Davanti a un attacco informatico in azienda, cosa fare nelle prime ore conta più di quasi tutto ciò che viene dopo. In sintesi: isolare i sistemi colpiti scollegandoli dalla rete senza spegnerli, conservare le prove, avvisare subito chi deve intervenire, valutare se sono coinvolti dati personali e ripartire solo da copie pulite. Le scelte affrettate, come spegnere tutto, cancellare file o reinstallare subito, spesso aggravano il danno.
Se l’attacco è in corso in questo momento, vai direttamente alla pagina SOS Attacco. Di seguito trovi i passi da seguire, nell’ordine.
Come capire se è un attacco
Non sempre un incidente si presenta con un messaggio di riscatto sullo schermo. I segnali più frequenti sono:
- file che non si aprono più o hanno cambiato estensione;
- un messaggio che chiede un pagamento per restituire i dati;
- clienti o fornitori che ricevono email dal vostro indirizzo che nessuno ha scritto;
- accessi a posta o gestionale da luoghi o orari insoliti;
- password che non funzionano più, account bloccati;
- computer o server improvvisamente lentissimi, o programmi sconosciuti in esecuzione.
Nel dubbio conviene trattarlo come un incidente: un falso allarme costa poco, un attacco ignorato per qualche ora può costare molto.
Le prime ore: cosa fare e cosa non fare
| Cosa fare | Cosa non fare |
|---|---|
| Scollegare dalla rete i dispositivi colpiti: cavo staccato, Wi-Fi disattivato. | Spegnere i computer: in memoria possono esserci informazioni utili a capire cosa è successo. |
| Avvisare subito chi gestisce l’informatica, interno o esterno. | Provare a risolvere da soli con programmi scaricati in fretta. |
| Annotare cosa si è visto e a che ora: messaggi, schermate, email sospette. | Cancellare email, file o messaggi di riscatto. |
| Cambiare le password degli account coinvolti da un dispositivo sicuro, non da quello colpito. | Usare i sistemi colpiti per comunicare sull’incidente. |
| Verificare che i backup isolati siano integri, senza collegarli alla rete. | Ripristinare subito da backup senza aver capito da dove è entrato l’attacco. |
| Decidere chi parla con clienti, fornitori e dipendenti, e cosa dire. | Lasciare che ognuno comunichi per conto proprio. |
Chi avvisare, e con quali tempi
Chi gestisce i sistemi. È la prima chiamata: il fornitore informatico o un servizio specializzato di risposta agli incidenti. Per questo i loro recapiti devono essere disponibili anche senza accesso a posta e rubrica.
Il Garante per la protezione dei dati personali. Se l’attacco ha coinvolto dati personali e presenta un rischio per le persone, la violazione va notificata senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza (art. 33 del GDPR). Se il rischio è elevato vanno informate anche le persone coinvolte (art. 34). Il tema è approfondito in protezione dei dati sensibili in azienda.
CSIRT Italia, per i soggetti NIS2. Le aziende che rientrano nella normativa NIS2 hanno obblighi di notifica propri verso CSIRT Italia, con termini che partono dalle 24 ore per il primo avviso (d.lgs. 138/2024).
Le forze dell’ordine. La denuncia si presenta alla Polizia Postale. Serve anche per documentare l’accaduto verso terzi.
Clienti e fornitori. Se dal vostro indirizzo partono email fraudolente, avvisarli subito evita che paghino fatture false o aprano allegati infetti.
Questo articolo ha carattere informativo: per gli obblighi specifici della propria azienda conviene confrontarsi con un consulente legale.
Tre casi frequenti
File cifrati e richiesta di riscatto. È il quadro tipico del ransomware. La priorità è fermare la diffusione: scollegare subito i dispositivi colpiti e le cartelle condivise, e verificare che le copie di backup isolate non siano state raggiunte.
Posta compromessa. Qualcuno ha la password di una casella e la usa per leggere la corrispondenza o inviare messaggi. Oltre a cambiare la password, va controllato che l’attaccante non abbia creato regole di inoltro automatico o di cancellazione dei messaggi, che restano attive anche dopo il cambio.
Falsa richiesta di cambio IBAN. Un cliente o un fornitore riceve dalla vostra casella, o da un indirizzo quasi identico, una comunicazione con nuove coordinate bancarie. Va avvisato subito chi potrebbe aver già pagato, e la banca va contattata il prima possibile.
Ripartire senza ricadere
Rimettere in funzione i sistemi è l’obiettivo, ma ripartire troppo presto è uno degli errori più comuni: se non si è chiuso il punto da cui l’attaccante è entrato, l’attacco si ripete.
- individuare come è avvenuto l’accesso: una credenziale rubata, un sistema non aggiornato, un allegato aperto;
- chiudere quel punto: password cambiate, autenticazione a più fattori, aggiornamenti installati;
- ripristinare da copie di backup precedenti all’attacco e verificate;
- controllare nei giorni successivi che non ci siano nuovi accessi anomali.
Sul pagamento di un riscatto: non garantisce la restituzione dei dati né che le copie sottratte vengano cancellate. È una decisione da non prendere da soli e in fretta.
Prepararsi prima
Tutto ciò che si decide prima di un incidente fa risparmiare ore preziose durante. Bastano poche cose:
- una pagina con chi decide, chi si chiama e cosa si scollega, stampata e conservata fuori dai sistemi;
- i contatti di emergenza disponibili anche senza posta e rubrica;
- una copia di backup isolata e una prova di ripristino recente;
- autenticazione a più fattori su posta e accessi da remoto.
Per capire cos’è e come si organizza la risposta agli incidenti: incident response in azienda. Per i casi specifici: ransomware e account email aziendale bloccato. Per verificare dove l’azienda è esposta, la checklist qui sotto raccoglie 32 controlli in 8 aree.
