volatile che sono necessari per l'indagine. In azienda è meglio disconnettere prima la rete e chiamare un esperto. A casa, se il processo sta chiaramente criptando file e non c'è aiuto, lo spegnimento può essere una misura ragionevole per fermare i danni.

È necessario eliminare il virus subito?

Non affrettarti. Salva prima le prove e gli esempi di file. Poi elimina il malware o reinstalla il sistema. Se elimini tutto subito, sarà più difficile capire come è avvenuto l'attacco e quali dati potrebbero essere stati colpiti.

È possibile ripristinare file senza backup?

A volte sì, se per una specifica famiglia di ransomware c'è un decrittore o se i dati sono stati conservati in copie shadow, versioni cloud, allegati email o su altri dispositivi. Ma non ci sono garanzie. Pertanto, i backup rimangono il principale metodo di protezione.

Aiuterà l'antivirus dopo l'infezione?

L'antivirus può fermare alcuni processi maligni e trovare residui di malware. Ma non sempre decripta i file e non sostituisce l'indagine. Dopo un attacco, è importante capire il punto di ingresso, cambiare le credenziali compromesse e ripristinare i sistemi da una fonte pulita.

Cosa fare se il server 1C o il database sono criptati?

Per prima cosa, isola il server e ferma l'accesso degli utenti. Poi conserva una copia del database criptato, dei registri e dei backup. Ripristina il database solo in un ambiente pulito e controlla sempre l'integrità dei dati. Se il server era nel dominio, controlla anche gli account, le cartelle di rete e i server vicini.

Come capire se i dati sono stati rubati?

Analizza i registri del traffico in uscita, le azioni degli account, l'archiviazione dei file, le connessioni ai servizi cloud e gli strumenti dei criminali. L'assenza di prove evidenti non significa sempre che non ci sia stata una fuga. Se i dati sono sensibili, è meglio eseguire un'indagine completa.

A chi rivolgersi dopo un attacco?

Le aziende dovrebbero rivolgersi a esperti di incident response, avvocati, compagnie assicurative in caso di cyber-assicurazione e, se necessario, forze dell'ordine. Gli utenti domestici possono contattare un centro di assistenza affidabile e cercare un decrittore su risorse attendibili.

Piano d'azione finale

In caso di attacco ransomware, è fondamentale non pagare in preda al panico e non ripristinare i sistemi alla cieca. Per prima cosa, isola i dispositivi infetti, conserva le prove, proteggi i backup e determina l'ampiezza dell'incidente. Poi ripristina i dati solo in un ambiente pulito, cambia le credenziali compromesse e chiudi il punto di ingresso. Inizia con l'isolamento subito, annota i segni di attacco e coinvolgi esperti se i server, i backup o i dati importanti sono stati danneggiati.