Il ransomware è un software malevolo che cifra i file di un computer o di un'intera rete e chiede un pagamento per restituirli. Negli ultimi anni molte bande hanno aggiunto una seconda minaccia: prima di cifrare copiano i dati e minacciano di pubblicarli. Per una piccola azienda, uno studio professionale o un negozio con tre computer, l'effetto è lo stesso di un incendio: l'attività si ferma.
Spesso si pensa che i criminali puntino solo alle grandi imprese. In realtà molti attacchi sono opportunistici: chi attacca cerca sistemi vulnerabili, non nomi famosi. Una piccola realtà con un server esposto e nessun backup è un bersaglio comodo.
Come entra un ransomware
Conoscere le porte d'ingresso serve a capire dove mettere le difese. Le più comuni sono:
- Email con allegati o link malevoli: una finta fattura, un finto avviso di spedizione, un documento "da firmare".
- Accessi remoti esposti: desktop remoto o pannelli di gestione raggiungibili da Internet con password deboli o riutilizzate.
- Software non aggiornato: VPN, firewall, server di posta o gestionali con vulnerabilità note e mai corrette.
- Credenziali rubate: password trapelate da altri servizi e riutilizzate per l'account aziendale.
- Programmi scaricati da fonti non ufficiali: versioni "craccate" di software a pagamento sono un classico veicolo.
Una volta dentro, l'attaccante raramente cifra subito. Spesso esplora la rete, cerca i backup per cancellarli e ottiene privilegi da amministratore. Solo dopo lancia la cifratura, magari di notte o nel fine settimana.
Le difese che contano di più
Backup separati e verificati
È la difesa numero uno, perché trasforma un disastro in un fastidio. Ma un backup su un disco sempre collegato o su una cartella di rete raggiungibile dal computer infetto verrà cifrato insieme al resto. Serve almeno una copia offline o immutabile (non modificabile per un certo periodo), e serve provare periodicamente il ripristino. Un backup mai testato è una speranza, non una garanzia.
Aggiornamenti tempestivi
Sistemi operativi, browser, VPN, router e gestionali vanno aggiornati con regolarità. Le apparecchiature esposte su Internet, come firewall e VPN, hanno la priorità: quando esce una correzione di sicurezza per questi dispositivi, conviene applicarla nel giro di pochi giorni.
Niente servizi esposti senza protezione
Il desktop remoto aperto direttamente su Internet è una porta lasciata socchiusa. Se serve lavorare da fuori, usa una VPN aggiornata con autenticazione a due fattori, oppure una soluzione di accesso remoto che richieda un secondo fattore.
Autenticazione a due fattori ovunque possibile
Posta elettronica, VPN, pannelli di amministrazione, servizi cloud: un secondo fattore rende inutile una password rubata nella maggior parte dei casi.
Privilegi minimi
Chi usa il computer tutti i giorni non dovrebbe farlo con un account amministratore. Se un ransomware parte da un account normale, ha molti meno margini di danno. Gli account amministrativi vanno usati solo quando servono e protetti con password uniche e secondo fattore.
Protezione degli endpoint
Un buon antivirus moderno, o meglio una soluzione di protezione degli endpoint con analisi comportamentale, può bloccare la cifratura di massa quando la riconosce. Non è infallibile, ma è un livello in più.
Un esempio realistico
Uno studio con cinque postazioni usa un vecchio server per i file condivisi. Il titolare, per lavorare da casa, ha aperto il desktop remoto sul router. Una notte qualcuno prova migliaia di password, trova quella giusta, entra, cancella le copie di sicurezza presenti sullo stesso server e cifra tutto. Il lunedì mattina nessuno riesce ad aprire un documento. Con una VPN, un secondo fattore e un backup offline settimanale, lo stesso scenario si sarebbe chiuso con una giornata di ripristino.
Prepararsi al giorno peggiore
Anche con buone difese, conviene avere un piano scritto di una pagina:
- Chi chiamare: il tecnico o il fornitore IT, con numero di telefono annotato su carta.
- Cosa scollegare: i computer colpiti vanno isolati dalla rete, senza spegnerli in modo frettoloso se un tecnico può esaminarli.
- Dove sono i backup e come si ripristinano, con le credenziali conservate fuori dai sistemi aziendali.
- Come lavorare nel frattempo: quali attività possono andare avanti su carta o da dispositivi puliti.
- Chi informare: clienti, fornitori, e le autorità quando sono coinvolti dati personali o reati.
Pagare il riscatto?
Pagare non garantisce di riavere i dati, né che quelli rubati vengano cancellati, e finanzia chi ha attaccato. Chi ha backup funzionanti di solito non si pone nemmeno la domanda: è proprio questo il punto della prevenzione.
In sintesi
- Il ransomware colpisce anche le piccole realtà, spesso in modo opportunistico.
- Le porte d'ingresso tipiche sono email, accessi remoti esposti, software vecchio e password riutilizzate.
- Un backup offline o immutabile, testato, è la difesa più importante.
- Aggiornamenti, secondo fattore e account senza privilegi riducono drasticamente il rischio.
- Un piano di risposta scritto fa risparmiare ore preziose quando qualcosa va storto.