Un file che non si apre più, una richiesta di riscatto sullo schermo, un collega che riceve email strane dal tuo indirizzo. Quando ci si accorge di un incidente informatico, l'istinto è rimettere tutto a posto il più in fretta possibile. È comprensibile, ma un ripristino precipitoso può cancellare proprio le informazioni che servono per capire cosa è successo, chiudere la falla e, se necessario, dimostrarlo a terzi.
Due obiettivi da tenere insieme
Nelle prime ore si lavora su due fronti che a volte sembrano in conflitto:
- limitare i danni, impedendo che l'attacco si estenda ad altri sistemi o che altri dati escano;
- preservare le tracce, per ricostruire l'accaduto e prendere decisioni informate.
L'errore tipico è sacrificare completamente il secondo obiettivo al primo. Con un minimo di metodo, si riescono a ottenere entrambi.
Le prime azioni
1. Annota tutto da subito
Apri un documento, anche su carta, e scrivi l'ora in cui ti sei accorto del problema, cosa hai visto, chi è stato informato e ogni azione compiuta, con l'orario. Questa cronologia sarà preziosa per chi analizzerà l'incidente e per eventuali comunicazioni obbligatorie.
2. Isola, non spegnere
Nella maggior parte dei casi conviene scollegare i computer coinvolti dalla rete, staccando il cavo o disattivando il Wi-Fi, senza spegnerli. Spegnere un sistema fa perdere il contenuto della memoria, che può contenere processi attivi, connessioni aperte, chiavi di cifratura e tracce del programma malevolo.
Ci sono eccezioni: se un ransomware sta cifrando attivamente i file e non c'è altro modo di fermarlo, interrompere l'alimentazione può limitare i danni. È una decisione da prendere sapendo cosa si perde.
3. Fotografa gli schermi
Messaggi di riscatto, finestre di errore, notifiche insolite vanno fotografati con un telefono prima di toccare qualsiasi cosa. Spesso contengono identificativi, indirizzi di contatto e informazioni sul tipo di attacco.
4. Proteggi gli account
Se si sospetta il furto di credenziali, cambia le password degli account critici da un dispositivo sicuro, non da quello compromesso. Attiva la verifica in due passaggi dove manca. Prima di farlo, se possibile, esporta i registri di accesso degli account interessati, perché alcune modifiche possono renderli più difficili da consultare.
5. Conserva i registri
Firewall, router, server di posta, servizi cloud e antivirus tengono registri che possono essere sovrascritti in pochi giorni. Esportali o aumenta il periodo di conservazione prima che vadano persi.
Cosa non fare
- Non reinstallare subito il sistema: si cancella ogni traccia dell'intrusione.
- Non eseguire a caso programmi di pulizia: possono eliminare file utili all'analisi senza garantire la rimozione completa.
- Non contattare gli aggressori senza una strategia: ogni scambio va valutato e documentato.
- Non usare la posta compromessa per coordinarsi: chi ha accesso alla casella potrebbe leggere le comunicazioni.
- Non pagare d'impulso un riscatto: non garantisce il recupero dei dati né la cancellazione di quelli sottratti.
Coordinare ripristino e analisi
Una buona soluzione è dividere il lavoro. Prima di ripristinare un sistema, se ne esegue una copia forense del disco e, se possibile, della memoria. Il ripristino può quindi procedere sui sistemi puliti o dai backup, mentre l'analisi lavora sulle copie.
| Attività | Chi | Su cosa |
|---|---|---|
| Contenimento | Responsabile IT | Rete e account |
| Acquisizione | Consulente forense | Dischi, memoria, registri |
| Ripristino | Responsabile IT | Backup verificati |
| Analisi | Consulente forense | Copie acquisite |
Prima di ripristinare dai backup, va verificato che non siano anch'essi compromessi e che il punto di ripristino sia precedente all'intrusione, non solo alla cifratura. Spesso gli aggressori restano nei sistemi per giorni o settimane prima di manifestarsi.
Le domande a cui l'analisi dovrà rispondere
- Da dove è entrato l'aggressore e quando?
- Quali sistemi e account ha raggiunto?
- Ha sottratto dati? Quali?
- È ancora presente in qualche sistema?
- Cosa va cambiato per evitare che accada di nuovo?
Le risposte servono non solo a riparare, ma anche a valutare gli obblighi verso clienti, partner e autorità. Se l'incidente riguarda dati personali, il GDPR prevede che il titolare valuti la notifica all'autorità di controllo entro 72 ore dal momento in cui ne è venuto a conoscenza: un motivo in più per documentare con precisione tempi e fatti.
Prepararsi prima
Il momento migliore per pensare a un incidente è prima che accada. Un elenco di contatti da chiamare, backup verificati e conservati separatamente, registri attivi con un periodo di conservazione adeguato e una breve procedura scritta riducono di molto il caos delle prime ore.
In sintesi
- Annota ogni fatto e ogni azione con l'orario fin dal primo momento.
- Isola i sistemi dalla rete senza spegnerli, salvo casi motivati.
- Fotografa gli schermi e conserva i registri prima che vengano sovrascritti.
- Acquisisci copie forensi prima di ripristinare, e verifica i backup.
- Prepara in anticipo contatti, backup e una procedura scritta.