Un ransomware moderno non coincide più necessariamente con la cifratura dei server. Sempre più spesso l’estorsione nasce dal furto dei dati e dalla minaccia di pubblicarli. Il caso emerso a Berlino nei primi giorni di settembre 2026 mostra perché la risposta deve coinvolgere contemporaneamente IT, direzione, privacy e comunicazione.
Cosa è accaduto
Secondo Reuters, il gruppo ransomware Rhysida ha rivendicato 5,79 TB di dati sottratti a sistemi collegati a due dipartimenti dell’amministrazione di Berlino e li ha successivamente pubblicati. Il volume deriva quindi dalla rivendicazione del gruppo, mentre le autorità hanno avviato una risposta di crisi per determinare portata effettiva, natura dei dati e conseguenze dell’incidente.
Perché il furto dati cambia il disaster recovery
Un backup integro può permettere di ripristinare i sistemi, ma non può “riprendere” informazioni già esfiltrate. Per questo continuità operativa e data breach response sono due piani distinti.
Le prime verifiche che un’azienda dovrebbe saper fare
- Isolare i sistemi coinvolti senza distruggere le evidenze.
- Stabilire quali account e privilegi siano stati utilizzati.
- Ricostruire quali dati possano essere usciti dalla rete.
- Preservare log di firewall, identity, endpoint, server e cloud.
- Verificare backup offline/immutabili e tempi di ripristino.
- Attivare il processo privacy e legale quando applicabile.
Pagare non annulla il rischio
Anche quando un’organizzazione paga, non esiste una garanzia tecnica che le copie sottratte vengano cancellate. La strategia deve quindi concentrarsi sulla prevenzione, sulla segmentazione e sulla capacità di ricostruire rapidamente l’accaduto.
La lezione per le PMI
EDR, MFA e backup sono fondamentali, ma senza logging sufficiente e un inventario dei dati diventa difficile capire cosa sia successo. Un piano incident response deve specificare ruoli, contatti, evidenze da preservare e priorità di ripartenza.
FAQ
Un backup protegge da una fuga di dati?
No. Protegge soprattutto la disponibilità e il recupero; la confidenzialità richiede controlli di accesso, segmentazione, monitoraggio e prevenzione dell’esfiltrazione.
Fonte: Reuters, 5 settembre 2026, sulla risposta di crisi avviata dallo Stato di Berlino.