Attacco ransomware, cosa fare nelle prime ore

Nelle prime ore dopo un attacco ransomware: isolare subito i sistemi colpiti disconnettendoli dalla rete (senza spegnerli, se possibile, per preservare le prove), non decidere di pagare il riscatto senza una consulenza specialistica, denunciare l'accaduto alla Polizia Postale e valutare, se sono coinvolti dati personali, la notifica al Garante Privacy entro 72 ore secondo il GDPR.

Il primo passo: isolare senza spegnere

Scollegare dalla rete i dispositivi colpiti (cavo di rete, Wi-Fi) impedisce al ransomware di diffondersi ad altri sistemi collegati, un rischio molto concreto nelle reti aziendali non segmentate. Spegnere completamente i dispositivi, invece, può far perdere informazioni in memoria utili a un successivo intervento tecnico di analisi: la raccomandazione degli esperti di incident response è isolare la connessione di rete, non necessariamente spegnere l'hardware, salvo indicazioni diverse da un tecnico specializzato intervenuto tempestivamente.

Perché pagare il riscatto non è la prima opzione da considerare

Le autorità italiane ed europee competenti in materia di sicurezza informatica raccomandano di non pagare il riscatto come primo passo: pagare non garantisce il recupero effettivo dei dati, alimenta il modello economico degli attaccanti, e in alcuni casi può comportare implicazioni legali se il pagamento finisce, anche indirettamente, a soggetti sanzionati. Prima di qualunque decisione in questo senso, serve una valutazione con un esperto di incident response e, se disponibile, con la propria compagnia assicurativa cyber, che spesso mette a disposizione una rete di specialisti convenzionati per questo tipo di emergenza.

A chi rivolgersi nelle prime ore

• Un esperto di incident response (interno, se disponibile, o esterno tramite un fornitore specializzato o la propria assicurazione cyber), per contenere l'attacco e valutare l'estensione del danno.
• La Polizia Postale e delle Comunicazioni, l'organo di riferimento in Italia per i reati informatici, per la denuncia formale dell'attacco.
• Il proprio consulente legale, se l'attacco coinvolge dati personali di clienti o dipendenti, per valutare gli obblighi di notifica.

La notifica al Garante Privacy: quando e in che tempi

Se l'attacco ha comportato una violazione di dati personali (accesso, sottrazione o cifratura di dati che riguardano persone identificabili), il GDPR (art. 33) impone di notificare l'Autorità di controllo — in Italia il Garante per la Protezione dei Dati Personali — senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando si è avuta conoscenza della violazione. Il quadro completo di questo obbligo è in Violazione dati e notifica al Garante Privacy: tempi e modalità.

Perché una polizza cyber cambia la gestione di questa fase

Chi ha già una copertura cyber attiva dispone tipicamente di un servizio di pronto intervento h24 e di un elenco di fornitori convenzionati (legali, tecnici forensi, comunicazione di crisi) da attivare immediatamente: il quadro delle coperture disponibili è in Cyber risk insurance: cosa copre davvero e cosa è sempre escluso.

Conviene sempre denunciare l'attacco, anche se l'azienda è piccola?

Sì: la denuncia alla Polizia Postale non richiede una dimensione minima dell'impresa ed è il primo passo per attivare eventuali indagini, oltre a essere spesso richiesta come documentazione dalla propria compagnia assicurativa per la gestione del sinistro.

Ripristinare i sistemi da un backup elimina il rischio residuo?

Non da solo: prima di ripristinare, va verificato che il backup non sia stato a sua volta compromesso e che la vulnerabilità che ha permesso l'attacco sia stata identificata e chiusa, altrimenti il ripristino rischia di ripetere lo stesso incidente a breve distanza.