Dopo un attacco informatico o un ransomware: ripristinare senza reinfettarsi

Modulo 8: Quando qualcosa va storto · Tempo di lettura: 11 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di affrontare la fase di ripristino dopo un attacco informatico o un ransomware: contenere, capire come è successo, ripristinare in modo pulito, sporgere denuncia, comunicare e trarne insegnamento.

Concetti chiave: contenimento, isolamento, accesso iniziale, persistenza, analisi forense, reinstallazione pulita, ordine di ripristino, denuncia, No More Ransom, riscatto, cyberassicurazione, valutazione

L'errore più grande: "ripristinare subito tutto"

Un web developer riceve martedì una segnalazione: il sito WordPress di un cliente reindirizza i visitatori verso un negozio falso. Ripristina il backup della settimana precedente, il sito torna a funzionare, fine. Giovedì succede di nuovo. L'aggressore era entrato tramite un plugin obsoleto e aveva lasciato un account amministratore aggiuntivo e un file nascosto. Il backup della settimana precedente li conteneva già. Ripristinare senza sapere come qualcuno sia entrato, significa rimettere a posto anche la porta aperta.

Lo stesso accade con il ransomware in una rete aziendale. I criminali spesso sono già dentro da giorni o settimane prima di cifrare i dati. In quel periodo creano account aggiuntivi, installano software per l'accesso remoto e cercano i backup. Chi ripristina solo i file cifrati, lascia l'aggressore ancora dentro.

Per questo il ripristino avviene in cinque fasi, in questo ordine.

Fase 1: contenere

Contenere significa: evitare che la situazione peggiori. I primi minuti sono descritti nella Sua scheda di gestione degli incidenti (lezione 8.1).

• Isoli i dispositivi colpiti: cavo di rete staccato, Wi-Fi e rete mobile disattivati, oppure modalità aereo. L'NCSC olandese consiglia di non spegnere i sistemi colpiti ma di scollegarli dalla rete; la modalità sospensione è consentita. In questo modo le tracce nella memoria di lavoro restano conservate e si blocca la diffusione.
• Scolleghi i dischi esterni e i supporti di backup e non li colleghi a un dispositivo potenzialmente infetto.
• Se non può isolare un sistema, interrompa il collegamento con l'unità di rete. Se l'intera rete è stata colpita, la isoli da internet (per esempio disattivando la connessione internet o il firewall).
• Modifichi le password da un dispositivo pulito, iniziando dalle più importanti: account amministratore, posta elettronica, il gestore di password, la banca. Esca da tutte le sessioni ovunque. Non lo faccia da un computer che potrebbe contenere un infostealer o un keylogger (lezione 1.4), perché altrimenti comunicherebbe subito la nuova password all'aggressore.
• Conservi le prove: foto del messaggio di riscatto, le e-mail, le richieste di pagamento, gli indirizzi crypto, gli orari. Non getti via nulla.

In caso di sito web violato, contenere significa: mettere temporaneamente il sito offline o in modalità manutenzione, modificare tutte le password (gestione, FTP, database, hosting) e coinvolgere la Sua società di hosting.

Fase 2: capire cosa è successo

Deve scoprire tre cose:

1. Come sono entrati? L'accesso iniziale: un'e-mail di phishing, una password rubata senza 2FA, un server VPN o un plugin obsoleto, una connessione aperta per la gestione remota.
2. Cosa hanno lasciato? La persistenza: account aggiuntivi, attività pianificate, software per la gestione remota, regole di inoltro nelle caselle di posta, file aggiuntivi sul server web.
3. Cosa hanno portato via? Con il ransomware moderno i criminali spesso copiano prima i dati e minacciano di pubblicarli (doppia estorsione, lezione 1.3). In tal caso ha anche una fuga di dati (lezione 8.2).

Per una piccola impresa, raramente è possibile fare questo da soli. Coinvolga il Suo fornitore IT, oppure un'azienda specializzata nella risposta agli incidenti. Molte cyberassicurazioni dispongono di un numero dedicato per un team di questo tipo. Chieda a un'azienda esterna quale esperienza ha con il Suo tipo di incidente e concordi in anticipo cosa comprende l'indagine.

Per un sito web, sono utili il log degli accessi e il log degli errori del server web, una scansione antimalware dei file e un confronto con una copia pulita del CMS e dei plugin.

Fase 3: ripristinare in modo pulito

Solo quando sa come è entrato l'aggressore e ha chiuso quella falla, può iniziare il ripristino.

Ripristini nell'ordine stabilito nel Suo piano (lezioni 8.1 e 6.3): prima ciò di cui l'azienda ha bisogno per continuare a funzionare. Tenga separata la parte ripristinata da ciò che non è ancora stato verificato.

È qui che si vede se il Suo backup è affidabile. Un backup collegato alla rete è spesso cifrato o cancellato insieme al resto. Un backup offline o immutabile (lezione 6.2) e una procedura di ripristino testata (lezione 6.3) fanno la differenza tra giorni e settimane di inattività.

Fase 4: denuncia, notifica e riscatto

Denuncia. Sporga denuncia presso la Polizia Postale (https://www.commissariatodips.it/). Porti con sé le prove (messaggio di riscatto, e-mail, dati di pagamento). La denuncia è necessaria per le indagini, aiuta le forze dell'ordine a individuare collegamenti, e spesso viene richiesta dalle assicurazioni.

No More Ransom. Su https://www.nomoreransom.org (un'iniziativa promossa, tra gli altri, da Europol e dalla polizia olandese) può far riconoscere un file cifrato o il messaggio di riscatto. Per alcune famiglie di ransomware esiste un decryptor gratuito. Per la maggior parte delle varianti più recenti no, ma verificare richiede poco tempo.

Notifica. Verifichi quali notifiche sono necessarie: una fuga di dati al Garante per la protezione dei dati personali entro 72 ore (lezione 8.2), un incidente significativo tramite il portale ACN se la Sua organizzazione rientra nel decreto NIS (lezione 9.1), e quanto concordato con clienti o committenti.

Riscatto. L'NCSC olandese consiglia di non pagare il riscatto, e la polizia olandese afferma "preferibilmente non pagare". I motivi:

• Non ha alcuna garanzia di ricevere una chiave funzionante, né che i dati non vengano comunque pubblicati.
• I dati che recupera potrebbero essere danneggiati o alterati.
• Chi paga viene segnato come qualcuno disposto a pagare. Le vittime a volte subiscono un'ulteriore estorsione o vengono attaccate di nuovo in seguito.
• Sta finanziando il prossimo attacco.

Se nonostante tutto considera di pagare, o ha già pagato, lo segnali sempre alla Polizia Postale: i dati di pagamento possono aiutare le indagini. Questa decisione spetta a chi, nel Suo piano di gestione degli incidenti, è designato come responsabile della decisione, non a chi vede il messaggio per primo.

Cyberassicurazione. Una cyberassicurazione può coprire i costi di indagine, ripristino e danno aziendale, e spesso offre accesso a un team per la gestione degli incidenti. Legga le condizioni: molte polizze richiedono misure di base come la 2FA e i backup, e impongono una notifica tempestiva. L'NCSC olandese ha scritto nell'aprile 2025, sulla base di un'indagine su oltre 500 incidenti ransomware ai danni di piccole e medie imprese, che gli aggressori, una volta entrati, cercano file con nomi come "assicurazione" o "polizza" per rafforzare la propria posizione negoziale. Verifichi quindi quanto sia facile per un intruso trovare la Sua polizza, e preferibilmente non la conservi su un disco condiviso. Un'assicurazione non sostituisce le misure di sicurezza: copre il danno, ma non lo previene.

Fase 5: comunicare e imparare

Faccia in modo che chi, nel Suo piano, è responsabile della comunicazione racconti un'unica versione chiara al personale, ai clienti e ai fornitori: cosa è successo, cosa significa per loro, cosa devono fare (per esempio: prestare attenzione a e-mail che sembrano provenire da noi), e quando riceveranno ulteriori notizie da Lei. Essere onesti e tempestivi funziona meglio che tacere fino a quando la notizia trapela da sola.

Pianifichi entro poche settimane una valutazione: cosa ha funzionato, cosa è andato storto, cosa cambierà? Emergono quasi sempre gli stessi punti: la 2FA mancava da qualche parte, un sistema non era aggiornato, il backup non era stato testato, oppure nessuno sapeva chi avesse l'autorità di decidere. Inserisca questi punti nel Suo piano dalla lezione 9.3, con un responsabile e una data.

Nella pratica: ecco come si presenta

In caso di sito web violato su un pacchetto di hosting, spesso si lavora con gli strumenti della propria società di hosting. In WebOké, per esempio, sono disponibili una scansione antimalware (Imunify360), i file di log in DirectAdmin, il ripristino di un backup da WebOké Backups e una procedura guidata nella guida di DirectAdmin. Presso altri fornitori di hosting esistono strumenti simili; chieda al Suo fornitore cosa è disponibile e fino a quando indietro nel tempo risalgono i backup, prima che ne abbia bisogno.

Riepilogo

• Ripristino in cinque fasi: contenere, indagare, ripristinare in modo pulito, denunciare e notificare, comunicare e imparare.
• Isoli, non spenga, e modifichi le password solo da un dispositivo pulito.
• Non ripristini nulla prima di sapere come è entrato l'aggressore; altrimenti rimette a posto anche la porta aperta.
• Reinstalli i dispositivi infetti e ripristini da un backup precedente all'intrusione.
• Sporga denuncia, consulti No More Ransom, e preferibilmente non paghi il riscatto.

Quiz

Esercizio

Esercizio A8.3: Metta il ripristino nell'ordine corretto. Riceverà un caso e dieci fasi separate (per esempio "ripristinare il backup", "staccare il cavo di rete", "verificare come è entrato l'aggressore", "sporgere denuncia"). Le metta nell'ordine corretto. Il programma verifica se le regole fisse sull'ordine sono rispettate (per esempio: isolare prima di ripristinare, causa prima di ripristinare, reinstallare prima di ripristinare i dati) e spiega il motivo di ogni errore.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
• Aiuto! Il mio sito è stato violato. Come posso risolvere il problema e come posso evitare che accada di nuovo?
• Scanner Imunify360
• WebOké Backup: visualizzare, ripristinare o scaricare un backup
• NCSC olandese, Cosa fare in caso di attacco ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC olandese, Ransomware nelle piccole e medie imprese: i criminali informatici alzano il riscatto in presenza di una cyberassicurazione: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org