Programmi dannosi e virus ransomware: come proteggersi e ripristinare l'accesso

I programmi dannosi e i virus ransomware rimangono una delle minacce più pericolose per gli utenti domestici, le piccole imprese e le grandi organizzazioni. Rubano dati, bloccano il funzionamento dei dispositivi, criptano file e chiedono un riscatto per ripristinare l'accesso. In questo articolo esamineremo come funzionano queste minacce, come il ransomware si differenzia dai virus normali, come ridurre il rischio di infezione, cosa fare durante un attacco e perché i backup sono più importanti di qualsiasi promessa dei criminali.

Cosa sono i programmi dannosi

Un programma dannoso, o malware, è qualsiasi software creato per accesso non autorizzato, danneggiamento dei dati, sorveglianza, furto di denaro o interruzione del funzionamento del sistema. Il termine comprende diversi tipi di minacce: virus, trojan, worm, moduli di spionaggio, adware, client botnet, stealer di password e programmi di richiesta di riscatto.

Il principale problema è che i moderni programmi dannosi raramente agiscono da soli. Un file infetto può prima installare un loader, poi scaricare un trojan, disattivare la protezione, rubare le password dal browser e solo dopo avviare la crittografia. Pertanto, la protezione deve essere multilivello: aggiornamenti, backup, antivirus, controllo degli accessi e attenzione da parte dell'utente.

È importante capire: il malware non sembra sempre un virus ovvio. Può mascherarsi da fattura, curriculum, aggiornamento driver, programma gratuito, attivatore pirata, estensione del browser o persino messaggio da un'account conosciuto in un messenger.

Cosa sono i virus ransomware

I virus ransomware, o ransomware, sono una forma di malware che limita l'accesso ai dati o al sistema e richiede un riscatto. Più comunemente, crittografa documenti, foto, database, archivi, progetti, file contabili e cartelle di rete. Dopo un attacco, l'utente vede un messaggio che richiede il pagamento per la decrittazione, di solito in criptovaluta.

Tecnologicamente, molti ransomware non sono virus classici, perché non sempre si propagano automaticamente infettando file. Tuttavia, nella vita di tutti i giorni, spesso vengono chiamati virus. Un termine più preciso è programmi di richiesta di riscatto. Possono infiltrarsi tramite email di phishing, vulnerabilità nell'accesso remoto, siti compromessi, allegati malevoli e account compromessi.

Il pericolo dei ransomware è che attaccano non solo un singolo computer. Se il dispositivo è connesso a una rete condivisa, il software dannoso può raggiungere dischi di rete, server, cartelle cloud sincronizzate e backup disponibili per la scrittura. Pertanto, l'isolamento e una corretta architettura di archiviazione dei dati sono critici.

Come funzionano i virus ransomware

Un attacco tipico passa attraverso diverse fasi. Lo schema specifico dipende dalla famiglia di malware e dagli obiettivi dei criminali, ma la logica è spesso simile.

1. Infiltrazione nel sistema. L'utente apre un allegato malevolo, clicca su un link, avvia un file scaricato o il criminale sfrutta una vulnerabilità in un servizio di accesso remoto.
2. Consolidamento e ricognizione. Il programma esamina il sistema, cerca file preziosi, risorse di rete, diritti di amministratore, antivirus e strumenti di backup.
3. Disabilitazione della protezione. Alcuni campioni cercano di fermare i servizi di sicurezza, rimuovere le copie shadow di Windows, disattivare il ripristino del sistema o distruggere i backup locali.
4. Furto di dati. Sempre più spesso, prima della crittografia, i criminali copiano documenti e minacciano di pubblicarli. Questo si chiama doppio estorsione.
5. Crittografia dei file. I dati vengono trasformati utilizzando algoritmi crittografici. Senza la chiave, il ripristino può essere impossibile.
6. Visualizzazione della richiesta di riscatto. Sul desktop, nelle cartelle o nel browser appare un'istruzione per il pagamento e un contatto per comunicare.

Una crittografia ben realizzata non può essere craccata semplicemente indovinando la password. Pertanto, l'unica speranza è sui backup, gli errori dei criminali, i decrittatori disponibili per una specifica famiglia o il recupero professionale dai resti dei dati.

Come si differenziano i principali tipi di malware

Non tutte le minacce crittografano file. Alcuni agiscono di nascosto per mesi, raccogliendo dati e preparando il terreno per un attacco più serio. Di seguito è riportato un breve confronto dei tipi comuni di malware.

Tipo di minaccia	Cosa fa	Segni tipici	Principale rischio
Virus	Si integra nei file e può propagarsi quando vengono eseguiti	Errori di programmazione, file danneggiati, avvisi antivirus	Danneggiamento del sistema e dei dati
Trojan	Si maschera da programma utile	Processi incomprensibili, nuove autoavviamenti, connessioni sospette	Accesso remoto e installazione di altro software
Worm	Si propaga autonomamente in rete	Aumento rapido dell'attività di rete	Infezione di massa dei dispositivi
Spyware	Raccolta di dati sull'utente	Rallentamento del browser, estensioni sconosciute	Furto di informazioni personali
Stealer	Ruba password, cookie e token	Accessi a account da dispositivi estranei	Acquisizione di email, conti bancari e account di lavoro
Ransomware	Crittografa file e richiede un riscatto	Nuove estensioni di file, messaggio di riscatto	Perdita di dati e inattività aziendale
Client botnet	Collega il dispositivo alla rete dei criminali	Carico elevato, richieste di rete	DDoS, invio di spam, attacchi futuri

Questa tabella dimostra perché non si può valutare la sicurezza solo in base al fatto che i file si aprono. Se il sistema funziona, ma le password sono già state rubate, il danno potrebbe manifestarsi in seguito.

Principali vie di infezione

La maggior parte delle infezioni inizia non con un hacking complesso, ma con un errore nel lavoro quotidiano. I criminali sfruttano la fretta, la fiducia e l'abitudine di cliccare su pulsanti familiari.

Email di phishing e allegati

Una email può apparire come un messaggio da una banca, un servizio di consegna, un'agenzia delle entrate, un appaltatore o un collega. All'interno c'è un link a un sito falso o un file: documento, archivio, PDF, fattura, foglio di calcolo. A volte il codice dannoso viene attivato tramite macro o script incorporati.

Particolarmente pericolose sono le email che richiedono un'azione urgente: pagare una multa, controllare un contratto, confermare una password, aprire un atto entro la fine della giornata. La pressione del tempo riduce l'attenzione.

Vulnerabilità nei programmi e nel sistema

Un sistema operativo non aggiornato, un browser obsoleto, un client VPN datato, un server con RDP aperto o un'applicazione senza patch possono diventare un punto di ingresso. In un ambiente aziendale, questo porta spesso a un'infezione non solo di un computer, ma dell'intera rete.

Gli aggiornamenti non servono solo a migliorare l'aspetto dell'interfaccia. Chiudono le vulnerabilità note, che possono già essere sfruttate attivamente negli attacchi.

Software pirata e attivatori

Versioni pirata, crack e attivatori sono una delle fonti più rischiose di programmi dannosi. L'utente disattiva volontariamente la protezione, esegue un file con privilegi di amministratore e gli concede pieno accesso al sistema. Per il criminale, questa è una situazione ideale.

Anche se il programma funziona, all'interno potrebbe esserci un stealer, un miner, un trojan di accesso remoto o un loader di ransomware.

Account compromessi

Se il criminale ha ottenuto la password di un'email, di un cloud, di un pannello di amministrazione o di accesso remoto, può agire come un utente legittimo. Pertanto, un antivirus da solo non risolve il problema. Sono necessarie password uniche, un gestore di password e autenticazione a più fattori.

Segni di infezione del computer

Alcuni programmi dannosi lavorano in modo furtivo, ma molti lasciano tracce. Prima le si scopre, maggiore è la possibilità di limitare i danni.

Fai attenzione ai seguenti segni:

• il computer è rallentato drasticamente senza motivo apparente;
• le ventole fanno rumore anche durante un lavoro semplice;
• il browser apre schede strane o modifica il motore di ricerca;
• sono comparse estensioni, programmi o servizi sconosciuti;
• l'antivirus è disattivato o non si avvia;
• i file hanno ricevuto estensioni insolite;
• i documenti non si aprono più;
• nelle cartelle sono comparsi file con richieste di riscatto;
• il sistema riporta errori di accesso di massa;
• ci sono accessi agli account da dispositivi sconosciuti;
• il traffico di rete è aumentato drasticamente;
• i colleghi ricevono da te email o messaggi sospetti.

In caso di sospetto di ransomware, la cosa principale è non continuare a lavorare normalmente. Ogni minuto può significare nuovi file crittografati, soprattutto se sono connesse cartelle di rete o dischi esterni.

Cosa fare in caso di attacco ransomware

Se vedi una nota di riscatto o i file iniziano a cambiare estensioni in massa, agisci con calma e rapidamente. Di seguito è riportato un ordine passo dopo passo che aiuta a ridurre i danni.

1. Disconnetti il dispositivo dalla rete. Stacca il cavo di rete, disattiva Wi-Fi e Bluetooth. Questo fermerà la propagazione in rete e l'accesso alle cartelle di rete.
2. Non riavviare il computer senza necessità. Alcuni dati potrebbero rimanere in memoria. Questo è a volte importante per gli esperti.
3. Non eliminare la nota di riscatto e i file crittografati. Potrebbero essere necessari per identificare la famiglia del ransomware e trovare un decrittatore.
4. Disconnetti i dischi esterni. Se non sono ancora stati crittografati, staccali fisicamente.
5. Informa le persone responsabili. In azienda, notifica immediatamente il reparto IT, il servizio di sicurezza, il manager e l'ufficio legale, se sono coinvolti dati personali.
6. Fai una copia del supporto infetto. Se possibile, crea un'immagine del disco per l'analisi. Non lavorare con l'originale senza necessità.
7. Controlla altri dispositivi. Presta particolare attenzione a server, cartelle condivise, account di dominio e sistemi di backup.
8. Identifica il tipo di ransomware. Usa la nota, l'estensione dei file e i servizi di identificazione sicuri, se disponibili.
9. Cerca decrittatori ufficiali. Per alcune famiglie più vecchie o implementate male ci sono strumenti gratuiti da parte di gruppi di ricerca e produttori di software di protezione.
10. Ripristina i dati solo dopo aver ripulito. Prima, è necessario rimuovere il malware, chiudere il punto d'ingresso e cambiare le password compromesse.

Non è saggio pagare il riscatto come prima opzione. Il pagamento non garantisce la decrittazione, sostiene un modello criminale e non elimina la causa dell'hacking. Inoltre, i criminali possono conservare i dati rubati e chiedere di nuovo denaro.

Come rimuovere un programma dannoso in modo sicuro

La rimozione dipende dal tipo di minaccia e dall'entità dell'infezione. Per un computer domestico, spesso è sufficiente avviare in modalità sicura, controllare con più scanner affidabili e ripristinare il sistema da una copia pulita. Per le aziende è necessario un processo più rigoroso: isolamento, forensics, analisi dei registri, cambio delle credenziali e controllo dell'intera infrastruttura.

Un approccio sicuro di base è il seguente:

• disconnettere il dispositivo infetto dalla rete;
• salvare importanti artefatti per l'analisi;
• avviarsi da un supporto fidato o utilizzare la modalità di recupero;
• scansionare il sistema con software antivirus aggiornati;
• rimuovere le minacce trovate;
• controllare l'autoavvio, l'attività programmata, le estensioni del browser e i servizi sconosciuti;
• aggiornare il sistema e le applicazioni;
• cambiare le password da un dispositivo pulito;
• abilitare l'autenticazione a più fattori;
• ripristinare i dati da un backup verificato.

Se l'infezione ha colpito la rete di lavoro, non limitarti a un solo computer. Spesso il ransomware si avvia sulla macchina finale, ma il punto d'ingresso è altrove: una password RDP debole, un'account amministrativa rubata, un server vulnerabile o un VPN configurato in modo errato.

Come proteggersi dai programmi dannosi e dal ransomware

Una protezione affidabile si basa non su un singolo strumento, ma su una combinazione di abitudini, impostazioni e procedure. Anche il miglior antivirus non aiuterà, se tutti i dipendenti hanno una sola password, i backup sono nella stessa cartella e gli aggiornamenti sono disattivati da anni.

Aggiorna il sistema e le applicazioni

Imposta aggiornamenti automatici per il sistema operativo, il browser, i pacchetti per ufficio, i messenger, gli archivi, i client VPN e il software server. Le applicazioni obsolete diventano spesso un comodo punto di ingresso.

Per le aziende è utile tenere un inventario del software. Non puoi proteggere ciò di cui non sei a conoscenza.

Utilizza backup secondo la regola 3-2-1

La regola 3-2-1 significa: conserva almeno tre copie dei dati, su due tipi diversi di supporti, dove una copia deve essere fuori dall'ambiente principale. Ad esempio: file di lavoro sul computer, copia di backup su storage di rete e una copia offline separata su un disco esterno o in un cloud protetto.

Il punto chiave è che il backup deve essere inaccessibile al ransomware per la scrittura. Se la cartella di backup è costantemente connessa come un normale disco, il ransomware potrebbe crittografarla anch'essa.

Abilita l'autenticazione a più fattori

L'MFA riduce il rischio di furto dell'account, anche se la password è trapelata. È particolarmente importante abilitarla per email, servizi cloud, VPN, pannelli di amministrazione, CRM, contabilità e accesso remoto.

È meglio usare app di autenticazione o chiavi hardware. I codici SMS sono meglio di niente, ma sono meno resistenti ad alcune tipologie di attacco.

Limita i diritti degli utenti

Non lavorare ogni giorno con un account amministrativo. Un utente normale non ha bisogno dei diritti per installare driver, modificare cartelle di sistema e disabilitare la protezione. In azienda applica il principio del minimo privilegio necessario.

Se un programma dannoso viene eseguito con diritti limitati, le sue possibilità sono spesso inferiori. Questa non è una protezione assoluta, ma una barriera importante.

Configura la protezione di email e browser

Filtri anti-spam, controlli degli allegati, blocco di tipi di file pericolosi, sandbox e protezione contro il phishing riducono la probabilità di esecuzione di codice dannoso. Nel browser, è consigliabile disattivare estensioni superflue e installare nuove solo da fonti fidate.

Non consentire macro nei documenti di office per impostazione predefinita. Se le macro sono davvero necessarie, configura la loro esecuzione solo per i file firmati e verificati.

Forma gli utenti

Le persone spesso diventano la prima linea di difesa. Spiega ai dipendenti e ai membri della famiglia come appaiono le email di phishing, perché non devono aprire archivi imprevisti, quali sono i pericoli dei programmi pirata e dove segnalare messaggi sospetti.

La formazione deve essere pratica. È meglio mostrare esempi reali di email e scenari piuttosto che limitarsi a una formazione formale.

Checklist pratica per la protezione

Usa questa lista come base per un computer domestico o per una piccola organizzazione. Non sostituisce un'audit di sicurezza, ma copre i punti deboli più frequenti.

• Gli aggiornamenti automatici per Windows, macOS o Linux sono attivati.
• I browser, le applicazioni per ufficio, gli archivi e i messenger sono aggiornati.
• È installato un antivirus affidabile o una soluzione EDR.
• È attivata la protezione contro il phishing e i siti dannosi.
• Si utilizzano password uniche per ogni servizio.
• Le password sono memorizzate in un gestore di password, non in un file sulla scrivania.
• Per account importanti è attivato l'MFA.
• Gli utenti normali non hanno diritti di amministratore.
• I backup sono creati automaticamente.
• È presente una copia offline o immutabile, che non può essere modificata da un computer infetto.
• Il recupero da backup è verificato regolarmente.
• L'accesso remoto è protetto da VPN, MFA e limitazioni IP, se possibile.
• Le macro nei documenti sono bloccate per impostazione predefinita.
• Non si usano software pirata e attivatori.
• È presente un piano d'azione in caso di infezione.

È particolarmente importante verificare il ripristino. Un backup che nessuno ha mai testato può risultare inutile nel giorno dell'attacco.

Backup: cosa sapere

I backup sono il miglior modo per riprendersi dopo un ransomware senza pagare un riscatto. Ma non tutti i backup sono ugualmente utili.

Una buona strategia include diversi livelli. Veloci copie locali aiutano a ripristinare un file cancellato accidentalmente. Le copie cloud proteggono da guasti hardware e incendi. Le copie offline o gli archivi immutabili proteggono da ransomware che cercano di distruggere i backup.

Fai attenzione alla versioning. Se il client cloud sincronizza file già crittografati, hai bisogno della possibilità di tornare a versioni precedenti. Senza versioning, il cloud potrebbe semplicemente sovrascrivere i dati rovinati su quelli normali.

Per le aziende è importante separare i diritti. L'account da cui viene creato il backup non deve dare ai criminali un accesso semplice per eliminare tutti gli archivi. È inoltre importante conservare i registri, monitorare il successo dei task e effettuare periodicamente ripristini di prova.

È necessario pagare il riscatto?

Nella maggior parte dei casi, non è consigliabile pagare. Ci sono diverse ragioni.

In primo luogo, non c'è garanzia che i criminali inviino una chiave funzionante. In secondo luogo, il decrittore potrebbe funzionare male e danneggiare parte dei file. In terzo luogo, se i dati sono stati rubati, il pagamento non garantisce la loro eliminazione. In quarto luogo, il fatto di aver pagato può rendere la vittima un obiettivo attraente per un attacco ripetuto.

Tuttavia, la decisione in una situazione reale può essere complessa, soprattutto se si tratta di sistemi critici, dati medici o interruzione delle attività. In tal caso, è necessario coinvolgere esperti di risposta agli incidenti, avvocati e dirigenza. È importante considerare le leggi, gli obblighi contrattuali e i possibili rischi sanzionatori nel trasferire fondi a soggetti sconosciuti.

Anche se l'organizzazione considera negoziare, bisogna cercare parallelamente un modo tecnico per recuperare: backup, decrittatori, copie shadow, archivi presso i partner e copie locali sui workstation.

Errori comuni dopo un'infezione

Dopo un attacco, le persone spesso compiono azioni che peggiorano la situazione. Evitare i seguenti errori:

• continuare a lavorare su un computer infetto;
• collegare dischi esterni per il controllo;
• eseguire decrittatori casuali da Internet;
• eliminare tutti i file con richieste di riscatto;
• formattare il disco prima dell'analisi e del tentativo di recupero;
• ripristinare un backup in un sistema ancora infetto;
• cambiare le password da un dispositivo infetto;
• nascondere l'incidente dagli specialisti IT o dalla dirigenza;
• pagare il riscatto senza valutare rischi e alternative;
• pensare che la rimozione del virus decrittografi automaticamente i file.

Rimuovere un programma dannoso e decrittografare dati sono compiti diversi. Un antivirus può rimuovere la minaccia attiva, ma i file già crittografati rimarranno crittografati, se non c'è una chiave o una copia pulita.

FAQ: domande frequenti sui programmi dannosi e sul ransomware

È possibile decrittografare i file dopo un virus ransomware?

A volte è possibile, ma non sempre. Dipende dalla famiglia di ransomware, dalla presenza di errori di implementazione, dai decrittatori gratuiti disponibili e dalle condizioni dei backup. Se la crittografia viene eseguita correttamente, indovinare la chiave è praticamente impossibile. Inizia identificando la minaccia e controllando strumenti ufficiali di decrittazione.

L'antivirus protegge da tutti i ransomware?

No. L'antivirus riduce notevolmente il rischio, ma non offre garanzie assolute. Nuovi campioni, attacchi tramite password rubate e azioni manuali dei criminali possono aggirare la protezione di base. Pertanto, sono necessari aggiornamenti, MFA, limitazione dei diritti, backup e monitoraggio.

Cosa fare se i file su un disco esterno sono stati crittografati?

Stacca immediatamente il disco e non scrivere nuovi dati su di esso. Controlla il computer principale per l'infezione. Quindi, identifica il tipo di ransomware e valuta le opzioni di recupero: backup, versioni dei file, recupero professionale, decrittatori disponibili. Non collegare il disco ad altri computer di lavoro senza isolamento.

Può il telefono essere infettato da ransomware?

Sì, i dispositivi mobili possono diventare obiettivo di malware, anche se gli scenari sono diversi rispetto ai PC. Il rischio è maggiore quando si installano applicazioni da fonti sconosciute, si concedono eccessivi permessi e si utilizza un sistema obsoleto. Installa app da negozi ufficiali, aggiorna il sistema operativo e non concedere accesso ai file senza necessità.

Come capire che un'email è di phishing?

Controlla l'indirizzo del mittente, lo stile del testo, allegati imprevisti, richieste urgenti, link strani e richieste di inserire una password. Passa il cursore sul link per vedere l'indirizzo reale, ma non cliccarci. Se l'email sembra provenire da un collega, verifica la richiesta attraverso un altro canale di comunicazione.

È necessario disattivare Internet in caso di sospetto di virus?

Sì, se ci sono segni di infezione attiva o crittografia. Disattivare la rete aiuta a fermare la comunicazione con il server di controllo, la propagazione nella rete locale e la crittografia delle cartelle di rete. Dopo questo, è meglio contattare uno specialista o avviare un controllo da un supporto fidato.

Come preparare l'organizzazione a un attacco

Per le aziende, il danno del ransomware non è solo la perdita di file. Sono fermi nei processi, interruzioni delle forniture, violazione dei contratti, rischio di fuga di dati personali e conseguenze reputazionali. Pertanto, la preparazione deve avvenire in anticipo.

Un piano minimo di risposta include:

1. Persone responsabili. Chi prende le decisioni, chi disabilita segmenti di rete, chi comunica con dipendenti, clienti e appaltatori.
2. Contatti diversi dalla posta principale. Se il server di posta non è disponibile, servono canali di comunicazione alternativi.
3. Mappa dei sistemi critici. È necessario sapere quali server ripristinare per primi.
4. Procedura di isolamento. Gli amministratori devono comprendere come disabilitare rapidamente i nodi infetti senza distruggere le prove.
5. Procedura di recupero. Dove si trovano i backup, chi ha accesso, quanto tempo richiede il deployment.
6. Valutazione legale. In caso di fuga di dati, possono sorgere obblighi di informare i regolatori, i clienti o i partner.
7. Analisi post-incidente. È necessario rintracciare il punto d'ingresso, altrimenti l'attacco potrebbe ripetersi.

Il piano non deve essere solo un documento. Deve essere testato durante le esercitazioni. Anche una breve prova mostra i punti deboli: contatti obsoleti, server dimenticati, backup non funzionanti o diritti insufficienti per l'amministratore di turno.

Miti sui virus e sui programmi dannosi

Attorno al malware ci sono molte pericolose illusioni. Queste ostacolano decisioni corrette.

Mito 1: se non apro siti sospetti, niente mi minaccia. Nella pratica, l'infezione può arrivare tramite email, messengers, account compromessi, vulnerabilità nel software o installer infetti.

Mito 2: non ho dati importanti, quindi non sono un obiettivo. Anche un computer domestico ha valore: contiene password, documenti, foto, accesso a email e servizi bancari. Inoltre, il dispositivo può essere utilizzato per attacchi ad altri.

Mito 3: il cloud salva sempre dal ransomware. La sincronizzazione cloud può caricare versioni crittografate dei file. Non è il cloud in sé a proteggere, ma il versioning, la protezione dell'account e la possibilità di ripristinare.

Mito 4: se pago, tutto sarà ripristinato rapidamente. A volte i criminali scompaiono, inviano strumenti non funzionanti o richiedono un pagamento aggiuntivo. Pagare non rappresenta un piano affidabile di recupero.

Mito 5: dopo aver reinstallato Windows, il problema è risolto. Se le password sono state rubate, i backup sono infetti e l'accesso remoto vulnerabile è rimasto aperto, l'attacco può ripetersi.

Piano d'azione quotidiano

Perché la protezione non rimanga teoria, trasformala in abitudini regolari. Una volta alla settimana controlla gli aggiornamenti e lo stato dei backup. Una volta al mese testa il ripristino di un file importante. Una volta al trimestre rivedi l'elenco degli utenti con diritti amministrativi. Dopo il licenziamento di un dipendente, disattiva immediatamente gli accessi. Quando acquisti un nuovo dispositivo, configura la protezione prima di trasferire i dati di lavoro.

Per la famiglia, è utile concordare una regola semplice: se un'email, un messaggio o un file solleva dubbi, non si aprono e si consultano persone più esperte. Per le aziende è opportuno creare un canale chiaro per segnalare email sospette, affinché i dipendenti non temano di ammettere di aver commesso un errore. Prima si sa di un possibile contagio, meno costoso risulta l'incidente.

Conclusione

I programmi dannosi e i virus ransomware sono pericolosi perché combinano un attacco tecnico con la pressione sull'individuo. Ma il rischio può essere notevolmente ridotto: aggiorna i sistemi, utilizza password uniche e MFA, limita i diritti, non eseguire file sospetti e controlla regolarmente i backup. Se l'attacco è già iniziato, isola immediatamente il dispositivo, conserva le prove, non pagare il riscatto senza valutare le alternative, e ripristina i dati solo da fonti pulite. Inizia oggi controllando i backup e attivando l'autenticazione a più fattori per gli account più importanti.