Il ransomware non arriva quasi mai in modo spettacolare. Entra da una email con un allegato o un link, da un accesso remoto esposto su Internet senza protezioni adeguate, oppure da credenziali rubate altrove e riutilizzate. Una volta dentro resta silenzioso per giorni o settimane: guarda com’è fatta la rete, individua i backup e si diffonde. La cifratura arriva alla fine, di solito nel fine settimana o durante le ferie, quando nessuno se ne accorge in tempo.
Il danno vero raramente è il riscatto. È il tempo di fermo: giorni in cui l’azienda non produce, non spedisce e non fattura, sommati al costo del ripristino e alle penali verso i clienti. E pagare non risolve — chi paga riceve in media una chiave che funziona solo in parte, e resta comunque con un’infrastruttura compromessa da rifare.
Come entra davvero, in ordine di frequenza
Nella ricostruzione degli incidenti che seguiamo, le vie d’ingresso sono sempre le stesse tre e nessuna richiede competenze eccezionali da parte di chi attacca.
Accesso remoto esposto su Internet
Un desktop remoto raggiungibile direttamente dalla rete pubblica, spesso attivato in fretta per far lavorare qualcuno da casa e mai più rivisto. Viene trovato da scansioni automatiche nel giro di ore dall’attivazione, e attaccato provando elenchi di credenziali rubate altrove.
Email con allegato o collegamento
Una fattura, una notifica di consegna, una risposta a una conversazione reale letta dopo aver compromesso la casella di un fornitore. Non serve che la riceva un dirigente: basta una persona qualsiasi con accesso ai file condivisi.
Credenziali riutilizzate
La stessa password usata sul gestionale e su un sito qualunque che ha subito una violazione. Gli elenchi circolano e vengono provati sistematicamente sui servizi aziendali, soprattutto sulla posta.
Cosa succede fra l’ingresso e la cifratura
La parte che quasi nessuno conosce è che fra il primo accesso e il momento in cui i file diventano illeggibili passano di norma giorni o settimane. In quel periodo l’attaccante studia: capisce com’è fatta la rete, quali sono i server importanti, dove sono i backup e quali credenziali permettono di raggiungerli.
È anche la fase in cui, in molti casi, i dati vengono copiati prima di essere cifrati. È il motivo per cui pagare non chiude la vicenda: anche recuperando i file, chi ha attaccato conserva una copia e può usarla come ulteriore leva.
Questa finestra è la ragione per cui la sorveglianza continua ha senso. Non serve a impedire l’ingresso, che è difficile da evitare del tutto: serve ad accorgersi di ciò che accade dopo, quando c’è ancora tempo per intervenire.
Le tre domande che dicono se siete esposti
Non servono analisi complesse per capire la propria situazione. Bastano tre domande, e la difficoltà a rispondere è già la risposta.
Il backup è raggiungibile dalla rete che dovrebbe proteggere?
Se le copie stanno su un disco di rete accessibile con le stesse credenziali dei sistemi di produzione, vanno considerate perse in partenza. È la situazione che troviamo più spesso.
Quando è stato provato l’ultimo ripristino?
Non «quando è partito l’ultimo backup», ma quando qualcuno ha effettivamente rimesso in funzione dei dati e ha cronometrato quanto ci ha messo.
C’è qualcosa che separa gli uffici dal resto?
Se dalla postazione dell’amministrazione si raggiunge il server, la produzione e le casse senza alcun filtro, un singolo clic sbagliato arriva ovunque.
Cosa fare nelle prime ore, se è già successo
Isolare, non spegnere. Scollegare le macchine dalla rete impedisce la propagazione; spegnerle può cancellare informazioni utili a capire cosa è successo e, su alcune varianti, rendere più difficile il recupero.
Non pagare d’istinto e non trattare da soli. La decisione va presa con chi ha visto la situazione, e nella maggior parte dei casi il ripristino dai backup è più rapido e più affidabile di una chiave fornita da chi ha attaccato.
Valutare subito se è un data breach ai sensi del GDPR: se sono coinvolti dati personali, il termine per la notifica al Garante è di settantadue ore da quando se ne ha conoscenza, e decorre indipendentemente dallo stato del ripristino.
Perché conta per un’azienda
Il manifatturiero e la logistica sono i settori più colpiti, perché chi ha le linee ferme e i clienti che aspettano paga più in fretta. Ma il fattore che decide l’esito non è la dimensione dell’azienda: è se il backup era raggiungibile dalla rete che è stata cifrata.
L’errore che vediamo più spesso
Il backup collegato alla stessa rete che dovrebbe proteggere viene cifrato insieme a tutto il resto. È la situazione che troviamo più spesso, ed è la differenza fra ripartire in ore e ripartire in settimane.