Alle 7:42 arriva la prima telefonata: “Non riesco ad aprire le cartelle del server”. Cinque minuti dopo chiamano dall’amministrazione. Poi dalla produzione. Alcuni file hanno estensioni sconosciute e nelle cartelle compare una richiesta di riscatto.
Nota di trasparenza: quello che segue è uno scenario ricostruito sulla base di dinamiche realmente osservate negli incidenti ransomware e delle pratiche di risposta raccomandate dalle autorità. Azienda, orari, sistemi e persone sono esemplificativi e non rappresentano un cliente reale di EP Consulting.
7:42 — “Il gestionale funziona, ma i documenti no”
Immaginiamo un’azienda di 32 dipendenti. Produzione, amministrazione e ufficio tecnico utilizzano una rete Windows con Active Directory, file server virtuale, gestionale e sistema di backup separato.
Il primo errore sarebbe pensare a un problema del NAS o a un aggiornamento. Dopo pochi minuti diventa evidente che alcuni documenti condivisi sono stati cifrati. Il gestionale risponde ancora, ma nessuno può sapere quanto durerà.
7:49 — La prima decisione è fermare, non capire tutto
In un incidente reale la tentazione è iniziare immediatamente a cercare “il virus”. La priorità invece è contenere la propagazione.
I sistemi che mostrano attività anomala vengono isolati dalla rete. Se l’impatto appare distribuito, può essere necessario intervenire a livello di switch o segmenti di rete. È coerente con la risposta raccomandata dalla guida #StopRansomware di CISA: identificare i sistemi colpiti e isolarli immediatamente.
In questo scenario vengono temporaneamente sospesi accessi remoti e VPN non indispensabili, mentre i server critici vengono controllati uno alla volta.
8:03 — Spegnere tutto sarebbe davvero la scelta giusta?
Non necessariamente. Spegnere indiscriminatamente ogni macchina può eliminare informazioni volatili utili all’analisi. La risposta deve bilanciare contenimento e conservazione delle evidenze.
Su un campione dei sistemi interessati andrebbero preservati log, informazioni di sicurezza e, quando necessario, immagini disco o memoria. CISA raccomanda di raccogliere evidenze e dati volatili prima che vengano persi o alterati.
8:21 — La domanda che cambia la giornata: i backup sono stati colpiti?
È il momento in cui un backup smette di essere una voce nel preventivo e diventa continuità aziendale.
Il server di backup non deve essere dato per sicuro soltanto perché “la notte ha completato il job”. Bisogna verificare repository, credenziali, immutabilità, copie esterne e ultimo punto di ripristino utilizzabile.
Nello scenario ricostruito, la copia primaria mostra attività sospette, ma una seconda copia non direttamente raggiungibile dall’ambiente di produzione risulta integra. È quella che rende possibile pianificare il recupero senza partire dal pagamento del riscatto.
È lo stesso principio affrontato nella guida EP Consulting sulle 7 domande che rivelano se un backup aziendale funzionerà davvero.
9:05 — Non si ripristina ancora
Ripristinare troppo presto può significare riportare i dati dentro un ambiente ancora compromesso. Prima bisogna capire almeno in modo ragionevole il vettore iniziale, verificare account privilegiati, accessi VPN anomali, nuovi utenti Active Directory, strumenti di amministrazione remota e indicatori di persistenza.
La guida CISA invita proprio a controllare account nuovi o privilegi elevati, login VPN sospetti e modifiche mirate a backup e configurazioni di sistema.
10:10 — Nasce una rete pulita di recovery
Invece di rimettere online tutto insieme, viene predisposto un ambiente isolato. Si parte dai servizi indispensabili: identità, gestionale, documenti necessari alla produzione. Le macchine recuperate entrano nella rete operativa soltanto dopo i controlli.
Il principio è semplice: ripristinare il servizio non significa soltanto recuperare i file; significa evitare di reinfettare ciò che è appena stato ricostruito.
12:30 — La produzione può ripartire, ma l’incidente non è finito
I servizi essenziali tornano disponibili progressivamente. Questo non significa dichiarare chiuso l’incidente. Rimangono da verificare eventuale esfiltrazione di dati, persistenza dell’attaccante, account coinvolti e obblighi di notifica applicabili.
Oggi molti gruppi ransomware utilizzano la doppia estorsione: prima sottraggono dati, poi cifrano i sistemi. Per questo “abbiamo ripristinato il backup” non risponde alla domanda se informazioni aziendali siano state copiate all’esterno.
Cosa avrebbe fatto la differenza prima delle 7:42
- Backup offline o immutabili e test periodici di ripristino.
- MFA sugli accessi remoti e privilegiati.
- Segmentazione della rete per limitare il movimento laterale.
- Account amministrativi separati dagli account utilizzati quotidianamente.
- Logging centralizzato con retention sufficiente.
- Inventario aggiornato di server, dispositivi e servizi critici.
- Un piano di incident response con ruoli e contatti già definiti.
Pagare il riscatto?
Le autorità come CISA e FBI scoraggiano il pagamento: non esiste garanzia di recuperare i dati e il pagamento alimenta l’attività criminale. Ogni incidente richiede comunque valutazioni tecniche, legali e organizzative specifiche.
La lezione più importante
Il momento peggiore per scoprire che nessuno sa chi deve decidere, dove sono i backup o quali server vengono prima è quando i file sono già cifrati.
Una PMI non ha necessariamente bisogno di un SOC enorme, ma deve conoscere i propri sistemi critici, avere copie recuperabili e sapere cosa fare nei primi minuti. EP Consulting può supportare aziende nella verifica preventiva di backup, segmentazione, accessi e procedure di risposta, oltre che nell’analisi tecnica quando emerge un incidente.
FAQ
Bisogna spegnere immediatamente tutti i computer?
Non esiste una regola universale. La priorità è isolare i sistemi colpiti e impedire la propagazione, preservando quando possibile le evidenze necessarie all’analisi.
Se il backup è integro il problema è risolto?
No. Prima del ripristino bisogna ridurre il rischio che l’ambiente sia ancora compromesso e verificare se ci sia stata anche esfiltrazione di dati.
Un ransomware può colpire anche i backup?
Sì. Per questo le linee guida raccomandano copie offline, separate o immutabili e test periodici di ripristino.
Fonte tecnica principale: CISA, #StopRansomware Guide, con raccomandazioni sviluppate insieme a FBI, NSA e MS-ISAC.