Il ransomware è oggi la minaccia informatica numero uno per le piccole e medie imprese italiane. Secondo il Rapporto Clusit 2025, gli attacchi ransomware verso organizzazioni italiane sono aumentati del 65% rispetto al 2023, con un costo medio per incidente che supera i 280.000 euro considerando downtime, ripristino, perdita di dati e danni reputazionali. Non si tratta più di un rischio astratto riservato alle grandi corporation: il 60% degli attacchi registrati nell'ultimo anno ha colpito aziende con meno di 250 dipendenti.
Questa guida è pensata per i responsabili aziendali, i titolari di PMI e i professionisti IT che vogliono capire concretamente come funziona il ransomware, come prevenirlo con misure efficaci e, se l'attacco è già avvenuto, come rispondere senza commettere gli errori più costosi.
Come funziona un attacco ransomware: anatomia step by step
Capire la meccanica di un attacco è il primo passo per difendersi. Il ransomware moderno non arriva all'improvviso: segue una sequenza di fasi ben definita che si svolge nell'arco di ore, giorni o addirittura settimane prima che la vittima se ne accorga.
Fase 1: Accesso iniziale (Initial Access). Il punto di ingresso più comune rimane l'email di phishing: un messaggio apparentemente legittimo che contiene un allegato malevolo (documento Office con macro, PDF con link) oppure un link a una pagina di login contraffatta. In alternativa, gli attaccanti sfruttano vulnerabilità note su servizi esposti su internet: VPN senza patch, server RDP (Remote Desktop Protocol) accessibili pubblicamente con credenziali deboli, firewall con CVE non risolti. Nel 2025, le credenziali rubate acquistate sul dark web rappresentano il vettore d'ingresso in circa il 30% dei casi.
Fase 2: Persistenza e ricognizione. Una volta dentro, l'attaccante non cifra subito. Prima si assicura di poter tornare anche se il punto di accesso viene chiuso, installando backdoor aggiuntive o creando account amministratore nascosti. Poi mappa la rete: quali server ci sono, dove si trovano i backup, quali account hanno privilegi elevati, quali dati sono più preziosi. Questa fase può durare da pochi giorni a diverse settimane.
Fase 3: Movimento laterale ed escalation dei privilegi. L'attaccante si sposta dalla macchina inizialmente compromessa verso sistemi più critici: il domain controller, i server di file sharing, i sistemi ERP o gestionali. Utilizza strumenti legittimi presenti nel sistema (come PowerShell o WMI) per non essere rilevato dagli antivirus tradizionali: è la tecnica nota come "living off the land".
Fase 4: Esfiltrazione dei dati. Prima di cifrare, i gruppi ransomware più sofisticati copiano i dati verso server controllati dagli attaccanti. Questo è il cuore della doppia estorsione (double extortion): anche se la vittima recupera i dati dal backup, viene minacciata di pubblicazione delle informazioni riservate sul sito degli attaccanti.
Fase 5: Cifratura e richiesta di riscatto. Il payload ransomware viene distribuito simultaneamente su tutti i sistemi compromessi, spesso nel fine settimana o di notte per massimizzare i danni prima che qualcuno se ne accorga. La cifratura è asimmetrica e, senza la chiave privata detenuta dagli attaccanti, i file non sono recuperabili. Compare la nota di riscatto con le istruzioni per il pagamento in criptovaluta.
Perché le PMI italiane sono il bersaglio preferito
È una domanda legittima: perché un gruppo criminale organizzato dovrebbe prendere di mira una piccola azienda manifatturiera di Parma o uno studio di commercialisti di Reggio Emilia invece di una grande multinazionale? La risposta è brutalmente economica: le PMI offrono il miglior rapporto rischio/rendimento per i criminali informatici.
Le grandi aziende hanno SOC (Security Operations Center) attivi 24/7, team di incident response interni, investimenti significativi in difesa. Attaccarle è difficile, costoso e rischioso per gli attaccanti stessi. Le PMI, al contrario, spesso non hanno figure IT dedicate alla sicurezza, operano con sistemi non aggiornati, non effettuano backup regolari o li conservano in modo non sicuro, e non hanno piani di risposta agli incidenti.
I settori più colpiti in Italia nel 2024-2025 sono stati, nell'ordine: la manifattura (che rappresenta oltre il 25% degli attacchi a PMI italiane), il settore healthcare e delle strutture sanitarie private, gli studi di commercialisti e consulenti fiscali (per l'enorme valore dei dati finanziari che gestiscono), il commercio all'ingrosso e al dettaglio, e le aziende di logistica. L'Emilia Romagna, per la sua densità manifatturiera, figura costantemente tra le regioni italiane più colpite.
Un elemento spesso sottovalutato è la supply chain: molti attacchi alle PMI avvengono attraverso un fornitore di software gestionale o un provider IT di fiducia. Compromettere un MSP (Managed Service Provider) con accesso ai sistemi di decine di clienti è molto più redditizio di attaccare un'azienda alla volta.
Le 7 misure preventive fondamentali
Non esiste una difesa al 100%, ma applicare sistematicamente queste sette misure riduce drasticamente la probabilità di un attacco andato a buon fine e, soprattutto, limita i danni se la compromissione avviene comunque.
- 1. Backup con regola 3-2-1 (o meglio 3-2-1-1). Il backup è l'ultima linea di difesa. Senza backup affidabili, l'unica alternativa al pagamento del riscatto è la perdita definitiva dei dati. Ne parliamo in dettaglio nella sezione successiva.
- 2. Segmentazione della rete. Se tutti i sistemi sono sulla stessa rete piatta, un ransomware che entra da un PC amministrativo può raggiungere i server di produzione in pochi minuti. La segmentazione divide la rete in zone isolate: i sistemi di controllo industriale separati dagli uffici, i server separati dalle postazioni utente, i sistemi di backup separati da tutto il resto. Un attaccante che compromette la rete amministrativa non deve poter raggiungere il gestionale.
- 3. EDR al posto del solo antivirus. L'antivirus tradizionale basato su firme non rileva il 60-70% del malware moderno, che è polimorfico o usa tecniche fileless. Un sistema EDR (Endpoint Detection and Response) analizza il comportamento dei processi in tempo reale: se PowerShell inizia a cifrare migliaia di file, l'EDR lo blocca e avvisa. Soluzioni come Microsoft Defender for Business, SentinelOne o CrowdStrike Falcon sono accessibili anche per le PMI.
- 4. MFA su tutti gli accessi critici. L'autenticazione multi-fattore è la misura singola con il miglior rapporto costo/efficacia. Un account email con MFA attivo è resistente al 99% degli attacchi basati su password rubate. Va abilitato obbligatoriamente su: email aziendale, VPN, accessi cloud (Microsoft 365, Google Workspace), pannelli amministrativi, software gestionali. Preferire app authenticator o chiavi hardware FIDO2 rispetto agli SMS, più vulnerabili al SIM swapping.
- 5. Patch management rigoroso. La maggior parte degli attacchi che sfruttano vulnerabilità tecniche lo fanno su sistemi non aggiornati, spesso per CVE pubbliche da mesi o anni. Definire una politica di aggiornamento: sistemi operativi entro 7 giorni dalla patch critica, applicazioni entro 14 giorni, firmware dei dispositivi di rete trimestralmente. Tenere un inventario aggiornato di tutti i software installati.
- 6. Formazione e simulazioni di phishing. Il 90% degli attacchi inizia con un clic su un'email malevola. La formazione non deve essere un corso teorico annuale dimenticato in un'ora: simulazioni di phishing mensili con debriefing immediato, brevi video formativi, procedure chiare su cosa fare quando si riceve un'email sospetta. I dipendenti non vanno puniti per i clic: vanno trasformati in sensori di sicurezza.
- 7. Piano di risposta agli incidenti. Prima che l'attacco avvenga, avere un documento scritto che risponda a: chi chiamo per primo? Come isolo un sistema compromesso? Dove sono i contatti del provider di backup? Chi è il referente legale per la notifica GDPR? Questo piano deve essere conosciuto da tutte le figure chiave e testato almeno una volta all'anno con un esercizio tabletop.
La strategia di backup anti-ransomware: regola 3-2-1-1
Il backup è l'argomento più citato e il più sottovalutato nella pratica. Molte aziende credono di avere backup efficaci e scoprono durante un attacco ransomware che quei backup sono inaccessibili, corrotti o, peggio, anch'essi cifrati dal malware.
La regola classica 3-2-1 stabilisce: 3 copie dei dati, su 2 supporti diversi, con 1 copia off-site (fuori sede). La versione aggiornata per il contesto ransomware è la 3-2-1-1: aggiunge un quarto requisito, ovvero 1 copia offline o immutabile.
Il punto critico è questo: se il backup è accessibile dalla rete aziendale compromessa, il ransomware lo cifrerà insieme a tutto il resto. Questo accade con i backup su NAS connessi alla rete, con i backup sincronizzati su cloud storage (OneDrive, Google Drive) che il malware può raggiungere attraverso le sessioni utente aperte, e con i backup su server accessibili tramite le stesse credenziali compromesse.
Cosa rende un backup realmente sicuro contro il ransomware:
- Immutabilità (WORM): i backup scritti su storage con policy di immutabilità non possono essere modificati o cancellati per un periodo definito, nemmeno da un amministratore. Soluzioni come AWS S3 Object Lock, Azure Immutable Blob Storage o NAS con WORM filesystem offrono questa garanzia.
- Isolamento fisico o logico: almeno una copia deve essere fisicamente disconnessa dalla rete (nastro magnetico LTO, disco esterno conservato off-site) oppure su un sistema cloud con autenticazione completamente separata dalle credenziali aziendali, non accessibile attraverso la rete interna.
- Test di ripristino regolari: un backup non testato è inutile. Ogni trimestre, estrarre un campione di dati dal backup e verificare che siano effettivamente recuperabili. Documentare i tempi di ripristino: quante ore ci vogliono per rimettere in piedi il server ERP? Questa informazione è critica per pianificare la risposta a un incidente.
- Frequenza adeguata all'RTO e RPO aziendali: Recovery Time Objective (quanto posso stare fermo?) e Recovery Point Objective (quanti dati posso permettermi di perdere?) devono guidare la strategia. Un backup giornaliero può sembrare sufficiente, ma se l'azienda processa 500 fatture al giorno, perdere 8 ore di dati ha un costo preciso.
Errori comuni da evitare: backup su NAS nella stessa rete senza segmentazione; backup cloud sincronizzati automaticamente senza versioning; backup eseguiti con le stesse credenziali dell'admin di dominio; nessun test di ripristino negli ultimi 12 mesi; retention troppo breve (meno di 30 giorni) che non permette di recuperare dati prima che la compromissione venisse rilevata.
Cosa fare nelle prime ore dopo un attacco ransomware
Le decisioni prese nelle prime due ore dopo la scoperta di un attacco ransomware determinano spesso la differenza tra un incidente gestibile e una catastrofe aziendale. Il panico porta a errori gravi e irreversibili. Seguire una checklist predefinita salva l'azienda.
- 1. Isola immediatamente i sistemi compromessi. Disconnetti i computer colpiti dalla rete (stacca il cavo ethernet, spegni il Wi-Fi) ma non spegnerli: in alcuni casi la memoria RAM contiene informazioni utili per l'analisi forense. Se hai visibilità sulla rete, blocca i segmenti interessati a livello di switch. L'obiettivo è fermare la propagazione laterale.
- 2. Non spegnere tutto indiscriminatamente. Spegnere i server può distruggere log e tracce forensi necessari per capire come è entrato l'attaccante e quali sistemi sono stati compromessi. Solo un esperto di incident response deve decidere cosa spegnere e in quale ordine.
- 3. Preserva le prove. Non formattare, non reinstallare, non eliminare nulla. Tutti i log, le note di riscatto, le email sospette sono prove che serviranno all'analisi forense e all'eventuale denuncia alle autorità. Se possibile, fai immagini forensi dei dischi prima di qualsiasi intervento.
- 4. Attiva il piano di risposta agli incidenti e coinvolgi esperti. Contatta immediatamente il tuo fornitore di sicurezza informatica o un team di incident response specializzato. Non cercare di gestire la situazione internamente se non hai le competenze: ogni errore può peggiorare la situazione o compromettere le possibilità di recupero.
- 5. Notifica GDPR entro 72 ore. Se i dati cifrati o esfiltrati includono dati personali (e quasi certamente è così), il GDPR impone la notifica al Garante per la Protezione dei Dati Personali entro 72 ore dalla scoperta della violazione. Questo non è facoltativo: le sanzioni per mancata notifica possono aggiungersi ai danni già subiti. Coinvolgi il DPO o il consulente legale sin dall'inizio.
- 6. Documenta tutto. Tieni un log scritto di ogni azione intrapresa, con timestamp: chi ha fatto cosa e quando. Questa documentazione è fondamentale per l'analisi post-incidente, per l'assicurazione cyber e per eventuali procedimenti legali.
- 7. Comunica con chiarezza internamente ed esternamente. I dipendenti devono sapere che c'è un incidente in corso e ricevere istruzioni chiare (non usare i sistemi, non aprire email, non condividere informazioni). I clienti e i fornitori strategici vanno avvisati se i dati che li riguardano sono a rischio, con un messaggio controllato e concordato con il legale, non con comunicazioni improvvisate.
Pagare il riscatto: pro e contro
È la domanda che ogni vittima si pone nelle prime ore: pago o non pago? Non esiste una risposta universale, ma ci sono dati e considerazioni che devono guidare la decisione.
I numeri reali sul pagamento del riscatto. Secondo diverse ricerche (Sophos State of Ransomware 2025, Coveware Q3 2025), circa il 40% delle aziende colpite sceglie di pagare il riscatto. Di queste, solo il 65% riesce a recuperare tutti i dati: il restante 35% paga e non recupera nulla, o recupera dati parziali o corrotti. Pagare non garantisce la chiave di decifratura funzionante, non garantisce che i dati esfiltrati non vengano comunque venduti o pubblicati, e non garantisce che l'attaccante non torni in futuro con un accesso che ha mantenuto.
Considerazioni a favore del pagamento. In assenza di backup funzionanti, il pagamento può essere l'unica alternativa alla perdita definitiva di dati critici per la sopravvivenza dell'azienda. Se i dati esfiltrati includono informazioni particolarmente sensibili (dati medici, segreti industriali, dati di minori), il rischio di pubblicazione può giustificare la trattativa. I negoziatori professionali (sì, esistono) riescono spesso a ridurre significativamente l'importo del riscatto.
Considerazioni contro il pagamento. Ogni pagamento finanzia direttamente le operazioni criminali e incentiva nuovi attacchi. In alcuni paesi (non ancora in Italia, ma la normativa evolve), pagare riscatti a gruppi sanzionati può configurare responsabilità legale. Il pagamento non risolve il problema di fondo: se l'accesso che ha permesso l'attacco non viene chiuso, una nuova infezione è possibile in settimane.
Il consiglio pratico. Non decidere da soli e non decidere sotto pressione emotiva nelle prime ore. Coinvolgi un team di incident response, un avvocato e, se hai una polizza cyber, la tua assicurazione. La decisione deve essere informata, documentata e presa con tutte le informazioni disponibili.
Come Nerd Herd ti aiuta prima, durante e dopo
Nerd Herd è il partner di cybersecurity di riferimento per le PMI dell'Emilia Romagna. Lavoriamo con aziende manifatturiere, studi professionali e realtà commerciali che vogliono proteggersi concretamente, senza investimenti sproporzionati e senza soluzioni complesse da gestire internamente.
Prima dell'attacco. Prevenzione e preparazione: conduciamo assessment di sicurezza per identificare le vulnerabilità reali della tua infrastruttura; progettiamo e implementiamo architetture di backup anti-ransomware; configuriamo soluzioni EDR e MFA calibrate sulle tue esigenze; formiamo il personale con simulazioni di phishing e sessioni pratiche; scriviamo con te il piano di risposta agli incidenti.
Durante l'attacco. Incident Response: interveniamo rapidamente per contenere la propagazione, eseguire l'analisi forense, coordinare il ripristino dei sistemi e gestire le comunicazioni con le autorità. Il nostro team è raggiungibile H24 per i clienti con contratto di supporto attivo.
Dopo l'attacco. Ripristino e rafforzamento: non ci fermiamo al ripristino tecnico. Analizziamo come è avvenuta la compromissione, chiudiamo tutti i vettori di accesso identificati e implementiamo le misure che avrebbero impedito l'attacco. L'obiettivo è che il cliente esca dall'incidente più sicuro di prima.
Scopri i nostri servizi di Incident Response e sicurezza proattiva o contattaci per una valutazione iniziale della tua postura di sicurezza.
Conclusione
Il ransomware è una minaccia reale, concreta e in crescita per le PMI italiane. Ma non è una minaccia inevitabile. Le aziende che investono sistematicamente nelle misure preventive (backup affidabili, segmentazione di rete, EDR, MFA, formazione) riducono drasticamente sia la probabilità di essere colpite sia i danni in caso di incidente.
Il momento migliore per prepararsi è adesso, non dopo aver ricevuto la nota di riscatto. Se vuoi capire qual è il tuo livello di esposizione reale e quali sono le tre azioni più urgenti da intraprendere, contattaci per una valutazione gratuita. Non vendiamo paura: vendiamo chiarezza e soluzioni pratiche.