Ransomware: come proteggere l'azienda

La protezione ransomware per le aziende non si risolve con un solo prodotto: serve combinare backup isolati e testati, protezione degli endpoint di tipo EDR, segmentazione della rete, aggiornamenti costanti e un piano di risposta scritto. È la somma di più difese, non l'antivirus da solo, a fare la differenza tra un incidente gestibile e il blocco totale della produzione.

Che cos'è il ransomware e perché colpisce le PMI

Il ransomware è un tipo di malware che cifra i file dell'azienda - documenti, database, backup raggiungibili - e chiede un riscatto (ransom) per fornire la chiave di sblocco. Negli attacchi più recenti c'è anche una seconda leva: prima di cifrare i dati, gli aggressori li copiano e minacciano di pubblicarli. Si parla di doppia estorsione, e cambia le regole del gioco: anche chi ha un backup perfetto rischia comunque la divulgazione di informazioni riservate.

In oltre 25 anni come System Integrator abbiamo visto un errore ripetersi: l'imprenditore convinto che "a noi non succede, siamo troppo piccoli". È vero il contrario. Le PMI sono un bersaglio ideale proprio perché hanno dati di valore ma difese spesso deboli, nessun reparto di cybersecurity interno e una catena di fornitura che le collega ad aziende più grandi. Attaccare un fornitore per arrivare al cliente finale è oggi una delle tecniche più diffuse.

La porta d'ingresso, nella stragrande maggioranza dei casi, è banale: un'email di phishing con un allegato o un link, una credenziale rubata, un accesso remoto (RDP o VPN) esposto su internet senza autenticazione a due fattori. Non serve un attacco sofisticato per fermare un'azienda: basta una password riutilizzata.

▶Ransomware: come agisce e come proteggersi

Vuoi approfondire? Guarda altri video sul nostro canale YouTube →

Le difese che contano davvero contro il ransomware

Nessuna singola misura è sufficiente. La strategia corretta è quella a strati (defense in depth): se una difesa cede, la successiva contiene il danno. Ecco le cinque che, sul campo, fanno la differenza.

1. Backup isolati, testati e con la regola 3-2-1

Il backup è l'ultima linea di difesa, ed è proprio quella che gli aggressori cercano di distruggere per primi. Un backup collegato alla rete e raggiungibile con le stesse credenziali dei server viene cifrato insieme a tutto il resto. Per questo la regola pratica è la 3-2-1: tre copie dei dati, su due supporti diversi, di cui una off-site e possibilmente offline o immutabile (immutable backup che non può essere modificato o cancellato per un periodo definito).

Ma avere il backup non basta: va testato il ripristino con regolarità. Troppe aziende scoprono solo durante l'emergenza che i backup erano incompleti, corrotti o che il ripristino richiede giorni. Se non hai provato a rimettere in piedi un server da zero, non sai davvero quanto tempo perderesti.

2. Protezione degli endpoint con EDR, non solo antivirus

L'antivirus tradizionale riconosce le minacce già note tramite un elenco di firme. Il ransomware moderno cambia forma a ogni attacco e lo aggira senza fatica. La tecnologia da adottare è l'EDR (Endpoint Detection and Response), che osserva i comportamenti sui dispositivi - un processo che cifra centinaia di file in pochi secondi, un tentativo di disattivare le difese - e reagisce isolando la macchina prima che il danno si propaghi. Abbiamo approfondito il tema in questa guida su EDR: significato e vantaggi per le aziende.

3. Segmentazione della rete e minimo privilegio

Una rete "piatta", in cui ogni dispositivo vede tutti gli altri, permette al ransomware di diffondersi in pochi minuti da una singola postazione infetta all'intera infrastruttura. Segmentare la rete - separare uffici, produzione, server e ospiti in aree distinte - limita la propagazione. Allo stesso modo vale il principio del minimo privilegio: ogni utente deve avere accesso solo a ciò che gli serve. Un account amministratore compromesso in una rete senza controlli è la chiave di tutta l'azienda.

4. Aggiornamenti, patch e superficie d'attacco ridotta

Molti attacchi sfruttano vulnerabilità note per cui esiste già una correzione, semplicemente non installata. Tenere aggiornati sistemi operativi, firewall, VPN e applicativi (patch management) chiude porte che altrimenti restano spalancate. In parallelo, va ridotta la superficie esposta: niente RDP pubblicato direttamente su internet, accessi remoti solo tramite VPN con autenticazione a due fattori (MFA), servizi non necessari disattivati. Un firewall aziendale ben configurato è il presidio di partenza.

5. Formazione delle persone

La tecnologia ferma molto, ma il primo clic sbagliato lo fa una persona. La formazione anti-phishing, con simulazioni periodiche, trasforma i collaboratori da anello debole a prima linea di difesa. Non serve renderli esperti di sicurezza: basta insegnare a diffidare degli allegati inattesi, a verificare i mittenti e a segnalare subito ciò che sembra anomalo.

Zero Trust: il modello di sicurezza che va oltre le difese di base

Per le PMI più strutturate, con più sedi, personale in smart working o accessi da fornitori esterni, le cinque difese viste sopra possono essere rafforzate da un approccio Zero Trust. Il principio, formalizzato dal NIST nel framework SP 800-207, si riassume in una frase: "non fidarsi mai, verificare sempre". Nessun utente o dispositivo ottiene accesso solo perché si trova dentro il perimetro aziendale: identità, stato del dispositivo e legittimità della richiesta vengono verificati a ogni accesso, non solo al login iniziale.

In pratica, per una PMI questo si traduce in tre passi concreti: autenticazione a più fattori estesa a tutte le applicazioni critiche (non solo alla VPN), micro-segmentazione della rete che isola i singoli servizi invece di affidarsi a un'unica zona "fidata", e policy di accesso basate sul ruolo effettivo dell'utente, non su una fiducia implicita legata alla postazione di lavoro. Il beneficio contro il ransomware è diretto: anche se un account viene compromesso, il movimento laterale verso altri sistemi resta bloccato dai controlli granulari, limitando il danno a una porzione ristretta dell'infrastruttura invece che all'intera rete.

Zero Trust non sostituisce backup, EDR e segmentazione di base: li completa, ed è un investimento che ha senso soprattutto quando l'azienda cresce in complessità.

Cosa fare se il ransomware è già entrato

Quando l'attacco è in corso, la reazione delle prime ore decide l'esito. Ecco i passi essenziali, nell'ordine giusto.

1. Isolare, non spegnere. Scollega dalla rete i dispositivi colpiti (cavo di rete, Wi-Fi) per fermare la propagazione, ma evita di spegnere le macchine: la RAM può contenere informazioni utili all'analisi forense e, in alcuni casi, chiavi di cifratura.
2. Attivare il piano di risposta. Chi fa cosa, chi chiama il fornitore IT, chi avvisa la direzione. Se il piano è scritto e provato, si guadagnano ore preziose.
3. Preservare le prove. Log, immagini dei dischi e note temporali serviranno per capire come è avvenuto l'attacco ed evitare che si ripeta.
4. Notificare quando obbligatorio. In caso di dati personali coinvolti scatta l'obbligo GDPR verso il Garante (di norma entro 72 ore). Se l'azienda rientra nella normativa NIS2, valgono ulteriori obblighi di notifica: ne parliamo in NIS2: cosa cambia per le PMI.
5. Non pagare d'istinto. Pagare il riscatto non garantisce il recupero dei dati, finanzia i criminali e non impedisce la pubblicazione dei dati già esfiltrati. La decisione va presa con il supporto di esperti, valutando alternative di ripristino dai backup.

Il nostro consiglio, maturato gestendo incidenti reali: avere già oggi un numero da chiamare. Improvvisare la risposta durante l'emergenza è la strada più costosa.

Analisi forense e threat intelligence dopo un incidente

Se l'attacco è già avvenuto, preservare le prove (log, immagini disco, timeline degli eventi) è solo il primo passo. Un'analisi forense approfondita permette di capire quale vulnerabilità è stata sfruttata, quali dati sono stati effettivamente esfiltrati e se sono rimaste tracce di accesso persistente (backdoor) da rimuovere prima di considerare l'incidente chiuso. Per una PMI priva di competenze forensi interne, la scelta più sensata è affidarsi a specialisti esterni che sappiano condurre l'analisi senza alterare le prove.

I risultati di questa analisi, incrociati con fonti di threat intelligence (indicatori di compromissione aggiornati, tecniche note dei gruppi ransomware attivi), servono a due cose: chiudere davvero la falla sfruttata e riconoscere per tempo un tentativo di rientro dello stesso attaccante, che nella pratica capita più spesso di quanto si pensi.

Quanto costa (davvero) un attacco ransomware

Il riscatto è solo una voce, spesso nemmeno la più pesante. Il costo vero è il fermo produzione: giorni in cui non si fattura, non si spedisce, non si lavora. A questo si aggiungono il ripristino tecnico dei sistemi, l'eventuale perdita di dati non coperti da backup, i danni reputazionali verso clienti e fornitori e le possibili sanzioni per la violazione di dati personali. Per una PMI manifatturiera, anche solo due o tre giorni di blocco possono valere più dell'intero investimento annuale in sicurezza informatica. È un calcolo che, presentato così, cambia la percezione del rischio in ogni riunione con la direzione.

Come TN Solutions imposta la protezione ransomware

Da oltre 25 anni affianchiamo le aziende del territorio come System Integrator B2B. Certificati ISO 9001 e ISO 27001 (la norma internazionale per la gestione della sicurezza delle informazioni), non vendiamo un prodotto isolato ma costruiamo una difesa coerente: valutazione della situazione attuale, backup immutabili e testati, EDR gestito, segmentazione, MFA sugli accessi, monitoraggio e un piano di risposta scritto insieme al cliente. Tutto misurato sulla realtà di una PMI, senza sovradimensionare né lasciare buchi.

Puoi vedere l'insieme dei nostri interventi nella pagina dedicata ai servizi di sicurezza informatica. Se preferisci partire da una verifica dello stato attuale, un assessment iniziale è il modo più concreto per capire dove sei esposto.

Fermiamo il ransomware prima che entri

La protezione dal ransomware si costruisce prima dell'attacco, non durante. Se vuoi capire dove la tua azienda è esposta e quali priorità affrontare per prime, parliamone: chiama TN Solutions allo 02 9517550 o scrivici dalla pagina contatti. Un confronto con i nostri tecnici è il primo passo concreto per dormire più tranquillo.