Ransomware: cos’è, come colpisce e come proteggere i dati aziendali
Un archivio inaccessibile può fermare una parte rilevante del lavoro. Quando un ransomware colpisce i sistemi aziendali, la difficoltà riguarda anche le attività che dipendono da quei file: fatturazione, ordini, progettazione e assistenza.
Prepararsi significa conoscere i sistemi essenziali e organizzare protezione, segnalazione e recupero.
Che cos’è il ransomware?
Il ransomware è un tipo di malware che può impedire l’accesso a dati o sistemi, spesso cifrando i file. Chi attacca richiede un pagamento per fornire uno strumento di decifratura. Gli incidenti possono includere anche la sottrazione di informazioni e la minaccia di divulgarle.
La cifratura non trasferisce la proprietà dei dati ai criminali. Rende però i documenti inutilizzabili senza una modalità di recupero, con conseguenze potenzialmente rilevanti sul lavoro aziendale.
Come può entrare nei sistemi?
Tra i possibili punti di ingresso vi sono allegati dannosi, credenziali compromesse, accessi remoti esposti e vulnerabilità nei software. Una volta ottenuto l’accesso, gli attaccanti possono cercare altri sistemi e archivi raggiungibili.
La prevenzione deve quindi considerare la rete e gli accessi nel loro insieme. Per approfondire il ruolo dei messaggi fraudolenti, leggi anche «Email phishing: come riconoscerle e proteggere la tua azienda».
Quali conseguenze può avere per l’azienda?
In uno scenario illustrativo, un reparto scopre di non poter aprire le cartelle condivise. Gli ordini sono presenti nei sistemi, ma le persone non riescono a consultare i documenti necessari per lavorarli.
Il danno può comprendere consegne ritardate, attività sospese e tempo dedicato alla ricostruzione delle informazioni. Se sono stati sottratti dati, recuperarne una copia non risolve automaticamente l’esposizione delle informazioni già rubate.
Per capire il rischio, ogni azienda dovrebbe individuare le applicazioni essenziali e definire quanto a lungo può tollerarne l’indisponibilità.
Perché i backup devono essere verificati
Una copia dei dati deve poter essere recuperata quando serve. Il piano di backup deve prevedere protezione delle copie e prove di ripristino, evitando che tutte siano esposte agli stessi accessi dei sistemi di produzione.
Una cartella sincronizzata nel cloud, da sola, non equivale necessariamente a un backup adeguato: occorre valutare versioni disponibili, tempi di conservazione e possibilità di recupero.
Le indicazioni CISA richiamano l’importanza delle copie offline e delle verifiche di recupero. I backup aiutano a ripristinare i dati, ma non impediscono da soli il furto delle informazioni.
Fonte: CISA, #StopRansomware Guide
Come ridurre il rischio ransomware
La protezione comprende aggiornamenti, accessi controllati e strumenti di sicurezza sui dispositivi. Limitare i privilegi riduce i sistemi raggiungibili da un singolo account; organizzare la rete in segmenti può aiutare a contenere la propagazione.
È utile definire anche chi riceve le segnalazioni, chi decide l’interruzione di un servizio e quali attività devono essere ripristinate per prime. Un’esercitazione può far emergere dubbi che sarebbero più difficili da risolvere durante un incidente.
Fonte di approfondimento: NCSC, Mitigating malware and ransomware attacks.
Cosa fare se sospetti un attacco
Avvisa subito il team IT. Se il dispositivo mostra una richiesta di riscatto o file improvvisamente inaccessibili, interrompine l’utilizzo. Se puoi farlo in sicurezza, scollegalo dalla rete per limitare possibili comunicazioni con altri sistemi.
Evita formattazioni, cancellazioni o tentativi di ripristino autonomi. Il team incaricato deve valutare estensione dell’incidente, conservazione delle evidenze e condizioni per il recupero. Anche lo spegnimento va gestito in funzione della situazione e delle istruzioni ricevute.
Pagare un riscatto non garantisce il recupero né la cancellazione dei dati sottratti.
Preparare la continuità operativa con Kronos Tech
La protezione dal ransomware rientra in un percorso più ampio di cybersecurity aziendale.
