Ransomware nelle PMI: come entra e come difendersi

Un lunedì mattina i file del server non si aprono, il gestionale è fermo e su ogni schermo compare una richiesta di riscatto. Per una PMI il ransomware non è solo un problema informatico: blocca la produzione, le spedizioni, la fatturazione. La buona notizia è che le vie d'ingresso sono note e che molte difese efficaci sono alla portata anche delle aziende più piccole.

Che cos'è il ransomware

Il ransomware è un software malevolo che cifra i dati e i sistemi dell'azienda rendendoli inutilizzabili, per poi chiedere un riscatto in cambio della chiave di decifratura. Negli attacchi più strutturati i criminali, prima di cifrare, copiano i dati e minacciano di pubblicarli: è la cosiddetta doppia estorsione.

Spesso tra l'ingresso iniziale e la cifratura passa del tempo, in cui gli attaccanti esplorano la rete, cercano credenziali con privilegi elevati e provano a eliminare o cifrare i backup. È in questa fase che un buon monitoraggio può fare la differenza.

Come entra in azienda

Le vie d'ingresso più comuni sono poche e ricorrenti:

• Email di phishing con allegati o link malevoli, oppure finalizzate a rubare credenziali. Vedi la nostra guida su come riconoscere il phishing.
• Accessi remoti esposti e mal protetti: desktop remoto pubblicato su Internet, VPN senza autenticazione a più fattori, password deboli o riutilizzate.
• Vulnerabilità non corrette in firewall, VPN, server e applicazioni esposte.
• Sistemi obsoleti non più aggiornati dal produttore, come i PC ancora con Windows 10, il cui supporto è terminato il 14 ottobre 2025 salvo l'adesione al programma ESU a pagamento.
• Fornitori con accesso ai sistemi aziendali e misure di sicurezza insufficienti.
• Credenziali rubate in precedenza e messe in vendita.

Le difese che contano davvero

Nessuna misura garantisce l'immunità, ma la combinazione giusta riduce molto la probabilità di un attacco riuscito e, soprattutto, il suo impatto.

Ridurre i punti d'ingresso

• Autenticazione a più fattori su posta, VPN, accessi remoti e servizi cloud.
• Nessun desktop remoto esposto direttamente su Internet.
• Patch management costante su sistemi operativi, applicazioni e apparati di rete.
• Vulnerability assessment periodici per scoprire ciò che è esposto e vulnerabile.

Limitare la propagazione

• Privilegi minimi: gli utenti non devono essere amministratori dei propri PC.
• Account amministrativi separati e protetti.
• Segmentazione della rete, separando uffici, produzione, ospiti e server.

Rilevare in tempo

• Protezione degli endpoint con rilevamento e risposta (EDR), gestita e monitorata.
• Raccolta dei log e monitoraggio degli eventi anomali, ad esempio con un SIEM.

Poter ripartire

• Backup con almeno una copia offline o immutabile, non raggiungibile con le credenziali di dominio.
• Prove di ripristino periodiche e tempi di ripartenza noti.
• Piano di continuità operativa che dica cosa ripristinare prima.

Il backup: l'ultima linea di difesa

Molte aziende scoprono durante un attacco che il backup c'era, ma era sullo stesso server, su un disco sempre collegato o protetto dalle stesse password violate. Un backup utile contro il ransomware deve essere:

1. isolato dalla rete principale o non modificabile per un periodo definito;
2. verificato con ripristini di prova, non solo con il messaggio "completato";
3. documentato, con le istruzioni per ripartire anche se chi lo ha configurato non è disponibile.

Cosa fare in caso di attacco

Nelle prime ore valgono poche regole:

1. Isolare subito i dispositivi colpiti dalla rete, senza spegnerli se possibile.
2. Chiamare il fornitore IT o il team di risposta agli incidenti.
3. Non cancellare nulla e non tentare ripristini improvvisati sui sistemi compromessi.
4. Proteggere i backup, scollegandoli se ancora integri.
5. Valutare gli obblighi: se sono coinvolti dati personali può essere necessaria la notifica al Garante entro 72 ore; i soggetti NIS2 hanno anche obblighi di notifica al CSIRT Italia.
6. Sporgere denuncia alle autorità competenti.

Pagare il riscatto non garantisce né la restituzione dei dati né la loro mancata pubblicazione. È una decisione che va valutata con attenzione insieme a consulenti legali e tecnici, mai sotto la pressione del momento: la migliore garanzia resta un backup affidabile.

Checklist anti-ransomware

• ☐ MFA su posta, VPN e cloud
• ☐ Nessun RDP esposto su Internet
• ☐ Patch e sistemi supportati
• ☐ EDR gestito e monitorato
• ☐ Backup isolati e ripristini testati
• ☐ Rete segmentata e privilegi minimi
• ☐ Procedura di risposta agli incidenti pronta

Come può aiutarti Area GUI

Area GUI protegge le PMI con Endpoint Security, patch management e monitoraggio continuo, e progetta backup isolati e piani di ripartenza con il servizio Data Availability Service. Per una valutazione della tua esposizione, contattaci.