Ransomware: cosa fare (e cosa non fare) nelle prime ore dopo un attacco

Una mattina i file del server hanno un’estensione strana e non si aprono. Sui PC compare un messaggio che chiede un pagamento in criptovaluta. È un attacco ransomware: un programma che cifra i dati e li rende inutilizzabili, spesso dopo averne copiata una parte che i criminali minacciano di pubblicare.

Quello che si fa nelle prime ore pesa molto sul risultato finale. Conviene averlo deciso prima, a mente fredda, e tenerne una copia stampata, perché in quel momento i file potrebbero non essere leggibili.

Prima ora: fermare la diffusione

1. Scollega dalla rete i computer e i server colpiti: cavo di rete staccato, Wi-Fi spento. Se non sai quali sono colpiti, isola l’intera rete dall’esterno spegnendo il collegamento a internet.
2. Non spegnere le macchine, se puoi evitarlo. In memoria possono esserci informazioni utili per capire cosa è successo e, in alcuni casi, per recuperare i dati.
3. Non cancellare file, non reinstallare nulla e non lanciare programmi di pulizia trovati in rete: si rischia di distruggere le tracce e le copie recuperabili.
4. Scollega i dispositivi di backup collegati alla rete, se non sono già stati colpiti.
5. Fotografa con il telefono il messaggio di riscatto e annota l’ora in cui ti sei accorto del problema.

Chi chiamare

Avvisa subito chi gestisce l’informatica, interno o esterno, e chi ha il potere di prendere decisioni in azienda o nell’ente. Ci saranno scelte da fare in fretta: fermare la produzione, avvisare clienti, coinvolgere consulenti legali.

Se l’attacco ha riguardato dati personali, ed è quasi sempre così, il GDPR prevede la notifica al Garante entro 72 ore da quando si viene a conoscenza della violazione, salvo che sia improbabile un rischio per le persone. Se la tua organizzazione rientra nella NIS2, la prima segnalazione al CSIRT Italia va fatta entro 24 ore. È utile anche sporgere denuncia alla Polizia Postale.

Controlla anche se hai una polizza contro i rischi informatici: molte prevedono un numero da chiamare subito e un team di esperti già incaricato.

Pagare il riscatto?

Le autorità e gli esperti lo sconsigliano. Pagare non garantisce di ricevere una chiave funzionante, né che i dati copiati vengano davvero distrutti, e segnala l’organizzazione come un bersaglio che paga. In più finanzia chi ha attaccato. La strada da preferire è il ripristino da backup che l’attacco non ha raggiunto.

Ripartire

Prima di ripristinare bisogna capire come sono entrati: un accesso remoto senza autenticazione a più fattori, un’email di phishing, un sistema non aggiornato. Se la porta resta aperta, l’attacco si ripete pochi giorni dopo.

• Si ripristina su sistemi puliti o reinstallati, non sopra quelli infetti.
• Si usano backup precedenti all’intrusione, che spesso inizia giorni o settimane prima della cifratura.
• Si cambiano tutte le password, partendo da quelle di amministratore e degli accessi remoti.
• Si tiene traccia di ogni passo, per le notifiche alle autorità e per l’eventuale assicurazione.

Prepararsi prima, quando è tutto tranquillo

Il lavoro che fa la differenza si fa prima dell’attacco. Un piano di risposta di due pagine, con nomi, numeri di telefono e decisioni già prese. Backup con una copia che nessuno può cancellare, provati con regolarità, come spieghiamo nell’articolo sulla regola 3-2-1. Autenticazione a più fattori su posta e accessi remoti. Aggiornamenti installati con costanza e un monitoraggio che segnali le anomalie.

Se vuoi preparare il piano di risposta della tua organizzazione o verificare che i backup reggano a un attacco, possiamo farlo insieme. Trovi i dettagli nella pagina cybersecurity.