Attacco Ransomware: cosa fare nelle prime 24 ore?
Non farti paralizzare dal panico. Scarica il protocollo operativo di Incident Response per riprendere il controllo della tua infrastruttura, passo dopo passo.
I primi 1.440 minuti - Il tempo è la tua risorsa più scarsa.
Quando un server viene criptato e appare la nota di riscatto, la tentazione è agire d'impulso. Ma le decisioni prese nella prima ora determinano se l'azienda tornerà operativa in pochi giorni o se affronterà mesi di crisi legale ed economica.
Questa non è una guida teorica. È un percorso blindato nel caos progettato per aiutarti a:
- Mantenere la chiarezza mentale quando i telefoni iniziano a squillare.
- Contenere l'infezione prima che raggiunga i backup o il cloud.
- Preservare le prove necessarie per le pratiche assicurative e l'analisi forense.
Un attacco ransomware richiede decisioni rapide, ma non improvvisate. Le prime 24 ore servono a fermare la propagazione, preservare le evidenze, capire quali identità e sistemi sono realmente compromessi e preparare un recovery che non reintroduca l’attaccante. Il protocollo T24 organizza queste attività in una sequenza operativa per IT, Security, direzione, legale e privacy.
Il principio è semplice: contenere prima di ripristinare, documentare prima di cancellare, verificare prima di comunicare. La cifratura è spesso soltanto la fase finale di un’intrusione iniziata prima e può essere accompagnata da furto di credenziali, esfiltrazione dei dati, compromissione dei backup e persistenza nell’ambiente.
Attivare il comando dell’incidente
Appena l’incidente è confermato, assegnare un Incident Commander e aprire un Incident Log. Il team tecnico deve poter lavorare su un’unica catena decisionale, con referenti espliciti per infrastruttura, cybersecurity, direzione, legale/privacy, comunicazione e continuità operativa. Ogni azione rilevante deve riportare orario, responsabile, motivazione ed esito.
- Usare un canale di comunicazione alternativo se posta, Teams o identità aziendali possono essere compromessi.
- Separare i fatti verificati dalle ipotesi; evitare reset, spegnimenti e bonifiche massive non coordinate.
- Stabilire una cadenza di aggiornamento per direzione e stakeholder.
- Definire chi può autorizzare containment, fermo operativo, comunicazioni esterne e recovery.
Cosa imparerai a gestire (le 4 fasi del protocollo)
Abbiamo condensato l'esperienza dei nostri tecnici in un documento operativo diviso in 4 fasi critiche:
FASE 1 - Triage e contenimento: Come isolare fisicamente la rete, disattivare Wi-Fi e VPN e perché è vitale non spegnere o riavviare mai i server colpiti per preservare i dati volatili nella RAM.
FASE 2 - Investigazione: Come analizzare la "Ransom Note" senza contattare gli hacker e come mappare l'impatto sugli asset critici (Tier 0, 1 e 2) prima di tentare qualunque ripristino.
FASE 3 - Diario e compliance: L'importanza di aprire un "Incident Log" per scopi legali e assicurativi e come gestire la notifica obbligatoria al Garante della Privacy entro 72 ore.
FASE 4 - Bonifica e Recovery: La procedura per configurare una "Clean Room" sterile e come patchare le vulnerabilità (RDP, VPN, CVE) prima di riportare i sistemi online.
Un glossario di sopravvivenza incluso
Non perdere tempo a cercare definizioni mentre sei sotto attacco. La guida include un glossario rapido per capire subito:
- IOC (Indicators of Compromise): Le "impronte digitali" del malware per capire fin dove è arrivata l'infezione.
- Lateral Movement: Quando l'attaccante salta da un computer all'altro per trovare dati critici.
- Immutability: La funzione dei backup che impedisce la cancellazione dei dati anche ad hacker con permessi admin.
Data breach e comunicazioni: la regola delle 72 ore non è automatica
La cifratura, l’indisponibilità o l’esfiltrazione di dati personali può configurare una violazione di dati personali. Non ogni ransomware comporta automaticamente una notifica al Garante: il titolare deve effettuare una valutazione documentata del rischio per i diritti e le libertà delle persone.
Quando ricorrono i presupposti, la notifica al Garante deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. DPO e funzione legale devono essere coinvolti tempestivamente; eventuali ulteriori obblighi settoriali o NIS2 vanno gestiti secondo il perimetro applicabile all’organizzazione.
Negoziazione e riscatto: una decisione di governance, non una remediation
Il contatto con il threat actor non deve essere improvvisato. Prima di qualsiasi interazione vanno coinvolti direzione, legale, assicurazione cyber, forze dell’ordine e specialisti con esperienza specifica. Occorre valutare attendibilità del gruppo, possibili sanzioni, implicazioni normative, tracciabilità dei fondi e impatto della decisione sulla strategia complessiva di Incident Response.
Il pagamento non garantisce il funzionamento del decryptor, la cancellazione dei dati esfiltrati o la rimozione delle persistenze. Anche se viene considerato in uno scenario estremo, non sostituisce analisi forense, bonifica, rotazione delle credenziali e clean recovery.
Clean recovery: ripristinare solo quando il livello di fiducia è sufficiente
Il recovery deve iniziare quando il team dispone di una comprensione ragionevole del vettore iniziale, delle identità compromesse e dei meccanismi di persistenza. Ripristinare backup in un dominio ancora compromesso o riaprire accessi prima della bonifica può produrre una nuova cifratura.
- Ripristinare in un ambiente isolato e con priorità basate sui processi business-critical.
- Verificare integrità, data, dipendenze e affidabilità delle copie di backup.
- Ruotare account privilegiati, token, chiavi, certificati e segreti secondo una sequenza controllata.
- Correggere vettore iniziale e vulnerabilità prima della riapertura.
- Aumentare temporaneamente logging, EDR monitoring e threat hunting durante il rientro in produzione.
Debrief e lessons learned
La chiusura tecnica non coincide con il ritorno alla normalità. Il debrief deve ricostruire la timeline, misurare i tempi di rilevazione e contenimento, verificare le decisioni prese e trasformare le evidenze in remediation assegnate: detection, hardening identità, segmentazione, patching, backup, logging, escalation e tabletop exercise.
Oltre l'emergenza: Costruire la resilienza
Un ransomware non è quasi mai un evento isolato, ma il sintomo di una vulnerabilità strutturale. Nexsys ti aiuta a blindare il perimetro con percorsi di formazione specifici:
Per padroneggiare i protocolli di analisi forense.
Per il rilevamento proattivo delle minacce.
Per anticipare le mosse degli attaccanti chiudendo le porte prima che vengano forzate.
FAQ
Un ransomware deve sempre essere notificato al Garante?
No. Va prima verificato se l’incidente costituisce una violazione di dati personali e quale rischio comporta per le persone. Quando la notifica è dovuta, deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione.
Conviene spegnere immediatamente tutti i server?
Non esiste una regola universale. Spegnimenti o riavvii possono ridurre alcuni rischi ma anche eliminare evidenze volatili o interrompere servizi critici. Il containment va coordinato dal team di risposta.
Pagare il riscatto garantisce il recupero?
No. Non garantisce il funzionamento del decryptor, la cancellazione dei dati esfiltrati o l’eliminazione delle persistenze. La decisione richiede valutazione legale, assicurativa e di rischio.
Quando può iniziare il recovery?
Quando il team ha compreso con sufficiente affidabilità vettore iniziale, identità compromesse e persistenze e può ripristinare in un ambiente controllato senza reintrodurre l’attaccante.
Qual è la differenza tra Incident Response e Ransomware Recovery?
L’Incident Response governa analisi, containment, decisioni ed escalation dell’incidente; il Ransomware Recovery è focalizzato sul ripristino sicuro e progressivo di sistemi, dati e servizi.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante:
