Ransomware Recovery: ripartire da un attacco senza pagare il riscatto
Quando un attacco ransomware colpisce, ogni minuto conta. Il Ransomware Recovery di Nexsys è il servizio strutturato che permette alle aziende di ripristinare rapidamente dati e sistemi compromessi, senza cedere al pagamento del riscatto. Combinando backup immutabili air-gapped, forensic analysis preliminare, ambiente isolato per il restore e ripristino "curato" anti-reinfezione, garantiamo continuità operativa anche negli scenari più critici.
Stai subendo un attacco in questo momento?
Chiamaci immediatamente al +39 045 2456669 — il nostro team incident response interviene rapidamente per limitare il danno e attivare il piano di recovery.
Cosa succede in un attacco ransomware
Un attacco ransomware aziendale tipico non è un evento istantaneo: è il risultato di un'intrusione che dura giorni o settimane. Capire come si svolge è il primo passo per costruire una difesa efficace.
Ricognizione silenziosa (giorni-settimane)
Gli attaccanti penetrano la rete tramite phishing, credenziali rubate o vulnerabilità esposte (RDP, VPN, web app). Per giorni o settimane esplorano l'infrastruttura, mappano file server e Active Directory, identificano backup e sistemi business-critical. Operano sotto il radar usando strumenti legittimi (PowerShell, PsExec).
Esfiltrazione dati (giorni)
Prima della cifratura, copiano gigabyte di dati sensibili — contratti, mail, dati clienti, proprietà intellettuale — verso server cloud controllati. Servirà come leva di doppia estorsione: pagare per evitare la pubblicazione.
Distruzione delle difese (ore)
Disabilitano antivirus, cancellano shadow copy di Windows, distruggono backup locali raggiungibili in rete. È il motivo per cui i backup tradizionali su NAS condivisi vengono spesso cifrati per primi.
Cifratura simultanea (1-4 ore)
Il ransomware viene lanciato — tipicamente fuori orario lavorativo, nel weekend o in giorni festivi — su tutta l'infrastruttura compromessa. File server, database, mailbox, virtual machine vengono cifrati simultaneamente con chiavi crittografiche robuste.
Richiesta di riscatto
Compare la nota di riscatto con istruzioni di pagamento, link al portale negoziale del gruppo criminale, scadenza temporale e minaccia di pubblicazione dei dati esfiltrati. L'azienda è paralizzata: produzione ferma, comunicazioni bloccate, dati inaccessibili.
Per una visione completa di funzionamento, tipologie e prevenzione, consulta la nostra guida completa al ransomware.
Perché molti recovery falliscono
I dati statistici sui recovery ransomware sono allarmanti. Comprendere perché molte aziende falliscono nel ripristino aiuta a costruire un servizio che non ripeta gli stessi errori.
Solo l'8% recupera tutti i dati pagando
Anche pagando il riscatto — che non si dovrebbe mai fare — solo l'8% delle aziende recupera tutti i dati. Le chiavi di decifratura fornite dai criminali sono spesso difettose, parziali o estremamente lente nell'esecuzione su grandi volumi di dati.
Il 68% subisce un secondo attacco entro un mese
Le aziende che pagano vengono marcate come "paganti" nei mercati criminali e diventano bersaglio di follow-up attacks. Il 68% subisce un secondo ransomware entro 30 giorni dal primo, spesso per un riscatto più elevato.
Backup distrutti o cifrati
I backup tradizionali su NAS aziendali, storage condivisi o tape collegati sono visibili in rete e vengono distrutti dagli attaccanti durante la fase di ricognizione. Senza backup integri, il recovery è matematicamente impossibile.
Reinfezione dopo il restore
Aziende che ripristinano frettolosamente sull'infrastruttura compromessa vengono re-infettate entro ore. Le persistenze degli attaccanti (account creati, backdoor, scheduled task malevoli) restano attive e attivano nuovamente il ransomware appena i dati sono ripristinati.
Mancanza di runbook strutturato
Nel panico dell'attacco, le aziende senza un piano formalizzato di incident response e recovery improvvisano interventi che peggiorano la situazione: spegnimenti scoordinati che cancellano evidenze forensi, restore casuali che reintroducono il malware, ricostruzioni ad hoc che lasciano vulnerabilità aperte.
La lezione: il ransomware recovery non è "ripristinare un backup". È un processo strutturato che combina tecnologia (backup immutabile), procedure (runbook formale) e competenze (forensic + incident response). Saltare anche solo uno di questi tre elementi vuol dire fallire.
Cosa include il Ransomware Recovery di Nexsys
Il nostro servizio è una soluzione completa, progettata per affrontare uno scenario ransomware con tutti gli elementi necessari per riuscire dove altri falliscono.
Backup immutabili air-gapped
Snapshot dei dati che non possono essere modificati o cancellati per il periodo di retention configurato, archiviati in cloud con architettura air-gapped — fisicamente e logicamente separati dalla rete del cliente. Anche se gli attaccanti compromettono completamente le credenziali aziendali, non possono distruggere i backup.
Forensic analysis preliminare
Prima di qualsiasi restore, analisi delle compromissioni: punto d'ingresso, persistenze installate, account creati, credenziali compromesse, lateral movement. Senza questa fase, il restore reintroduce il problema.
Ambiente isolato per il restore
Il ripristino avviene su infrastruttura nuova o completamente bonificata, isolata dalla rete compromessa. Eliminato il rischio di reinfezione tipico dei restore frettolosi su sistemi non puliti.
Ripristino "curato"
Capacità di selezionare la versione integra dei dati antecedente all'infezione, evitando di ripristinare snapshot già contaminati. Particolarmente critico per attacchi long-dwell che compromettono il sistema settimane prima della cifratura.
Bonifica progressiva
Ricostruzione ordinata: identità (Entra ID, AD), poi sistemi infrastrutturali (controller di dominio, file server), poi applicativi business-critical, poi endpoint. Ogni layer viene validato prima di passare al successivo.
Validazione integrità pre-rimessa in produzione
Scan dei dati ripristinati, validazione delle configurazioni, test funzionali prima del cutover finale. Niente sistemi rimessi in produzione "alla cieca".
Runbook formale e documentazione
Procedura formalizzata per ogni scenario, con responsabilità definite, tempi target, escalation path. Utile sia operativamente sia per dimostrare conformità a NIS2 e GDPR.
Supporto incident response
Affiancamento del team IT del cliente con specialisti incident response durante tutta la gestione dell'incidente. Coordinamento con autorità (Polizia Postale, Garante, ACN), gestione comunicazioni interne ed esterne, supporto legale tecnico.
Il processo di recovery in 6 fasi
Isolamento dei sistemi compromessi (disconnessione network, NON spegnimento per preservare RAM evidence), attivazione del runbook, mobilitazione del team incident response, comunicazione formale al management e ai responsabili compliance.
Analisi delle compromissioni: identificazione famiglia di ransomware, mappatura dei sistemi colpiti, ricerca di persistenze (account creati, scheduled task, backdoor), valutazione dell'esfiltrazione dati. Output: report formale per management e autorità.
Definizione del piano di ricostruzione: priorità di sistemi, infrastruttura target (nuova o bonificata), versione di backup da utilizzare, sequenza di restore. Comunicazione con stakeholder e definizione SLA di ripristino.
Restore ordinato: prima identità (AD, Entra ID), poi controller di dominio, poi file server e database, poi applicativi business-critical, infine endpoint. Ogni layer viene validato prima del successivo.
Test funzionali su tutti i sistemi ripristinati, validazione integrità dati, scan finale per residuo malware, switch del traffico produttivo verso l'ambiente bonificato. Monitoring intensivo nelle prime 72 ore post-cutover.
La tecnologia: Druva con backup immutabile
Per garantire la massima affidabilità, Nexsys ha scelto Druva, una piattaforma di livello enterprise per la protezione e il ripristino dei dati completamente basata su cloud. La piattaforma è integrata nel nostro servizio di Data Protection as a Service e fornisce le caratteristiche specifiche necessarie per scenari ransomware.
🛡️ Backup immutabili
Druva conserva i backup in modo immutabile, impedendo qualsiasi modifica o cancellazione non autorizzata, nemmeno dagli amministratori interni. Anche con credenziali completamente compromesse, gli attaccanti non possono distruggere i backup esistenti.
☁️ Archiviazione air-gapped in cloud
I dati sono archiviati in modo separato dal resto dell'infrastruttura del cliente, proteggendo i backup anche in caso di compromissione interna massiva.
🤖 Rilevamento anomalie via AI
Grazie all'intelligenza artificiale, Druva è in grado di rilevare comportamenti anomali nei dati che potrebbero indicare la presenza di ransomware (improvvise variazioni di entropy dei file = cifratura in corso), avvisando tempestivamente gli amministratori e attivando contromisure automatiche.
🔄 Ripristino granulare e curato
Druva permette il ripristino granulare di singoli file, interi sistemi o ambienti virtuali, con tempi di recovery ottimizzati (RTO e RPO). È possibile ripristinare da versioni precedenti non compromesse, minimizzando i danni e l'interruzione dei servizi.
⚖️ Conformità nativa
L'intera soluzione è conforme ai principali standard di sicurezza (ISO 27001, NIS2, GDPR) e include funzionalità come crittografia end-to-end, controllo accessi granulari e verifica audit log, garantendo massima protezione e trasparenza.
💻 Gestione cloud centralizzata
Console unica accessibile da qualsiasi luogo in modo sicuro. Nessuna infrastruttura locale da mantenere, aggiornamenti automatici, scalabilità on-demand.
RTO e RPO realistici per scenari ransomware
Avere backup non basta: serve poterli recuperare in tempi compatibili con la continuità di business. Per scenari ransomware, gli RTO/RPO realistici sono diversi rispetto a un disaster recovery standard, perché va aggiunto il tempo di forensic analysis e bonifica.
RTO realistici post-ransomware
| Tipologia di azienda | RTO realistico | Note |
|---|---|---|
| PMI con dati semplici (50-100 utenti) | 3-7 giorni | Se backup integri e infrastruttura semplice |
| Azienda media (100-500 utenti) | 1-2 settimane | Forensic + ricostruzione progressiva |
| Enterprise (500+ utenti, ambienti complessi) | 2-4 settimane | Multi-sito, applicativi custom, dipendenze complesse |
| Senza backup integri | Indeterminato | Spesso impossibile, recovery solo parziale |
RPO realistici
L'RPO dipende dalla strategia di backup pre-attacco:
- Backup giornaliero standard: RPO 24h (perdita potenziale di 1 giorno di dati)
- Backup multi-giornaliero: RPO 4-6h
- Replica continua + backup immutabili: RPO 15-30 minuti per i dati critici
Per ottenere RTO/RPO aggressivi serve definire la strategia backup prima dell'incidente. Nexsys configura policy adeguate al contesto di rischio del cliente, distinguendo tra dati business-critical (RPO breve, RTO veloce) e dati di archiviazione (policy meno aggressive).
Il processo di recovery in 6 fasi
1. Scenario di partenza
- ~250 utenti aziendali
- 3 sedi (HQ Italia + 2 filiali Europa)
- File server, database SQL, server CAD, ambiente VMware
- Backup tradizionale Veeam su NAS in rete (cifrato durante l'attacco)
- Backup secondario Druva con snapshot immutabili (intatto)
3. Recovery process
Lunedì pomeriggio: contenimento, isolamento sistemi compromessi, kick-off incident response. Martedì-mercoledì: forensic analysis, identificazione del punto d'ingresso (VPN con credenziali compromesse, no MFA), recupero da Druva degli ultimi snapshot integri pre-infezione (3 giorni prima del lancio della cifratura).
Giovedì-domenica: ricostruzione progressiva su nuova infrastruttura. Identità ripristinate giovedì, file server e database venerdì-sabato, ambiente CAD/PLM domenica.
Lunedì successivo (8 giorni dopo l'attacco): produzione riavviata in tutte e 3 le sedi. Hardening post-incidente nelle settimane successive: MFA obbligatoria su VPN, segmentazione rete, monitoring SIEM, awareness training agli utenti.
2. Sviluppo dell'incidente
- L'attacco è stato lanciato venerdì notte. Lunedì mattina la produzione era ferma in tutte le sedi. Il team interno ha tentato un restore dal Veeam locale, scoprendo che i backup erano cifrati. È stata attivata Nexsys via canale incident response.
4. Outcome
- Zero pagamento del riscatto ai criminali
- RTO effettivo: 8 giorni dall'attacco al riavvio produzione
- RPO effettivo: 3 giorni di dati persi (dovuti a backup giornaliero standard)
- Notifica GDPR entro le 72 ore al Garante
- Nessuna sanzione grazie a documentazione completa di processo e diligenza
- Hardening post-incidente ha azzerato il rischio di follow-up attack
Compliance post-incidente: NIS2, GDPR, ACN
Un attacco ransomware attiva una serie di obblighi normativi che vanno gestiti con tempistiche stringenti. Il nostro servizio include il supporto per la gestione conformata dell'incidente.
Notifica GDPR (72 ore)
Se l'attacco coinvolge dati personali (quasi sempre il caso), il Garante Privacy va notificato entro 72 ore dall'avvenuta conoscenza dell'incidente (GDPR art. 33). Forniamo template di notifica, documentazione tecnica forensic per il fascicolo e supporto comunicativo.
Notifica NIS2
Per i soggetti essenziali e importanti in scope NIS2, l'Agenzia per la Cybersicurezza Nazionale (ACN) va notificata con tempistiche specifiche: early warning entro 24 ore, notifica completa entro 72 ore, report finale entro 1 mese. Per la lista degli obblighi consulta la nostra checklist NIS2 in 7 step.
Denuncia Polizia Postale
Denuncia formale alla Polizia Postale per perseguimento penale dei criminali e per documentare l'incidente in chiave assicurativa. Forniamo supporto alla preparazione della denuncia e al coordinamento con gli investigatori.
CERT-AgID
Condivisione di indicatori di compromissione (IoC) con CERT-AgID per contribuire alla cyber threat intelligence nazionale, beneficio per l'intero ecosistema italiano.
Documentazione interna
Costruzione del fascicolo tecnico-legale dell'incidente: log forensic, timeline azioni, decisioni prese, comunicazioni interne ed esterne. Utile sia per chiusura compliance, sia per eventuali contestazioni assicurative o legali successive.
L'approccio Nexsys nei primi 60 minuti
Le decisioni dei primi 60 minuti dopo aver scoperto un attacco determinano l'entità del danno finale. Il nostro intervento di emergenza è strutturato per minimizzare gli errori critici di questa fase.
Cosa facciamo nei primi 60 minuti
- Triage immediato via call: comprensione dello scenario, identificazione preliminare della famiglia di ransomware, valutazione dell'estensione dell'attacco
- Direttive di contenimento: cosa isolare, cosa NON spegnere, cosa NON cancellare, come preservare le evidenze forensi
- Mobilitazione del team incident response Nexsys + verifica disponibilità backup integri
- Apertura del canale di comunicazione formale con il management cliente e definizione del responsabile interno dell'incidente
- Comunicazione preliminare alla compliance del cliente (DPO, security officer) per attivare i conteggi normativi GDPR/NIS2
Cosa NON va fatto nei primi 60 minuti
- Non spegnere i sistemi compromessi: cancella evidenze in RAM utili al forensic
- Non riavviare: può attivare componenti dormienti del ransomware
- Non cancellare la nota di riscatto: contiene informazioni utili per identificare il gruppo
- Non improvvisare un restore sull'infrastruttura compromessa: rischio reinfezione altissimo
- Non comunicare all'esterno prima di aver coordinato la comunicazione formale
- Non pagare il riscatto senza valutazione: in alcuni casi è anche illegale (sanctioned groups)
Prevenzione: il pre-assessment ransomware
Il modo migliore per gestire un attacco ransomware è prepararsi prima. Offriamo un servizio di pre-assessment ransomware per organizzazioni che vogliono validare la loro readiness senza aspettare di essere colpite.
Cosa include il pre-assessment
- Audit dei backup: integrità, copertura, immutabilità, test di restore reali
- Audit dell'infrastruttura: vulnerabilità esposte, RDP non protetti, MFA mancante, AD hardening
- Tabletop exercise: simulazione di scenario ransomware con il team management e IT, validazione del runbook
- Gap analysis: identificazione delle aree di miglioramento prioritarie
- Roadmap: piano concreto di rinforzo della postura anti-ransomware con priorità e tempi
Approccio integrato con la sicurezza
Il pre-assessment ransomware si integra con il nostro più ampio servizio di consulenza cybersecurity, che copre tutti gli aspetti della security aziendale (non solo ransomware). Per organizzazioni che vogliono coprire l'awareness degli utenti, il Corso Phishing Awareness è un complemento naturale.
Domande frequenti sul Ransomware Recovery
Quanto velocemente intervenite in caso di emergenza?
Per clienti con contratto di incident response, l'intervento parte entro 1 ora dalla call. Per situazioni di emergenza senza contratto preesistente, attiviamo il triage immediato e il deploy del team operativo entro 2-4 ore in base alla disponibilità. Più tempo passa dall'attacco, maggiore è il danno: chiama subito.
Devo pagare il riscatto?
No, a meno che la situazione lo imponga come ultima alternativa. Pagare finanzia ulteriori attacchi, non garantisce il recupero (solo l'8% recupera tutto), aumenta del 68% la probabilità di un secondo attacco entro un mese e in alcuni casi è illegale (gruppi in liste sanzioni). Prima di considerare il pagamento, valuta sempre con specialisti tutte le alternative tecniche.
Quanto costa il servizio di Ransomware Recovery?
Variabile in base allo scenario: pre-assessment + protezione preventiva parte da poche migliaia di euro come progetto strutturato, gestione di un incidente attivo varia in base a complessità, dimensione, dwell time degli attaccanti, qualità dei backup esistenti. Forniamo preventivo dettagliato dopo il triage iniziale.
I miei backup tradizionali su NAS funzioneranno?
Probabilmente no. I backup su NAS aziendali condivisi in rete sono il primo bersaglio dei ransomware moderni: gli attaccanti li mappano durante la ricognizione e li distruggono per massimizzare la pressione del riscatto. Servono backup immutabili e/o air-gapped. Per questo includiamo Druva nella nostra soluzione.
Quanto tempo dura il recovery completo?
Dipende dalla dimensione e complessità dell'azienda. Per una PMI con backup integri: 3-7 giorni. Per un'azienda media: 1-2 settimane. Per enterprise complessi: 2-4 settimane. Senza backup integri il recovery può essere parziale o impossibile. Vedi la sezione RTO/RPO per dettagli.
Cosa succede se gli attaccanti hanno esfiltrato dati prima della cifratura?
Scenario comune nelle campagne moderne (doppia estorsione). I dati esfiltrati possono essere pubblicati anche dopo che il recovery tecnico è completato. Il servizio include valutazione dell'esposizione, supporto alle notifiche GDPR, gestione delle comunicazioni a clienti/fornitori potenzialmente coinvolti, monitoraggio dark web post-incidente.
Gli antivirus non bastano a fermare i ransomware?
Gli antivirus tradizionali signature-based bloccano famiglie note ma falliscono contro varianti polimorfe e attacchi fileless. Le soluzioni NGAV ed EDR/XDR moderne sono molto più efficaci, ma da sole non sono sufficienti contro attaccanti determinati. Approfondisci nel nostro articolo su perché le soluzioni NGAV sostituiscono gli antivirus.
Devo notificare l'attacco alle autorità?
Sì, in molti casi è obbligatorio. GDPR richiede notifica al Garante Privacy entro 72 ore se ci sono dati personali coinvolti. NIS2 impone notifica ad ACN per soggetti essenziali e importanti con tempistiche dedicate. Polizia Postale per la denuncia formale è raccomandata. Forniamo supporto completo nella gestione delle notifiche.
Il servizio è disponibile 24/7?
Per clienti con contratto di incident response: sì, supporto 24/7. Per il servizio standard, supporto telefonico durante orario lavorativo (lun-ven 8:00-18:00). Per emergenze fuori orario, attivazione del team on-call con tempi di risposta definiti contrattualmente.
Richiedi un assessment Ransomware Recovery
Stai cercando una soluzione efficace per proteggere la tua azienda dai ransomware o devi gestire un incidente in corso? Il team Nexsys è disponibile per assessment, consulenza e - quando serve - incident response immediato.
Per pre-assessment e progetti di protezione:
Telefono: +39 045 2456669 (lun-ven 8:00-18:00)
Email: [email protected]
Modulo di richiesta in fondo alla pagina
Risorse correlate
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante:
