Ransomware in azienda: come prevenire un attacco e preparare il ripristino
Temi trattati
Cyber security, Consulenza IT
Cosa troverai
Introduzione
Un attacco ransomware può rendere indisponibili file e sistemi aziendali, interrompere le attività e generare costi di ripristino. In alcuni casi, chi attacca sottrae anche informazioni e minaccia di divulgarle. Per ridurre il rischio servono misure coordinate: aggiornamenti, accessi protetti, monitoraggio, backup verificati e procedure di risposta.
In sintesi
- Il ransomware può bloccare l’accesso a sistemi e dati e, in alcuni casi, accompagnarsi alla sottrazione di informazioni.
- Aggiornamenti, accessi protetti, monitoraggio e formazione aiutano a ridurre il rischio.
- I backup sono utili se sono protetti, separati dai sistemi principali e testati con regolarità.
- Se sospetti un attacco, attiva la procedura aziendale e coinvolgi i referenti IT e sicurezza.
- Pagare il riscatto non garantisce il recupero dei dati né impedisce la loro divulgazione.
Che cos'è un ransomware?
Il Ransomware è una tipologia di Malware (software malevolo) usato per estorcere denaro alla vittima tramite la richiesta di un riscatto (dall’inglese ransom). Come funziona? I dati vengono resi inaccessibili dando così la possibilità all’attaccante di ricattare la vittima. Quest’ultima, messo alle strette, potrebbe così essere propensa a pagare ingenti somme di denaro nella speranza di riottenere l’accesso ai propri dati.
In alcuni attacchi, inoltre, i criminali producono una copia dei dati, minacciando di renderli pubblici: l’incidente può quindi compromettere sia la disponibilità sia la riservatezza dei dati ed esporre la vittima ad una doppia minaccia.
Ma gli attacchi ransomware sono ancora così diffusi oggi?
La parola ai dati: cosa dicono ACN ed ENISA
Secondo l’Operational Summary dell’ACN, nel primo semestre 2026 sono stati registrati 181 casi di ransomware a danno di soggetti italiani, contro i 206 dello stesso periodo del 2025: una diminuzione del 12%. Il dato riguarda i casi rilevati e classificati dall’Agenzia e non rappresenta necessariamente il totale degli attacchi avvenuti in Italia.
Il quadro europeo mostra un’altra dimensione del fenomeno. Nel suo Threat Landscape 2026, ENISA include il ransomware tra le attività criminali finanziariamente motivate con maggiore impatto nel breve periodo. Il report analizza incidenti osservati nell’Unione europea nel 2025: non è un dato specifico sull’Italia.
Questi dati ci mostrano quanto il ransomware resti una minaccia da considerare nella gestione della sicurezza e della continuità operativa aziendale. In questo quadro si inserisce anche la Direttiva NIS2, che rafforza gli obblighi di gestione del rischio e di resilienza informatica per i soggetti rientranti nel suo ambito. Non riguarda soltanto il ransomware: affronta più ampiamente la capacità delle organizzazioni di prevenire, gestire e notificare gli incidenti cyber. Direttiva NIS2 (UE) 2022/2555
Punti deboli: come può iniziare un attacco ransomware?
Il ransomware non è sempre il primo segnale diretto di un’intrusione. Gli attaccanti possono ottenere accesso all’ambiente aziendale, muoversi tra sistemi e account e distribuire il malware in una fase successiva. Per questo, ripristinare i dati da un backup non basta a stabilire se siano state sottratte informazioni o se l’accesso non autorizzato sia stato rimosso.
Le modalità di attacco sono molteplici. Tra i possibili punti di accesso ci sono:
- Credenziali compromesse, usate per tentare l’accesso a posta elettronica, VPN o altri servizi.
- Vulnerabilità non corrette in sistemi, applicazioni o dispositivi raggiungibili dalla rete.
- Accessi remoti esposti o configurati in modo debole.
- Phishing e social engineering, che possono indurre una persona a condividere credenziali o aprire un contenuto dannoso.
- Accessi di terze parti, quando viene compromesso un account di un fornitore o collaboratore.
Un singolo strumento non può supportare le aziende nella gestione di tutti questi possibili rischi. Una protezione completa richiede controlli coordinati sui dispositivi, sugli account e sull’infrastruttura.
Quali segnali possono indicare un attacco?
Non sempre compare subito una schermata con una richiesta di riscatto.
Segnali da approfondire possono essere:
- file improvvisamente inaccessibili o con estensioni insolite;
- accessi da dispositivi, luoghi o orari inattesi;
- account bloccati o autorizzazioni modificate senza una ragione nota;
- avvisi anomali dagli strumenti di sicurezza;
- attività insolita sui sistemi o sui backup;
- messaggi di estorsione o minacce di pubblicazione dei dati.
Un singolo segnale non conferma un attacco ransomware. Se noti comportamenti anomali, segnalali rapidamente ai referenti IT e sicurezza, soprattutto quando si presentano insieme.
Quali misure aiutano a proteggere l’azienda?
1. Mantieni aggiornati sistemi e applicazioni
Aggiorna sistemi operativi, applicazioni e dispositivi di rete. Dai priorità alle vulnerabilità note e ai sistemi esposti a Internet. Un inventario aggiornato aiuta a individuare i componenti presenti, i responsabili della loro gestione e gli elementi da verificare. Una valutazione dell’infrastruttura o una scansione delle vulnerabilità può aiutare a individuare sistemi e configurazioni da approfondire.
2. Proteggi account e accessi remoti
Abilita l’autenticazione a più fattori, soprattutto per posta elettronica, VPN e account con privilegi elevati. Limita gli accessi amministrativi alle persone e alle attività che ne hanno bisogno; usa account separati per l’amministrazione e per il lavoro quotidiano. Rivedi periodicamente gli account non più utilizzati e gli accessi concessi a fornitori e collaboratori. Disattiva i servizi remoti che non servono e monitora i tentativi di accesso anomali.
3. Proteggi dispositivi e rete e controlla gli avvisi
Usa strumenti di protezione degli endpoint e assicurati che gli avvisi vengano analizzati da persone incaricate di intervenire. Mantieni visibilità sui dispositivi collegati alla rete e sui servizi esposti. La formazione può aiutare le persone a riconoscere messaggi sospetti e richieste insolite. Affiancala a una procedura semplice per segnalare rapidamente un dubbio, senza timore di essere rimproverati per averlo sollevato.
4. Prepara backup protetti e verifica il ripristino
5. Definisci e prova un piano di risposta agli incidenti
Stabilisci chi deve essere avvisato, chi coordina la risposta e come comunicare se posta o strumenti aziendali non sono disponibili. Il piano dovrebbe indicare i servizi prioritari da ripristinare, i contatti interni ed esterni e chi valuta eventuali obblighi di notifica. Prova scenari pratici, come la compromissione di un account amministrativo, l’indisponibilità della posta o l’impossibilità di accedere ai backup. Una simulazione aiuta a scoprire lacune prima che si verifichi un’emergenza.
Strumenti e strategie utili per prevenire gli attacchi
Per ridurre il rischio, inoltre, non basta conoscere il malware: anche quando esiste un decryptor per una specifica variante, il suo impiego non risolve automaticamente tutte le conseguenze dell’incidente. Piuttosto, è utile capire come gli aggressori possono ottenere accesso ai sistemi e quali misure possono limitare l’impatto di un attacco.
Integrare strumenti di Data Loss Prevention (DLP) e attività di Threat Intelligence può rafforzare la protezione dell’azienda contro il ransomware. La Threat Intelligence aiuta a comprendere le campagne, le tecniche e gli indicatori associati agli attaccanti, così da orientare controlli e priorità di difesa. La DLP contribuisce a individuare o limitare trasferimenti non autorizzati di dati, riducendo il rischio di esposizione delle informazioni durante un attacco.
Le due soluzioni hanno ruoli complementari e vanno integrate con aggiornamenti, gestione degli accessi, monitoraggio e backup verificati: da sole non impediscono ogni attacco né garantiscono il recupero dei sistemi.
Cosa fare se sospetti un attacco ransomware?
Se compaiono file inaccessibili, richieste di riscatto o comportamenti insoliti:
1. Attiva la procedura aziendale di gestione degli incidenti e avvisa i referenti IT e sicurezza.
2. Segui le indicazioni del team tecnico per isolare i sistemi interessati. Evita interventi improvvisati che potrebbero aggravare l’incidente o compromettere le verifiche.
3. Conserva le informazioni disponibili, come messaggi, orari, avvisi e sistemi coinvolti. Non cancellare file o registri senza indicazioni.
4. Valuta l’estensione dell’incidente, inclusi account, servizi cloud, backup e possibile sottrazione di dati.
5. Pianifica bonifica e ripristino solo dopo aver verificato che l’accesso non autorizzato sia stato contenuto e che le copie da recuperare siano affidabili.
Conviene pagare il riscatto?
In caso la prevenzione non fosse sufficiente, bisogna comunque evitare di pagare il riscatto. Questa “soluzione”, che potrebbe sembrare l’unica via per recuperare i propri dati, non dà alcuna certezza. Il pagamento non garantisce il recupero dei dati né impedisce la loro divulgazione. Potrebbe, anzi, contribuire a finanziare l’attività criminale e incentivare ulteriori attacchi, esponendo ancora di più la vittima.
In ogni caso eventuali decisioni riguardo il pagamento di un riscatto vanno valutate caso per caso con i responsabili aziendali, tecnici e legali, considerando le circostanze e gli obblighi applicabili.
Checklist: la tua azienda è pronta ad affrontare un ransomware?
Usa queste domande per individuare i primi punti da verificare:
- L’azienda ha un inventario aggiornato di sistemi, dispositivi e servizi esposti?
- Gli account critici e gli accessi remoti sono protetti con autenticazione a più fattori?
- Le copie di backup sono separate dai sistemi principali e accessibili solo a persone autorizzate?
- È stato provato il ripristino dei dati e dei servizi prioritari?
- Il personale sa a chi segnalare un possibile incidente?
- Esiste un piano con ruoli, contatti e priorità di risposta?
Le risposte aiutano a individuare temi da approfondire, ma non sostituiscono una valutazione tecnica dell’infrastruttura
Conclusione
Prevenire e gestire il rischio ransomware richiede una strategia coordinata: conoscere sistemi e dati da proteggere, ridurre le vulnerabilità, controllare gli accessi, monitorare le minacce, proteggere le informazioni e verificare la capacità di ripristino. Nessuna misura, da sola, copre tutti questi aspetti. Progettare, integrare e mantenere le difese nel tempo richiede risorse, competenze specialistiche e coordinamento tra tecnologia, persone e processi. Per questo è importante valutare con metodo le esigenze dell’organizzazione e definire priorità sostenibili, aggiornandole con l’evoluzione dell’infrastruttura e delle minacce.
Vuoi capire come proteggere la tua infrastruttura?
Con un IT Assessment e un’analisi delle vulnerabilità puoi individuare criticità e definire le priorità d’intervento per i sistemi della tua azienda.
FAQ – Domande Frequenti sui ransomware
Sì. Le dimensioni ridotte non escludono un’azienda dal rischio: un attacco può sfruttare account compromessi, vulnerabilità o servizi esposti senza che l’organizzazione sia stata scelta per notorietà. Per una PMI è utile partire dai sistemi essenziali per lavorare, dagli accessi che li proteggono e dalle procedure per riprendere le attività.
Non automaticamente. Il cloud riduce alcune attività di gestione dell’infrastruttura, ma gli account, le configurazioni e i dati restano da proteggere. Se un account viene compromesso o un servizio è configurato in modo inadeguato, anche le risorse cloud possono essere esposte. Verifica quali responsabilità spettano al fornitore e quali all’azienda.
Può succedere, per esempio se un fornitore dispone di accessi ai sistemi aziendali e il suo account o ambiente viene compromesso. È utile concedere solo gli accessi necessari, limitarli ai sistemi pertinenti e sapere come revocarli o sospenderli in caso di incidente. Chiarisci inoltre con il fornitore chi deve avvisarti e come vengono gestiti gli accessi remoti.
Può chiedere chi controlla gli avvisi di sicurezza, come vengono gestiti gli accessi dei fornitori, quali sistemi sono prioritari in caso di interruzione e chi coordina le prime azioni durante un incidente. È utile chiarire anche responsabilità, contatti e modalità di comunicazione: queste informazioni dovrebbero essere definite prima di un’emergenza.
Non automaticamente. Se sono coinvolti dati personali, l’azienda deve valutare l’incidente anche sotto il profilo del GDPR: una violazione può riguardare la perdita di disponibilità dei dati, la loro alterazione o un accesso o una divulgazione non autorizzati. La notifica al Garante dipende dalla valutazione del rischio per i diritti e le libertà delle persone; quando è dovuta, va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza. Se il rischio per le persone è elevato, può essere necessario informare anche gli interessati. GDPR, articoli 33 e 34