Un’e-mail che sembra arrivare da un fornitore o un allegato aperto per errore durante una giornata piena di impegni.

Bastano pochi secondi di distrazione perché un ransomware si insinui nei sistemi aziendali, blocchi l’accesso ai dati e chieda un riscatto per restituirli.

Per le piccole e medie imprese italiane è una delle cause più frequenti di fermo operativo e danno economico: capire come funziona è il primo passo per costruire una difesa efficace.

Per approfondire le tecniche più comuni con cui un attacco può colpire la tua azienda, leggi anche la nostra guida su come riconoscere un attacco hacker difendere il tuo sito web.

Breve storia dei ransomware virus

Il trojan AIDS , conosciuto anche come Aids Info Disk o PC Cyborg Trojan, è considerato il primo attacco ransomware: era il 1989 quando venne utilizzato per sottrarre denaro alle vittime costrette a inviare un pagamento a Panama in cambio della chiave necessaria per tornare ad accedere ai propri dati.

Nel 1996 due ricercatori della Columbia University, Moti Yung e Adam Young, utilizzarono il termine “estorsione crittovirale” per descrivere quello che oggi conosciamo come attacco ransomware.
Nello stesso anno i due ricercatori presentarono il primo attacco crittovirale durante la conferenza IEEE su Privacy e Sicurezza.

Il virus che avevano sviluppato conteneva la chiave pubblica dell’attaccante e permetteva di cifrare i file della vittima: per ottenere la chiave di decrittazione, l’utente doveva inviare il ciphertext, ovvero il testo cifrato, all’attaccante e pagare un riscatto.

Che cos’è un ransomware

Il termine ransomware indica una famiglia di malware progettata per bloccare l’accesso a dati o dispositivi, con l’obiettivo di estorcere denaro alla vittima in cambio del loro sblocco.

Le tipologie più conosciute di ransomware sono:

1. lock screen: bloccano l’accesso al dispositivo attraverso una schermata o un’immagine a tutto schermo;
2. encryption: cifrano i file rendendoli illeggibili senza una chiave di decrittazione. Appartiene a questa categoria il Cryptolocker, il ransomware più noto e temuto degli ultimi anni, a cui abbiamo dedicato un approfondimento specifico;
3. estorsione DDoS: minacciano di lanciare un attacco DDoS contro la rete o il sito web a meno che non venga pagato un riscatto (spesso in Bitcoin);
4. mobile ransomware: colpisce tablet e smartphone e prevede il pagamento di un riscatto per decriptare i dati o sbloccare il dispositivo;
5. doxware: meno conosciuto rispetto ad altre tipologie, richiede il pagamento di un riscatto per bloccare la pubblicazione di informazioni sensibili dal computer della vittima;
6. scareware: in questo caso gli utenti vengono ingannati da un messaggio falso che li informa di aver rilevato un malware. In pratica sono falsi antivirus che richiedono il pagamento di un riscatto per eliminare il malware che in realtà non esiste;
7. RaaS (Ransomware as a service): sono programmi ransomware che i cybercriminali vendono ad altri hacker e che questi sfruttano per colpire altri utenti.

Come agisce un attacco ransomware

Al di là delle differenze tra le singole varianti, la maggior parte degli attacchi segue uno schema ricorrente:

1. infiltrazione: il codice malevolo entra nel sistema, spesso senza destare sospetti;
2. propagazione: una volta dentro, il malware non si limita al dispositivo iniziale ma scansiona la rete alla ricerca di altre unità, server e backup collegati;
3. cifratura: i file vengono bloccati con algoritmi di crittografia difficili o impossibili da forzare senza la chiave corretta;
4. richiesta di riscatto: compare una nota che chiede un pagamento, quasi sempre in criptovaluta, entro un limite di tempo, minacciando la perdita definitiva dei dati o, sempre più spesso, la loro pubblicazione online.

Come si diffonde il ransomware

Phishing e ingegneria sociale

È il vettore più utilizzato. Un’e-mail apparentemente legittima, un allegato o un link malevolo camuffato da documento innocuo: basta un clic per avviare l’infezione.

Vulnerabilità non aggiornate

Software e sistemi operativi non aggiornati lasciano aperte delle falle che possono essere sfruttate da script automatizzati per installare il malware senza alcun intervento diretto dell’utente.

Accessi remoti non protetti

Servizi di accesso remoto configurati senza adeguate protezioni sono un bersaglio comune: credenziali deboli o rubate permettono ai criminali di entrare direttamente nei server aziendali.

Come difendersi da un attacco ransomware: una strategia a più livelli

Non esiste un singolo strumento in grado di eliminare il rischio: è necessario seguire un approccio stratificato, in cui tecnologia e comportamento delle persone lavorano insieme.

Nello specifico:

• formazione e consapevolezza: investi nella formazione all’interno della tua azienda. È fondamentale che i tuoi dipendenti siano in grado di riconoscere un’e-mail sospetta, evitare allegati da mittenti sconosciuti e verificare i link prima di cliccarli;
• aggiornamenti e sicurezza degli endpoint: mantieni sistemi e applicazioni sempre aggiornati in modo da chiudere le falle sfruttate dagli attacchi automatizzati. L’attività di aggiornamento deve essere affiancata all’adozione di soluzioni di Endpoint Security e Network Security che consentono di rilevare comportamenti anomali e bloccare i processi di cifratura prima che causino danni;
• gestione degli accessi: consenti ai dipendenti i permessi necessari sulla base di una gerarchia ben precisa. Questo ti consentirà di limitare la capacità del malware di diffondersi nella rete aziendale in caso di compromissione di un singolo account;
• Backup solidi e immutabili: la prevenzione è importante ma non basta, un backup ben strutturato è l’unica vera rete di sicurezza. La regola di riferimento è quella del 3-2-1: almeno 3 copie dei dati, su 2 supporti diversi, con 1 copia offline o immutabile, non modificabile né cancellabile per un periodo definito. Una strategia di storage e backup cloud, affiancata da un piano di Disaster Recovery, permette di ripristinare l’operatività senza dover neanche considerare l’ipotesi di pagare un riscatto.

Cosa fare se la tua azienda viene colpita?

Resta calmo e concentrato: se il sistema è già stato infettato, i primi minuti fanno la differenza!

Quello che devi fare è:

1. isolare immediatamente il dispositivo dalla rete, disconnettendo Wi-Fi e cavo LAN, per impedire al malware di raggiungere altri sistemi;
2. non pagare il riscatto dal momento che non c’è alcuna garanzia di ricevere la chiave di decrittazione. Il pagamento finanzia le attività criminali, aumentando il rischio di essere colpiti nuovamente;
3. contattare subito un supporto tecnico specializzato, per contenere il danno, verificare l’estensione dell’attacco e avviare il ripristino dai backup.

Vuoi valutare il livello di protezione della tua azienda? Scopri i nostri Servizi e Soluzioni ICT !

FAQ – domande frequenti sul Ransomware

Qual è la differenza tra ransomware e virus?

Un virus è un programma malevolo che si replica e danneggia i sistemi; il ransomware è una categoria specifica di malware il cui unico scopo è bloccare l’accesso a dati o dispositivi per estorcere denaro.

Come faccio a capire se sono stato colpito da un ransomware?

I segnali più comuni sono file che non si aprono più o hanno estensioni cambiate, un rallentamento anomalo del sistema, l’antivirus disattivato senza intervento umano e, nei casi più evidenti, la comparsa di una richiesta di riscatto a schermo.

I Backup mi proteggono al 100% da un ransomware?

I backup non impediscono l’attacco, ma sono la garanzia per riprendere l’attività senza pagare il riscatto. Per essere davvero efficaci devono seguire la regola del 3-2-1 e includere almeno una copia offline o immutabile, che il malware non può cifrare o cancellare.

Conviene pagare il riscatto?

No. Pagare non garantisce di ricevere la chiave di decrittazione e finanzia le attività criminali, aumentando il rischio di subire nuovi attacchi in futuro. La strada più sicura è affidarsi a backup solidi e a un piano di ripristino.