Come prevenire attacchi da ransomware

Come prevenire attacchi da ransomware è una delle principali domande di sicurezza informatica per aziende, organizzazioni governative e utenti privati. Un ransomware blocca l'accesso a file e sistemi, richiedendo un riscatto. Questo articolo spiega come ridurre il rischio di infezione, proteggere i backup, formare i dipendenti, configurare i computer e preparare un piano di risposta. L'obiettivo principale non è solo installare un antivirus, ma costruire una protezione multilivello, in cui il fallimento di un singolo strumento non porta a una catastrofe.

Cos'è un ransomware e perché è pericoloso

Un ransomware è un software dannoso che crittografa file su un computer, server o archivio di rete. Dopo di che, i criminali richiedono denaro per la chiave di decrittazione. Gli attacchi moderni spesso non si limitano al blocco dei dati. I criminali possono rubare in anticipo documenti, comunicazioni, banche dati dei clienti e file contabili, minacciando successivamente la pubblicazione di tali dati.

Il pericolo del ransomware è che l'attacco coinvolge più livelli di operatività:

• i dipendenti non possono aprire documenti e applicazioni;
• contabilità, CRM, ERP e posta diventano inaccessibili;
• produzione, logistica o vendite si fermano;
• il ripristino richiede tempo, competenze e backup puliti;
• la perdita di dati può portare a conseguenze legali e reputazionali.

I ransomware non sempre entrano in rete tramite complesse vulnerabilità tecniche. Spesso è sufficiente un'email di phishing, una password debole per l'accesso remoto o un aggiornamento non installato. Pertanto, la prevenzione deve combinare misure tecniche, regole organizzative e controlli regolari.

Come i ransomware entrano nel sistema

Per prevenire efficacemente attacchi da ransomware, è importante comprendere gli scenari di infezione tipici. La maggior parte degli attacchi inizia con l'ottenimento di accesso iniziale. Dopo, i criminali esaminano la rete, aumentano i privilegi, disattivano la protezione, cercano backup e solo allora avviano la crittografia.

Email di phishing e allegati dannosi

Il phishing rimane uno dei metodi più frequenti di infiltrazione. L'utente riceve un'email che sembra una fattura, un avviso di consegna, una richiesta da un partner o un messaggio da un superiore. All'interno potrebbe esserci un allegato, un link a un sito falso o un archivio con un file eseguibile.

Documenti con macro, file ISO, LNK, JS, VBS, EXE e archivi protetti da password sono particolarmente pericolosi. La password nell'email impedisce al gateway di posta di controllare il contenuto. Pertanto, le organizzazioni devono filtrare tali allegati e formare i dipendenti a non aprire file inaspettati.

Password deboli e accesso remoto

RDP aperto, VPN senza autenticazione a più fattori, password identiche e account obsoleti creano una comoda porta d'ingresso per gli attaccanti. Se un criminale ottiene l'accesso a un account amministratore, può diffondere rapidamente il ransomware nella rete.

È importante limitare l'accesso remoto per indirizzi IP collegati, utilizzare MFA, chiudere porte non necessarie, rivedere regolarmente i diritti e disattivare account non utilizzati.

Vulnerabilità nel software e sistemi non supportati

Sistemi operativi, server, gateway VPN, soluzioni di posta, ipervisor e applicazioni web non aggiornati diventano spesso punti di ingresso. Le vulnerabilità pubbliche vengono rapidamente sfruttate da strumenti automatizzati. Se una patch è già stata rilasciata, ma non installata, il rischio aumenta notevolmente.

I sistemi obsoleti senza supporto del produttore devono essere isolati, sostituiti o protetti con misure aggiuntive. Non bisogna presumere che un vecchio server sia sicuro solo perché è in funzione da tempo e non tocca nessuno.

Siti compromessi e fornitori esterni

A volte, l'infezione avviene attraverso un sito hackerato, un aggiornamento falso, pubblicità dannose o l'account di un appaltatore. Se il fornitore ha accesso alla tua infrastruttura, la sua sicurezza diventa parte della tua sicurezza. Pertanto, è necessario monitorare l'accesso esterno, stipulare contratti chiari e assegnare diritti minimi necessari.

Principio della protezione multilivello

Una protezione efficace contro il ransomware è costruita secondo il principio della difesa in profondità. Ciò significa avere più barriere indipendenti. Se un dipendente apre un'email dannosa, la filtrazione della posta, l'EDR, la limitazione dei diritti, la segmentazione della rete e i backup devono ridurre i danni.

La protezione multilivello include:

• prevenire l'ingresso di codice dannoso;
• rapido rilevamento di attività sospette;
• limitazione della diffusione all'interno della rete;
• conservazione di backup immodificabili;
• un piano di ripristino pronto;
• formazione del personale e verifica dei processi.

L'errore principale è fare affidamento su uno strumento solo. L'antivirus è importante, ma non sostituisce il backup. I backup sono importanti, ma non proteggono dalla perdita di dati. La MFA riduce il rischio di furto della password, ma non sostituisce gli aggiornamenti e il controllo dei diritti.

Piano step-by-step per prevenire attacchi da ransomware

Di seguito è un piano pratico che può essere utilizzato come checklist. È adatto per piccole aziende, reti d'ufficio, team remoti e infrastrutture domestiche. La scala di implementazione sarà diversa, ma la logica rimane la stessa.

Passo 1. Esegui un inventario delle risorse

Non puoi proteggere ciò di cui non sei a conoscenza. Crea un elenco di dispositivi, server, servizi cloud, account, archivi di rete, banche dati e applicazioni critiche. Segna separatamente i sistemi accessibili da Internet.

L'inventario minimo deve includere:

1. nome del dispositivo o del servizio;
2. proprietario o responsabile;
3. sistema operativo e versione del software;
4. livello di criticità per l'azienda;
5. disponibilità di backup;
6. modalità di accesso remoto;
7. data dell'ultimo aggiornamento.

Dopo di ciò, sarà più facile capire dove si trovano i principali rischi: server obsoleti, account dimenticati, RDP aperto o disco di rete senza backup.

Passo 2. Attiva l'autenticazione a più fattori

La MFA è una delle misure più efficaci contro il furto di account. Attivala per la posta, VPN, pannelli cloud, account amministratori, sistemi di accesso remoto e applicazioni aziendali critiche.

È meglio utilizzare applicazioni di autenticazione, chiavi hardware o conferme push con controllo aggiuntivo. Gli SMS sono meglio che non avere MFA, ma sono meno resistenti a certi attacchi. Per gli amministratori, è opportuno applicare metodi più restrittivi.

Passo 3. Limita i diritti degli utenti

Un utente non dovrebbe lavorare con un account amministratore. Meno diritti ha un account compromesso, più difficile sarà per l'attaccante disattivare la protezione, crittografare le risorse di rete e diffondersi ulteriormente.

Applicare il principio dei privilegi minimi:

• concedere diritti solo per compiti specifici;
• rivedere regolarmente gli accessi;
• separare account normalizzati e amministrativi;
• disattivare amministratori locali dove non sono necessari;
• non utilizzare password comuni per più dispositivi;
• rimuovere immediatamente gli account dei dipendenti dimissionari.

Passo 4. Configura il backup secondo la regola 3-2-1

I backup sono l'ultima linea di difesa quando la prevenzione non funziona. La regola 3-2-1 significa: conserva almeno tre copie dei dati, su due tipi diversi di supporti, e una copia deve essere mantenuta al di fuori dell'infrastruttura principale. Per proteggerti dai ransomware, le copie offline o di archiviazione immodificabile sono particolarmente importanti.

Verifica non solo la presenza di backup, ma anche la possibilità di ripristinarli. Un backup che nessuno ha testato potrebbe risultare inutile al momento dell'attacco.

Passo 5. Aggiorna sistemi e chiudi vulnerabilità

Crea un processo regolare per installare aggiornamenti. Le priorità dovrebbero essere i sistemi accessibili da Internet: VPN, server di posta, server web, gateway per accesso remoto, ipervisor e pannelli di controllo.

Per le aziende è utile tenere un registro degli aggiornamenti e delle tempistiche di installazione delle patch critiche. Se non è possibile aggiornare subito il sistema, applica misure temporanee: disattiva la funzione vulnerabile, limita l'accesso per IP, isola il server o attiva monitoraggio aggiuntivo.

Passo 6. Proteggi la posta e il traffico web

Il gateway di posta deve controllare allegati, link e domini dei mittenti. Configura SPF, DKIM e DMARC per la posta aziendale, per ridurre il rischio di spoofing. Blocca tipi di file pericolosi, se non necessari per il lavoro.

Per il traffico web, utilizza filtraggio DNS, protezione da domini dannosi e limitazione del download di file eseguibili. Questo non risolverà tutti i problemi, ma ridurrà il numero di infezioni accidentali.

Passo 7. Implementa EDR o protezione avanzata dei terminali

Un antivirus standard controlla file tramite firme e comportamenti. L'EDR monitora processi, catene di avvio, connessioni di rete, tentativi di modifica di massa dei file e azioni con credenziali. Per le organizzazioni, questo è un importante strato di protezione.

Quando scegli una soluzione, presta attenzione non solo al nome del prodotto, ma anche al processo di risposta. Chi riceve gli avvisi? Chi analizza l'incidente di notte o nei giorni festivi? Quanto velocemente può essere isolato un computer infetto dalla rete?

Passo 8. Segmenta la rete

Se tutti i dispositivi sono nella stessa rete piatta, sarà più facile per il ransomware diffondersi. Suddividi l'infrastruttura in segmenti: stazioni di lavoro, server, contabilità, produzione, Wi-Fi per ospiti, telecamere, ambienti di test e amministrazione.

Tra i segmenti devono esserci regole di accesso. Ad esempio, una stazione di lavoro di un manager non ha bisogno di accesso diretto all'ipervisor o al controller di dominio. Meno collegamenti non necessari, minore sarà l'area d'attacco.

Passo 9. Prepara un piano di risposta

Il piano di risposta deve esistere prima che si verifichi l'attacco, non nel mezzo della panico. Dovrebbe contenere i contatti dei responsabili, le modalità per isolare i dispositivi, l'elenco dei sistemi critici, le regole di comunicazione e lo scenario di ripristino dai backup.

Un buon piano risponde a domande come:

• chi prende la decisione di disattivare un segmento di rete;
• come contattare il team se la posta aziendale non è disponibile;
• dove si trova l'elenco dei backup e delle password per l'accesso di emergenza;
• chi avvisa la direzione, i legali, i clienti e i regolatori;
• quali sistemi vengono ripristinati per primi;
• come vengono raccolti i dati per le indagini.

Confronto delle principali misure di protezione

Questa tabella aiuterà a stabilire le priorità. È meglio implementare le misure in modo integrato, ma se le risorse sono limitate, inizia con le più critiche: backup, MFA, aggiornamenti, limitazione dei diritti e protezione della posta.

Misura di protezione	Cosa previene	Complessità di implementazione	Cosa controllare
Backup 3-2-1	Perdita di dati dopo crittografia	Media	Esiste una copia offline o immodificabile? È stato testato il ripristino?
MFA per posta, VPN e amministratori	Furto di account	Bassa o media	Ci sono esclusioni per protocolli obsoleti e account di servizio?
Aggiornamenti regolari	Sfruttamento di vulnerabilità note	Media	I servizi pubblici vengono patchati per primi?
Limitazione dei diritti	Diffusione di massa e disattivazione della protezione	Media	Gli utenti operano senza diritti amministrativi?
Filtraggio della posta	Phishing e allegati dannosi	Bassa o media	Sono bloccati file e link pericolosi?
EDR e monitoraggio	Attività nascoste degli attaccanti	Media o alta	C'è un responsabile per l'analisi degli allarmi?
Segmentazione della rete	Diffusione rapida all'interno dell'infrastruttura	Media o alta	Sono vietati collegamenti non necessari tra segmenti?
Formazione dei dipendenti	Errori nel gestire email e file	Bassa	Si tengono regolarmente corsi e analisi di casi?

Come proteggere i backup dai ransomware

Molti ransomware cercano inizialmente di distruggere i backup. Perciò, non è sufficiente collegare un disco esterno o un'archiviazione di rete. Se un backup è accessibile in scrittura da un computer infetto, anche questo può essere crittografato.

Utilizza storage immodificabile e copie offline

Un'archiviazione immodificabile non consente di modificare o eliminare una copia per un periodo di tempo stabilito. Una copia offline è fisicamente o logicamente scollegata dalla rete principale. Entrambi gli approcci aiutano a mantenere i dati anche in caso di compromissione degli account.

Opzioni pratiche includono:

• disco esterno che viene collegato solo durante il processo di copia;
• archiviazione cloud con versioning e blocco della cancellazione;
• modalità WORM o object lock in archivi compatibili;
• server di backup separato in un segmento isolato;
• account di backup senza diritti di accesso interattivo.

Separa l'accesso ai dati e ai backup

L'account amministratore di dominio non dovrebbe avere automaticamente accesso completo ai backup. Se una password apre tutte le porte, l'attacco diventa critico rapidamente. Utilizza account separati, diverse password, MFA e registrazione delle azioni.

È anche utile mantenere le impostazioni del sistema di backup e le istruzioni per il ripristino separatamente. In una situazione di crisi, il team deve sapere dove si trovano le copie e come ripristinare i servizi senza accesso alla documentazione normale.

Testa il ripristino

Controllare il ripristino è essenziale. Il test può essere semplice: ripristinare alcuni file una volta al mese e un server critico in un ambiente isolato una volta al trimestre. Per le aziende è importante conoscere RPO e RTO. L'RPO indica quanti dati si possono perdere nel tempo. L'RTO indica quanto velocemente si deve ripristinare il servizio.

Se l'azienda non conosce questi parametri, non potrà valutare realisticamente le conseguenze dell'attacco e configurare correttamente il programma di copia.

Configurazione di workstation e server

La maggior parte degli attacchi inizia con un computer ordinario o un server vulnerabile. Pertanto, l'igiene di base dei terminali gioca un ruolo chiave.

Cosa fare sui computer di lavoro

Per le workstation, applica un profilo standard protetto:

• disattiva l'autoplay da supporti esterni;
• vieta l'esecuzione di macro da Internet, se non necessarie;
• mostra le estensioni dei file nell'esplora risorse;
• limita l'esecuzione di programmi da cartelle temporanee e profilo utente;
• usa il controllo delle applicazioni dove possibile;
• attiva il firewall locale;
• cripta i dischi dei laptop;
• blocca automaticamente lo schermo;
• rimuovi software e estensioni del browser superflui.

Fai particolare attenzione agli utenti che lavorano con molti documenti esterni: contabilità, vendite, HR, acquisti e segreteria. Sono loro che più frequentemente ricevono allegati da nuovi mittenti.

Cosa fare sui server

I server devono essere minimalisti. Meno servizi non necessari, minore è il rischio. Separa i ruoli: il controller di dominio, il server di file, il database, il server web e il sistema di backup non devono essere combinati su una sola macchina senza necessità.

Per i server è importante:

• disattivare servizi e porte non utilizzati;
• limitare l'amministrazione a una sottorete o VPN separate;
• attivare la registrazione degli accessi e modifiche;
• utilizzare password sicure e MFA dove possibile;
• monitorare i gruppi di amministratori;
• tenere il sistema operativo e le applicazioni sempre aggiornati;
• conservare i segreti non in script o file di testo, ma in un'archiviazione protetta.

Protezione di account e password

La compromissione dei dati di accesso è spesso più pericolosa rispetto all'infezione di un singolo file. Ottenendo una password, l'attaccante può agire come un utente legittimo, aggirando parte dei sistemi di sicurezza.

Politica delle password senza complicazioni eccessive

Le password devono essere lunghe e uniche. È meglio utilizzare frasi di password e un gestore di password, piuttosto che costringere le persone a inventare complesse combinazioni brevi che finiscono per annotare su carta. Per ogni servizio è necessaria una password separata.

Raccomandazioni:

• la lunghezza minima è più importante della complessità artificiale;
• vieta il riutilizzo delle password aziendali in servizi personali;
• controlla le password per verificare eventuali perdite note;
• non inviare password su messenger e email;
• utilizza un gestore di password per il team;
• cambia immediatamente la password in caso di sospetta compromissione.

Account privilegiati

Gli account amministratori richiedono controllo separato. Utilizza account separati per il lavoro quotidiano e l'amministrazione. Non aprire email e siti con l'account amministrativo. Limita l'accesso degli amministratori esclusivamente ai sistemi necessari.

Per un'infrastruttura matura, le soluzioni PAM possono essere utili, concedendo privilegi temporanei, registrando sessioni e riducendo il rischio di super-privilegi permanenti.

Formazione dei dipendenti senza formalità

Le persone non sono il punto debole, ma parte del sistema di protezione. Ma l'addestramento deve essere pratico. Una lunga presentazione una volta all'anno raramente modifica il comportamento. È meglio tenere brevi sessioni regolari, mostrare esempi reali di email e spiegare dove riferire un sospetto.

I dipendenti devono essere in grado di riconoscere i segnali di phishing:

• pressione per urgenza e paura;
• richiesta di aprire un file inaspettato;
• indirizzo del mittente strano;
• link che porta a un dominio simile, ma diverso;
• richiesta di inserire una password dopo aver cliccato sul link nell'email;
• archivio protetto da password;
• richiesta insolita da parte di un superiore o partner.

È importante creare una cultura in cui le persone non temono di riferire errori. Se un dipendente apre un file sospetto, una telefonata veloce all'IT può salvare l'intera rete. La punizione e la vergogna, al contrario, fanno sì che le persone tacciano.

Monitoraggio e rilevamento precoce

La prevenzione è importante, ma è necessario essere pronti a affrontare che parte degli attacchi supererà le prime barriere. Il rilevamento precoce riduce i danni. Tieni d'occhio i segnali che possono indicare la preparazione a una crittografia.

Segnali di un attacco possibile

Segnali sospetti:

• rinomina o modifica di massa di file;
• aumento improvviso degli errori di accesso ai file;
• accesso a orari insoliti o da paesi inusuali;
• creazione di nuovi account amministrativi;
• disattivazione di antivirus o registri;
• avvio di strumenti di amministrazione remota senza autorizzazione;
• scansione di rete da un computer utente;
• tentativi di accesso ai backup con account non tipici.

Configura la raccolta centralizzata dei log almeno per i sistemi critici: controller di dominio, VPN, posta, EDR, server di backup e archivi di file. Se non hai un team di monitoraggio interno, considera i servizi di SOC esterni o MSSP.

Cosa fare ai primi segnali di infezione

Se noti segnali di ransomware, non spegnere tutto in modo caotico. In alcuni casi, una disconnessione brusca potrebbe complicare l'inchiesta, ma anche temporeggiare è pericoloso. Agisci secondo il piano:

1. Isola il dispositivo sospetto dalla rete: scollega il cavo, disattiva il Wi-Fi o blocca la porta.
2. Non eliminare file né reinstallare il sistema fino a quando non hai acquisito i dati essenziali.
3. Comunica agli addetti all'IT e alla sicurezza.
4. Blocca gli account compromessi.
5. Controlla i dispositivi e le risorse di rete vicine.
6. Ferma la diffusione: disabilita cartelle condivise o segmenti, se necessario.
7. Salva i log e i campioni di file dannosi per l'analisi.
8. Ripristina i sistemi solo da backup puliti e verificati.

È necessario pagare il riscatto?

Il pagamento non garantisce il ripristino dei dati. I criminali potrebbero non inviare la chiave, inviare uno strumento non funzionante o attaccare nuovamente l'organizzazione. Inoltre, il pagamento sostiene l'economia criminale e potrebbe comportare rischi legali a seconda della giurisdizione e del destinatario dei fondi.

La decisione su come procedere deve essere presa con la partecipazione della direzione, dei legali, degli specialisti della sicurezza e, se necessario, delle forze dell'ordine. Ma la migliore strategia è fare in modo, in anticipo, che il riscatto non sia l'unica opzione. Per questo servono backup affidabili, un piano di ripristino e minimizzazione delle perdite di dati.

Specificità della protezione delle piccole imprese

Le piccole imprese spesso non hanno un grande team IT, ma le misure fondamentali sono comunque disponibili. Inizia con un insieme semplice e misurabile:

• attiva la MFA per posta, banca, CRM, cloud e accesso remoto;
• configura backup automatici con una copia separata e protetta;
• acquista o imposta una protezione affidabile per i terminali;
• aggiorna computer, router, NAS e server;
• vieta di lavorare come amministratore per compiti ordinari;
• forma i dipendenti a controllare email e allegati;
• conserva un elenco di contatti in caso di incidente;
• verifica chi ha accesso alle cartelle condivise.

Se non c'è un amministratore interno, è opportuno coinvolgere un appaltatore affidabile per un audit. È importante non solo installare i programmi, ma assicurarsi che i backup vengano ripristinati, che la MFA sia realmente attivata e che l'accesso remoto non sia aperto a tutto Internet.

Specificità della protezione degli utenti domestici

Gli utenti domestici affrontano anch'essi il problema dei ransomware. Il rischio è aumentato da software pirata, crack, download sospetti, aggiornamenti disattivati e assenza di backup.

Misure pratiche per la casa:

• utilizza software legale e scarica programmi dai siti ufficiali;
• attiva gli aggiornamenti automatici per Windows, macOS, browser e applicazioni;
• conserva copie importanti di foto e documenti nel cloud con versioning;
• fai periodicamente una copia offline su disco esterno;
• non disattivare la protezione integrata del sistema senza motivo;
• non aprire allegati sospetti;
• utilizza un gestore di password e MFA per le email;
• crea un account separato senza diritti di amministratore per le attività quotidiane.

Per la famiglia, è utile spiegare le regole di base ai bambini e agli anziani. Un solo file scaricato può crittografare cartelle condivise, dischi collegati e archivi familiari.

Errori comuni nella protezione dai ransomware

Anche organizzazioni con buone intenzioni commettono errori. Alcuni di essi sembrano piccoli, ma aumentano considerevolmente il rischio.

Un backup è sempre connesso in rete

Se un disco o un'archiviazione di rete è costantemente accessibile in scrittura, il ransomware potrebbe arrivare ad esso. Necessita di una copia separata che non possa essere modificata dalla rete normale.

La MFA è attivata in pochi casi

A volte, la MFA viene attivata per manager, ma si dimenticano di amministratori, VPN, protocolli email obsoleti o account di servizio. Gli attaccanti cercano proprio le eccezioni.

Tutti gli utenti hanno troppi diritti

Se un dipendente ha accesso a tutte le cartelle condivise, un'infezione del suo computer potrebbe danneggiare i dati di diversi reparti. I diritti devono corrispondere al ruolo.

Non c'è verifica del ripristino

Un backup può essere incompleto, danneggiato o troppo vecchio. Un test di ripristino regolare è una parte obbligatoria della protezione, non un'opzione aggiuntiva.

Gli incidenti vengono nascosti per paura

Se i dipendenti temono punizioni, informano in ritardo di azioni sospette. Questo dà tempo agli attaccanti. Meglio incoraggiare segnalazioni rapide e discutere errori senza pressione pubblica.

FAQ: risposte a domande popolari

Come capire se un computer è infetto da ransomware?

Segnali tipici: i file non si aprono più, sono apparse nuove estensioni, c'è un avviso di riscatto sulla scrivania o nelle cartelle, il computer funziona insolitamente lento, e l'antivirus segnala una modifica di massa dei file. In caso di sospetto, isola immediatamente il dispositivo dalla rete e contatta un esperto.

Può un antivirus prevenire completamente un attacco ransomware?

No. La protezione moderna dei terminali è importante, ma non offre garanzie assolute. Necessitano backup, MFA, aggiornamenti, limitazione dei diritti, filtraggio della posta, segmentazione della rete e un piano di risposta.

Con quale frequenza è necessario eseguire backup?

La frequenza dipende da quanto dato sei disposto a perdere. Se la perdita di un giorno è critica, i backup devono essere eseguiti più di una volta al giorno. Per banche dati importanti, potrebbe essere necessaria una copia più volte al giorno o quasi in tempo reale. La cosa principale è mantenere almeno una copia protetta lontano dal ransomware.

Il cloud protegge dai ransomware?

Il cloud aiuta, se sono attivati versioning, MFA, limitazione dei diritti e protezione dalla cancellazione. Ma la sincronizzazione di per sé non è un backup completo. Se file crittografati si sincronizzano nel cloud, senza versioni e cestino potresti perdere copie pulite.

Cosa fare se il ransomware ha già crittografato i file?

Isola i dispositivi infetti dalla rete, non pagare subito e non avviare casualmente decrittatori da Internet. Conserva l'avviso dei ricattatori e i campioni di file, contatta specialisti, verifica la presenza di backup e ripristina in un ambiente pulito. Cambia anche le password e controlla se ci sono state fughe di dati.

È necessario disattivare Internet durante un attacco?

A volte, la disconnessione temporanea dell'accesso esterno o di singoli segmenti di rete aiuta a fermare la diffusione. Ma è meglio agire secondo un piano preparato in anticipo. È importante isolare i dispositivi infetti, conservare i log e non distruggere le prove che aiutano a comprendere l'entità dell'incidente.

Checklist minima per i prossimi 7 giorni

Se devi ridurre rapidamente il rischio, inizia con un piano breve. Non sostituisce un programma di sicurezza completo, ma produce un effetto rapido.

1. Controlla se ci sono backup dei dati critici e se è possibile ripristinare almeno un file.
2. Fai una copia offline o immodificabile dei dati più importanti.
3. Attiva la MFA per la posta, VPN, servizi cloud e amministratori.
4. Chiudi RDP aperto e altri servizi non necessari da Internet.
5. Installa aggiornamenti critici sui sistemi pubblici e sulle workstation.
6. Rimuovi i diritti di amministratore locale agli utenti normali.
7. Controlla chi ha accesso alle cartelle condivise e ai backup.
8. Configura il filtraggio di allegati pericolosi nella posta.
9. Tieni un breve incontro: come riconoscere phishing e a chi segnalare.
10. Annota i contatti e le procedure da seguire in caso di infezione.

Come valutare la preparazione a un attacco

Una domanda utile è: cosa succederà se domani mattina metà dei server viene crittografata? Se la risposta non è chiara, è necessario migliorare la preparazione. Fai un esercizio da tavolo. Raccogli IT, direzione, legali, proprietari di processi chiave e segui uno scenario senza disattivare realmente i sistemi.

Verifica:

• chi scoprirà l'attacco e quanto velocemente;
• quali servizi verranno fermati per primi;
• quali dati vengono ripristinati per primi;
• dove si trovano le istruzioni, se il server file non è disponibile;
• ci sono account puliti per il ripristino;
• quanto tempo richiede l'avvio di un'infrastruttura minimamente funzionale;
• come comunicherai con dipendenti e clienti.

Tale esercizio spesso rivela lacune semplici ma critiche: non ci sono canali di comunicazione di riserva, le password di emergenza sono conservate solo nel sistema crittografato, e il responsabile per i backup è in ferie e nessuno conosce la procedura di ripristino.

Conclusione

Prevenire completamente gli attacchi da ransomware non è possibile, ma si può ridurre notevolmente la probabilità di infezione e prepararsi a un rapido ripristino. Inizia con l'inventario, la MFA, gli aggiornamenti, la limitazione dei diritti e backup sicuri. Poi aggiungi filtraggio della posta, EDR, segmentazione della rete, monitoraggio e formazione regolare. Non rimandare: scegli tre misure dalla checklist, nomina responsabili e implementale nella prossima settimana.