Come recuperare i dati crittografati: guida pratica

Come recuperare i dati crittografati è una domanda che sorge dopo un attacco di un virus ransomware, un guasto del disco, la perdita della password o errori durante l'uso di un archivio crittografato. La regola principale: non avere fretta, non sovrascrivere il supporto e non pagare il riscatto senza analizzare la situazione. In questo articolo discuteremo quali scenari di recupero sono possibili, cosa fare nei primi minuti, come controllare i backup, dove cercare le chiavi e quando contattare esperti.

Cosa significa recuperare i dati crittografati

I dati crittografati sono file, dischi, archivi o database il cui contenuto è stato trasformato tramite un algoritmo crittografico. Senza la chiave corretta, la password o la procedura di decrittazione funzionante, tali dati appaiono come una serie di byte casuali.

Pertanto, il recupero può significare diversi compiti:

• ripristinare l'accesso ai file crittografati da ransomware;
• recuperare la password o la chiave di un contenitore crittografato;
• estrarre i dati da un backup;
• riparare un disco crittografato danneggiato;
• estrarre file da un vecchio archivio, se la password è nota;
• ripristinare l'accesso al cloud o al gestore delle password.

È importante comprendere il limite: la crittografia moderna, se implementata correttamente, non può semplicemente essere violata attraverso tentativi casuali in un tempo ragionevole. Se la chiave è persa per sempre e non ci sono backup, il recupero potrebbe essere impossibile. Tuttavia, nella pratica, spesso restano tracce: copie shadow, backup, sincronizzazione, chiavi salvate, versioni precedenti dei file, log delle operazioni o decrittatori per famiglie di virus noti.

Prime azioni dopo aver rilevato il problema

Se i file hanno improvvisamente ricevuto un'estensione strana, hanno smesso di aprirsi o è apparso un messaggio di riscatto sullo schermo, agisci con cautela. Azioni sbagliate possono distruggere le ultime possibilità di recupero.

Piano passo-passo nei primi 30 minuti

1. Disconnettere il dispositivo dalla rete. Estrai il cavo Ethernet, disattiva il Wi-Fi e il Bluetooth. Questo riduce il rischio di diffusione del ransomware su cartelle di rete e altri dispositivi.
2. Non spegnere bruscamente il computer se la crittografia è attiva. Prima disconnetti la rete. Poi valuta la situazione. In alcuni casi, i dati nella memoria e i processi attivi possono essere utili agli esperti.
3. Non cancellare i file crittografati e le note di riscatto. Possono contenere l'identificativo della vittima, indirizzi, estensioni dei file e dettagli sulla variante del malware.
4. Non reinstallare il sistema su quello vecchio. La reinstallazione può cancellare copie shadow, log e file temporanei.
5. Fai una copia del supporto o delle cartelle importanti. Lavorare con la copia, mentre l'originale rimane invariato.
6. Registra i segni dell'incidente. Annotare la data, l'ora, le estensioni dei file, il testo della nota, i nomi dei processi sospetti e le ultime azioni dell'utente.
7. Controlla altri dispositivi e archiviazione di rete. Se la crittografia ha raggiunto NAS o cartelle condivise, disconnettile dalla rete.

Questa sequenza aiuta a preservare le prove e a non peggiorare le condizioni dei dati.

Determina la causa della crittografia

Il metodo di recupero dipende dalla causa. Prima di cercare un decrittatore o avviare programmi di recupero file, è necessario comprendere cosa sia effettivamente accaduto.

Virus ransomware

Questo è lo scenario più comune. Il malware crittografa documenti, foto, database e archivi e poi richiede il pagamento per la chiave. Segni:

• i file hanno ricevuto una nuova estensione;
• nelle cartelle ci sono file con istruzioni per il pagamento;
• alcune applicazioni hanno smesso di avviarsi;
• l'antivirus ha rilevato il ransomware o processi sospetti;
• sono stati crittografati cartelle di rete e dischi esterni.

In questo caso, è necessario prima fermare la diffusione, identificare la famiglia del malware e controllare la disponibilità di un decrittatore gratuito.

Password dimenticata o chiave persa

A volte i dati sono stati crittografati con uno strumento legittimo: BitLocker, VeraCrypt, FileVault, 7-Zip, WinRAR, un sistema DLP aziendale o la crittografia integrata dello smartphone. Il problema si presenta quando la password è dimenticata, il TPM è cambiato, la chiave di recupero è stata cancellata o l'account non è accessibile.

Qui non si tratta di azioni antivirus, ma di cercare chiavi, controllare gli account, i registri vecchi, i gestori di password e le archiviazioni aziendali.

Danneggiamento del supporto o del file system

Un disco crittografato può essere fisicamente danneggiato. In tal caso, la password è nota, ma il contenitore non si apre. La causa può risiedere in settori danneggiati, malfunzionamenti del controller, errori di aggiornamento o spegnimenti improvvisi.

In caso di segnali di danni fisici, non avviare scansioni di massa e non tentare di montare ripetutamente il disco. Prima, effettua un'immagine settoriale, se possibile, o rivolgiti a un laboratorio di recupero dati.

Errore di sincronizzazione o servizio cloud

I file potrebbero essere stati crittografati su un dispositivo e poi sincronizzati su cloud. Ma molti servizi hanno uno storico delle versioni e un cestino. Questo può diventare un modo rapido per tornare indietro.

Controlla:

• la cronologia delle versioni del file;
• il cestino del cloud;
• i dispositivi rimossi dall'account;
• la data dell'ultima sincronizzazione;
• l'esistenza di accessi sospetti.

Cosa non fare durante il recupero di file crittografati

Alcune azioni possono sembrare logiche, ma danneggiano il recupero.

Non è consigliabile:

• formattare il disco prima di creare una copia;
• eseguire decrittatori casuali da forum;
• pagare il riscatto senza consulenza e valutazione dei rischi;
• caricare file sconosciuti su siti dubbi;
• eseguire comandi dalla nota dei criminali;
• cancellare file temporanei e punti di ripristino;
• continuare a utilizzare il computer compromesso come al solito;
• installare programmi di recupero sullo stesso disco in cui si trovano i dati.

Particolarmente pericolosi sono i falsi decrittatori. Possono rubare ulteriormente password, installare mining software o crittografare nuovamente i file. Usa solo fonti verificate: siti di sviluppatori antivirus, progetti contro ransomware, documentazione ufficiale dei fornitori.

Come recuperare i dati crittografati dopo un attacco ransomware

Di seguito una sequenza di azioni sicure. Non garantisce il successo, ma aiuta a utilizzare tutte le opzioni reali.

Passo 1. Isola il sistema infetto

Disconnetti la rete e i dispositivi esterni. Se il computer si trova in ufficio, informa l'amministratore. In un ambiente aziendale, è importante bloccare rapidamente gli account, controllare le cartelle condivise e disconnettere le macchine compromesse.

Se il ransomware è ancora attivo, chiudere i processi deve avvenire con cautela. Per l'utente domestico, di solito è più sicuro disconnettere la rete e spegnere il computer dopo aver registrato i segni. Per le aziende, è meglio conservare lo stato del sistema fino all'arrivo di un esperto di risposta agli incidenti.

Passo 2. Crea una copia dei dati

Copia i file crittografati, le note dei sequestratori e alcuni originali non crittografati, se ci sono. Conserva la copia su un disco separato. Se possibile, crea un'immagine dell'intero supporto.

Devi lavorare solo con la copia. Questo è importante perché alcuni decrittatori possono danneggiare i file se viene selezionata erroneamente la famiglia di ransomware o se la chiave è incompleta.

Passo 3. Determina il tipo di ransomware

Per l'identificazione sono necessari:

• l'estensione dei file crittografati;
• il testo della nota;
• indirizzi email o siti web dalla richiesta di riscatto;
• un esempio di file crittografato;
• un file originale non crittografato della stessa versione, se disponibile.

Controlla le informazioni solo su fonti affidabili. Molte aziende antivirus pubblicano database di ransomware noti e utilità di decrittazione gratuite. Se esiste un decrittatore, leggi attentamente le istruzioni e testalo prima su copie.

Passo 4. Controlla i backup

Il backup è il modo più affidabile per il recupero dopo un attacco ransomware. Ma deve essere controllato. A volte i ransomware eliminano i backup locali o crittografano i dischi USB collegati.

Controlla:

• dischi esterni che non sono stati collegati durante l'attacco;
• NAS con snapshot di stato;
• copie su cloud;
• la cronologia delle versioni in OneDrive, Google Drive, Dropbox e altri servizi;
• backup in Windows, macOS o Linux;
• sistemi di backup aziendali;
• archivi di vecchi progetti.

Non collegare il disco di backup a un sistema infetto. Prima, pulisci il computer o utilizza un ambiente sicuro separato.

Passo 5. Cerca copie shadow e versioni precedenti

In Windows alcune versioni di ransomware eliminano le copie shadow, ma non tutte lo fanno con successo. Controlla le versioni precedenti di file e cartelle. Puoi anche esaminare i punti di ripristino del sistema, se erano abilitati.

Su macOS controlla Time Machine. In Linux prestare attenzione a snapshot di Btrfs, ZFS, LVM o strumenti di backup utilizzati in precedenza.

Se ci sono copie shadow, ripristina prima alcuni file di prova. Poi assicurati che il sistema sia già stato ripulito dal malware.

Passo 6. Controlla la cronologia delle versioni cloud

Se i file sono stati sincronizzati con il cloud, un rollback delle versioni può aiutare anche quando le copie locali sono crittografate. Molti servizi cloud consentono di ripristinare un file allo stato di una certa data.

Procedi in questo modo:

1. Accedi al cloud da un dispositivo pulito.
2. Cambia la password e attiva l'autenticazione a due fattori.
3. Controlla la cronologia degli accessi e le applicazioni collegate.
4. Trova le cartelle in cui sono apparsi file crittografati.
5. Usa il ripristino delle versioni precedenti o un rollback di massa, se supportato dal servizio.
6. Scarica i dati ripristinati su un supporto sicuro.

Passo 7. Usa un decrittatore gratuito se disponibile

I decrittatori gratuiti esistono solo per alcune famiglie di ransomware. Appaiono quando i ricercatori trovano bug nell'implementazione della crittografia, ottengono chiavi dalle forze dell'ordine o analizzano le infrastrutture dei criminali.

Prima di avviare:

• assicurati che il decrittatore sia destinato specificamente alla tua variante;
• scarica lo strumento dal sito ufficiale;
• fai copie dei file crittografati;
• leggi i requisiti per i file originali;
• testalo su una piccola cartella.

Se il decrittatore non ha funzionato, non avviare decine di utilità simili in rapida successione. Questo può danneggiare la struttura dei file e complicare l'analisi.

Passo 8. Pulisci il sistema e ripristina i dati

Dopo aver confermato la fonte di recupero, è necessario rimuovere il malware. Un'opzione affidabile è la reinstallazione completa del sistema da un supporto verificato e l'installazione di aggiornamenti. Poi puoi ripristinare i dati da un backup pulito.

Se si tratta di un'azienda, controlla anche:

• gli account di dominio;
• RDP, VPN e accesso remoto;
• i log degli accessi;
• allegati e-mail;
• diritti su cartelle di rete;
• l'esistenza di altri nodi compromessi.

Il recupero dei file senza affrontare la causa può portare a una ulteriore crittografia.

Come recuperare l'accesso se la password o la chiave sono dimenticate

Se i dati sono stati crittografati da te o da un'organizzazione, inizia con la ricerca di chiavi legittime. È più sicuro ed efficiente rispetto al tentativo di indovinare.

Controlla i gestori delle password e i registri

Cerca la password in:

• un gestore di password;
• la memoria del browser;
• appunti sul telefono;
• registrazioni cartacee;
• vecchi e-mail;
• base di conoscenza aziendale;
• file con suggerimenti;
• backup del profilo utente.

Ricorda anche schemi utilizzati durante la creazione dell'archivio o del contenitore: lingua, layout della tastiera, date, caratteri speciali, vecchie varianti della password.

Trova la chiave di ripristino di BitLocker

Per BitLocker, la chiave di ripristino può essere conservata in diversi luoghi:

• nell'account Microsoft;
• in Azure AD o Entra ID per dispositivi di lavoro;
• in Active Directory;
• su una stampa;
• in un file su un'unità USB;
• dall'amministratore di sistema;
• nella documentazione del dispositivo, se la crittografia è stata abilitata durante la configurazione.

Se il sistema chiede la chiave dopo aver modificato le impostazioni di BIOS, TPM o ordine di avvio, ripristina prima le impostazioni precedenti. A volte questo risolve il problema senza decrittazione manuale.

Controlla le chiavi di FileVault e Apple ID

Su Mac, la chiave di FileVault potrebbe essere collegata all'Apple ID o conservata come recovery key. Controlla i dispositivi fidati, le impostazioni dell'Apple ID, il profilo MDM aziendale e i documenti creati durante l'attivazione della crittografia.

Se la password dell'utente è nota ma il disco non si apre, prova a riavviare in modalità di recupero e utilizza gli strumenti standard di macOS. In caso di segni di difetti hardware, crea prima un'immagine del disco.

Valuta la possibilità di indovinare la password

Il tentativo di indovinare è possibile solo con password deboli o parzialmente note. Ad esempio, se ricordi la base della password ma hai dimenticato l'anno o un simbolo. Per una lunga frase casuale, il tentativo diventa praticamente inutile.

Il tentativo di indovinare è ammesso solo per i dati propri o con autorizzazione ufficiale del proprietario. Non utilizzare servizi online sospetti che richiedono il caricamento di archivi riservati. È meglio lavorare localmente e con una copia del file.

Recupero di dati crittografati da un supporto danneggiato

Quando il disco fa clic, scompare dal sistema, funziona molto lentamente o mostra errori di lettura, l'obiettivo principale è non compromettere ulteriormente il supporto.

Segni di guasto fisico

Contatta degli esperti se riscontri:

• suoni strani dal disco rigido;
• odore di bruciato o segni di surriscaldamento;
• il disco viene riconosciuto a intermittenza;
• la velocità di lettura scende a zero;
• il SMART mostra errori critici;
• l'unità è stata bagnata o è caduta;
• l'SSD diventa improvvisamente inaccessibile.

Per i dischi crittografati, un errore fisico è particolarmente pericoloso. Anche un piccolo danno all'intestazione del contenitore, all'area di servizio o ai metadati può bloccare l'accesso azionato a tutta l'unità.

Perché è necessaria prima un'immagine

Un'immagine del disco è una copia settoriale. Può essere utilizzata più volte senza sovraccaricare il supporto originale. Per i dischi danneggiati vengono utilizzati strumenti che possono saltare settori malfunzionanti e tornare su di essi in un secondo momento.

Se la password è nota, la sequenza di solito è:

1. Creare un'immagine del supporto il più completa possibile.
2. Salvare l'originale senza ulteriori esperimenti.
3. Verificare l'integrità delle intestazioni o del contenitore.
4. Provare a montare la copia.
5. Recuperare il file system all'interno dell'immagine decrittata.

Se la password è sconosciuta e il supporto è danneggiato, il compito diventa significativamente più difficile. In questo caso, è meglio non sperimentare.

Confronto dei metodi di recupero

Di seguito è riportata una tabella riassuntiva che aiuta a scegliere il percorso a seconda della situazione.

Situazione	Miglior primo passo	Probabilità di successo	Rischio
C'è un backup pulito	Pulisci il sistema e ripristina il backup	Alto	Basso
Ransomware noto	Trova un decrittatore ufficiale	Medio	Basso se si lavora con una copia
Ransomware sconosciuto	Identificazione e consulenza esperto	Dipende dalla famiglia	Medio
Password dell'archivio dimenticata	Ricerca suggerimenti e tentativo locale con maschera	Basso o medio	Basso
Chiave di BitLocker persa	Controlla l'account Microsoft, AD o Entra ID	Medio	Basso
Disco danneggiato	Crea un'immagine o contatta un laboratorio	Dipende dal danno	Alto per tentativi autonomi
I file sono crittografati e sincronizzati nel cloud	Ripristino della cronologia delle versioni	Medio o alto	Basso

Vale la pena pagare il riscatto?

Il pagamento ai criminali non garantisce il recupero. Anche se la chiave viene inviata, il decrittatore potrebbe funzionare lentamente, danneggiare parte dei file o non essere adatto alla tua variante. Inoltre, il pagamento supporta lo schema criminale e potrebbe violare le regole interne dell'azienda o le richieste dei regolatori.

Prima di prendere qualsiasi decisione, valuta:

• se ci sono backup;
• se esiste un decrittatore gratuito;
• quali dati sono realmente critici;
• quanto tempo richiederà il recupero dai backup;
• se ci sono limitazioni legali;
• se è necessario informare clienti, partner o regolatori;
• se i dati sono stati rubati prima della crittografia.

Per le organizzazioni è importante coinvolgere un avvocato, un esperto di sicurezza informatica e la dirigenza. A volte un incidente non riguarda solo la perdita di accesso, ma anche la fuga di dati.

Come aumentare le probabilità di successo del recupero

Anche se la situazione si è già verificata, alcune azioni aumentano la probabilità di successo.

Conserva tutti gli artefatti

Conserva le note dei sequestratori, esempi di file, log, e-mail con allegati sospetti, elenco delle estensioni e screenshot. Questi aiutano a determinare la famiglia di ransomware e comprendere il percorso di intrusione.

Cerca originali non crittografati

Gli originali possono essere rimasti:

• negli allegati e-mail;
• sul telefono;
• nei messaggi;
• su un vecchio laptop;
• presso colleghi;
• su un'unità flash;
• nella cache delle applicazioni;
• nella cartella dei download;
• nel cestino del cloud.

A volte per un decrittatore è necessaria una copia di un file crittografato e la sua versione originale. Pertanto, non eliminare i duplicati.

Separa recupero e indagine

L'obiettivo del recupero è riportare i dati in funzione. L'obiettivo dell'indagine è comprendere come sia avvenuto l'incidente. Questi processi sono collegati, ma non devono ostacolarsi a vicenda. Ad esempio, è possibile ripristinare rapidamente il servizio da una copia pulita e mantenere il server infetto come immagine per l'analisi.

Prevenzione: come non perdere di nuovo i dati crittografati

Il modo migliore per recuperare file crittografati è avere un piano preparato in anticipo. Deve essere semplice e verificabile.

Usa la regola 3-2-1

Conserva almeno tre copie dei dati su due diversi tipi di supporti, di cui una deve trovarsi al di fuori del sistema principale. Ad esempio: computer di lavoro, disco esterno e cloud con cronologia delle versioni.

Per proteggersi dai ransomware, copie non modificabili sono particolarmente utili. Questi sono backup che non possono essere modificati o eliminati da un account normale. In ambito aziendale, vengono utilizzati archiviazioni WORM, snapshot con protezioni da cancellazione e account separati per i backup.

Verifica il ripristino, non solo la creazione di backup

Un backup è prezioso solo se può essere ripristinato. Pertanto, effettua regolarmente questo test:

1. Seleziona alcuni file importanti.
2. Ripristinali in una cartella separata.
3. Controlla se si aprono.
4. Confronta date e versioni.
5. Registra il tempo di recupero.
6. Aggiorna le istruzioni se ci sono stati problemi.

Questo test richiede poco tempo, ma mostra in anticipo i punti deboli.

Limita i diritti di accesso

Il ransomware di solito agisce con i diritti dell'utente che l'ha avviato. Se l'utente ha accesso a tutte le cartelle di rete, il danno sarà maggiore. Usa il principio del minimo privilegio: accesso solo ai dati necessari per il lavoro.

Disabilita anche l'accesso remoto non necessario, proteggi RDP e VPN con autenticazione multifattoriale, aggiorna i sistemi e filtra gli allegati nelle email.

Conserva le chiavi di ripristino separatamente

Le chiavi di BitLocker, FileVault, VeraCrypt e le password degli archivi devono essere conservate separatamente dai dati crittografati. Una buona opzione è un gestore di password affidabile con accesso di recupero, un kit di emergenza stampato in una cassaforte o un archivio segreto aziendale.

Non conservare la chiave di ripristino in un file di testo sullo stesso disco crittografato. In caso di guasto, non sarà disponibile.

Domande frequenti sul recupero di dati crittografati

È possibile recuperare dati crittografati senza chiave?

A volte è possibile, ma non a spese della violazione di una forte crittografia. Opzioni reali includono backup, storie di versioni cloud, copie shadow, chiavi trovate, errori nel ransomware o decrittatori ufficiali. Se l'algoritmo è implementato correttamente, la chiave è persa e non ci sono copie, il recupero può essere impossibile.

Un programma di recupero di file eliminati può aiutare?

Può aiutare se i file originali sono stati eliminati dopo la creazione delle copie crittografate e il loro posto sul disco non è ancora stato sovrascritto. Ma con SSD e TRIM il rischio è ridotto. È importante installare il programma su un altro disco e scansionare una copia del supporto, non l'originale.

È possibile decrittografare file dopo ransomware gratuitamente?

Sì, se esiste un decrittatore gratuito per una specifica famiglia. Deve essere cercato sui siti di note aziende antivirus e progetti specializzati. Se non esiste un decrittatore, il recupero gratuito è possibile tramite backup, copie shadow o versioni cloud.

Cosa fare se le foto sul telefono sono crittografate?

Prima disconnetti internet e non eliminare i file. Controlla le copie cloud: Google Photos, iCloud, OneDrive o un altro servizio. Controlla il cestino e la cronologia delle modifiche. Se è stata utilizzata una scheda di memoria, crea un'immagine di essa e lavora con la copia. Non installare applicazioni sconosciute per la decrittazione.

È possibile recuperare dati dopo la formattazione di un disco crittografato?

A volte è possibile, se la formattazione è stata rapida e la chiave è nota. Ma se le intestazioni del contenitore crittografato sono state eliminate o i metadati sovrascritti, il compito si complica. Dopo la formattazione, interrompi immediatamente la scrittura sul disco e crea un'immagine.

È necessario contattare la polizia?

In caso di attacco ransomware, è una mossa ragionevole, soprattutto per le aziende. Contattare le autorità aiuta a registrare l'incidente e potrebbe essere necessario per questioni assicurative, regolatori o indagini interne. Inoltre, le forze dell'ordine a volte ottengono chiavi da gruppi criminali noti.

Quando contattare esperti

Le azioni autonome sono appropriate se hai un backup, uno scenario chiaro e non ci sono segni di guasti fisici. Ma hai bisogno dell'aiuto di un esperto quando:

• i dati sono critici per il business;
• server, database o contabilità sono crittografati;
• ci sono segni di fuga di informazioni;
• il disco è danneggiato;
• non ci sono backup;
• il tipo di ransomware è sconosciuto;
• è necessario conservare le prove;
• è necessario recuperare un'infrastruttura complessa.

Quando scegli un fornitore, domanda come lavorano con le copie, forniscono un rapporto di diagnosi, mantengono la riservatezza e non richiedono immediatamente di trasferire il supporto originale senza descrivere la procedura.

Breve checklist di recupero

Usa questo elenco come guida rapida:

1. Disconnetti il dispositivo infetto dalla rete.
2. Non eliminare file crittografati e note.
3. Crea una copia dei dati o un'immagine del disco.
4. Determina la causa: ransomware, chiave dimenticata, guasto del supporto o sincronizzazione cloud.
5. Controlla backup e cronologia delle versioni.
6. Trova chiavi di ripristino e password.
7. Verifica l'esistenza di un decrittatore ufficiale.
8. Recupera solo in un ambiente pulito.
9. Dopo il recupero, affronta la causa dell'incidente.
10. Configura backup sicuri e archiviazione delle chiavi.

Conclusione

Recuperare dati crittografati non è sempre possibile, ma una sequenza corretta di azioni aumenta notevolmente le probabilità. Inizia isolando il dispositivo, conserva le copie e determina la causa. Poi controlla backup, versioni cloud, chiavi di recupero e decrittatori ufficiali. Se i dati sono importanti o il supporto è danneggiato, non sperimentare: contatta esperti e lavora solo con copie. Inizia ora con la checklist sopra: questo è il modo più sicuro per il recupero e la protezione dei dati in futuro.