Attacco ransomware: cos'è, come funziona, come prevenirlo

Un attacco ransomware è un'intrusione in cui un criminale entra nella rete di un'azienda, cifra file e sistemi rendendoli inutilizzabili e chiede un riscatto in cambio della chiave per decifrarli. Oggi quasi sempre ruba anche i dati prima di cifrarli e minaccia di pubblicarli: è la doppia estorsione. Per ridurre il rischio contano quattro cose: chiudere le vulnerabilità note e gli accessi remoti senza autenticazione a più fattori, tenere backup offline e provati, accorgersi presto dell'intrusione e avere un piano di risposta già scritto.

In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) ha registrato 181 ransomware contro soggetti italiani nel primo semestre 2026. Qui sotto: cosa significa ransomware, come si svolge un attacco, cos'è il ransomware as a service, quali misure contano e cosa fare nelle prime ore se succede.

Ransomware: significato e definizione

Il termine unisce ransom (riscatto) e software. La CISA, l'agenzia statunitense per la cybersicurezza, nella #StopRansomware Guide lo descrive così (resa nostra dall'inglese): una forma di malware progettata per cifrare i file di un dispositivo, rendendo inutilizzabili i file e i sistemi che ne dipendono, dopo di che gli attaccanti chiedono un riscatto in cambio della decifratura.

La stessa guida spiega come la tecnica si è evoluta nel tempo:

• Doppia estorsione: oltre a cifrare, gli attaccanti esfiltrano i dati e minacciano di pubblicarli per spingere la vittima a pagare.
• Estorsione senza cifratura: in alcuni casi rubano i dati e minacciano di diffonderli senza usare alcun ransomware.

Europol, nell'IOCTA 2026 (il rapporto annuale sul crimine organizzato online), registra lo stesso spostamento: la pressione sulle vittime punta meno sulla restituzione dei dati cifrati e più sulla promessa di non pubblicare quelli rubati, perché molte aziende sono più preparate a gestire dati persi che dati divulgati. Alla minaccia di pubblicazione i gruppi affiancano spesso attacchi DDoS, invii di massa agli indirizzi email aziendali e telefonate di pressione.

Per questo un attacco ransomware oggi è quasi sempre anche una violazione di dati, con gli obblighi di notifica che vediamo più sotto.

Come si svolge un attacco ransomware

La cifratura è l'ultimo atto, non il primo. Un attacco passa per fasi riconoscibili, che le fonti ufficiali descrivono in modo coerente:

1. Accesso iniziale. Europol elenca phishing, infostealer (malware che rubano credenziali), sfruttamento di vulnerabilità non corrette in applicazioni esposte su Internet, acquisto dell'accesso da broker specializzati e minacce interne. Per i casi italiani l'ACN indica come principali fattori abilitanti le credenziali valide già compromesse, gli accessi remoti o le VPN configurati o protetti in modo inadeguato, le vulnerabilità note e i servizi esposti.
2. Consolidamento e movimento laterale. Gli attaccanti cercano account con privilegi più alti, passano da un sistema all'altro e installano strumenti per restare dentro. La CISA ricorda che un evento ransomware può essere il segno di una compromissione precedente, mai risolta.
3. Esfiltrazione. I dati di valore vengono copiati all'esterno, per alimentare la doppia estorsione.
4. Attacco ai backup. Secondo la CISA molte varianti cercano i backup raggiungibili per cancellarli o cifrarli, così che il ripristino diventi impossibile senza pagare. La guida segnala anche l'attenzione crescente verso hypervisor come VMware ESXi, da cui dipendono molti server insieme.
5. Cifratura e richiesta di riscatto. Solo qui l'attacco diventa visibile a tutti: file illeggibili, sistemi fermi, una nota con le istruzioni per pagare e spesso la minaccia di pubblicare i dati sul sito del gruppo.

La conseguenza pratica: ogni fase prima della cifratura è un'occasione per fermare l'attacco. Chi se ne accorge durante il movimento laterale ha ancora margine per contenerlo; chi lo scopre dalla nota di riscatto deve ripristinare.

Ransomware as a service (RaaS)

Il ransomware as a service è un modello in cui un gruppo sviluppa e gestisce la piattaforma e la mette a disposizione di altri criminali, gli affiliati, che conducono gli attacchi. Europol descrive i programmi di affiliazione pubblici come piattaforme a cui quasi chiunque può iscriversi. Oltre al generatore del malware possono offrire:

• strumenti per diffondere il malware, mantenere l'accesso e sorvegliare la vittima;
• infrastrutture per esfiltrare i dati e riciclare i proventi;
• servizi di negoziazione del riscatto e l'hosting del sito dove i dati vengono pubblicati.

Gli amministratori della piattaforma trattengono una percentuale di ogni riscatto pagato attraverso il servizio. Attorno a loro lavorano altre figure, in particolare gli initial access broker, che vendono accessi già ottenuti alle reti aziendali.

L'ENISA, nel Threat Landscape 2025, ne trae la conclusione (resa nostra): la diffusione dei modelli RaaS, i builder di ransomware trapelati e i servizi dei broker di accesso hanno abbassato ancora le barriere d'ingresso e moltiplicato le famiglie di ransomware. Europol conta oltre 120 brand ransomware attivi nel 2025, con operazioni spesso brevi, che cambiano nome in fretta e condividono affiliati e infrastrutture.

Per un'azienda questo significa che inseguire i nomi dei gruppi serve a poco: i marchi cambiano in fretta, le tecniche molto meno. Quali gruppi sono più attivi contro le aziende italiane, e con quali tecniche, è il tema della nostra analisi sui gruppi ransomware in Italia.

Quanto è diffuso in Italia

L'Operational Summary del primo semestre 2026 dell'ACN riporta:

• 181 ransomware a danno di soggetti italiani, contro 206 nello stesso periodo del 2025: un calo del 12%, ma l'Agenzia lo conferma tra le minacce a maggiore impatto sulla continuità operativa e sulla riservatezza delle informazioni;
• settori più colpiti: manifatturiero, vendita al dettaglio e tecnologico;
• il 12% degli attacchi ha colpito soggetti critici, il 36% soggetti a media criticità, il 51% altri soggetti a criticità minore;
• 137 rivendicazioni pubblicate dai gruppi contro soggetti italiani, con l'avvertenza che non sempre sono confermate dal soggetto coinvolto.

Sul costo, il riferimento per l'Italia è il Cost of a Data Breach 2026 di IBM: 3,55 milioni di euro in media per una violazione di dati, contro i 3,31 milioni dell'edizione precedente. È una media su tutte le violazioni, non solo su quelle da ransomware, ma dà l'ordine di grandezza. Il quadro generale degli incidenti nel Paese è nella nostra analisi sugli attacchi cyber in Italia.

Come prevenire un attacco ransomware

Le raccomandazioni della #StopRansomware Guide sono organizzate attorno alle vie d'ingresso più usate e ai danni da limitare. Per un'azienda mid-market si riducono a cinque blocchi.

1. Chiudere le porte esposte

• Non esporre su Internet servizi come il desktop remoto (RDP). Se un servizio deve restare raggiungibile, servono controlli compensativi.
• Tenere un inventario di VPN, firewall e interfacce di gestione raggiungibili dall'esterno e correggerne le vulnerabilità con priorità. L'ENISA indica lo sfruttamento di vulnerabilità come vettore di accesso iniziale nel 21,3% dei casi analizzati, con campagne che usano le falle entro pochi giorni dalla loro pubblicazione. Come organizzare il processo è spiegato nella guida al patch management.

2. Rendere inutili le credenziali rubate

• Autenticazione a più fattori resistente al phishing su tutti i servizi, in particolare email, VPN e account che accedono ai sistemi critici. La CISA chiede di portare all'attenzione della direzione i sistemi che non la supportano o non la impongono, e gli utenti non registrati.
• Formazione per riconoscere e segnalare il phishing. Secondo l'ENISA è il vettore di intrusione dominante, circa il 60% dei casi osservati tra luglio 2024 e giugno 2025. Le forme più comuni sono nella nostra guida al phishing in azienda.
• Pochi account privilegiati, verifica periodica degli account inattivi e controllo degli strumenti di gestione remota: un software di accesso remoto che nessuno ha autorizzato va trattato come un allarme.

3. Limitare quanto si può propagare

• Segmentazione della rete, con separazione tra IT e sistemi di produzione (OT): per la CISA serve a contenere un'intrusione e a limitare il movimento laterale.
• EDR o controllo delle applicazioni ammesse su tutti gli host, server compresi. Le differenze tra EDR, XDR e MDR sono nell'articolo su EDR, XDR e MDR.
• Log di rete, host e cloud conservati e centralizzati, per ricostruire cosa è successo anche se l'attaccante cancella le tracce in locale.

4. Backup che l'attaccante non raggiunge

Da qui dipende se si riparte dalle proprie copie o si resta senza alternative. La CISA raccomanda backup offline e cifrati dei dati critici, con test regolari di disponibilità e integrità in uno scenario di disaster recovery, e immagini di riferimento aggiornate dei sistemi critici per ricostruirli in fretta. Per i soggetti NIS2 le misure di base ACN, alla misura PR.DS-11, chiedono backup periodici di dati e configurazioni e, almeno per i sistemi informativi e di rete rilevanti, copie conservate offline. Come impostare copie fuori portata è spiegato nell'articolo sul backup cloud per aziende.

5. Accorgersi presto e sapere cosa fare

Le fasi prima della cifratura lasciano tracce: accessi VPN anomali, account amministrativi nuovi o con privilegi aumentati, strumenti di accesso remoto comparsi senza motivo. Servono qualcuno che guardi quei segnali in modo continuo, anche di notte e nel fine settimana, e un piano di risposta agli incidenti con il relativo piano di comunicazione. La CISA raccomanda che entrambi siano approvati per iscritto dall'amministratore delegato, o da chi ne fa le veci, e conosciuti lungo tutta la catena di comando.

Cosa fare durante un attacco ransomware

La checklist di risposta della CISA chiede di eseguire i primi tre passi in sequenza. In pratica:

1. Individuare i sistemi colpiti e isolarli subito. Se sono coinvolti molti sistemi o intere sottoreti, si scollega la rete a livello di switch. L'isolamento va coordinato fuori banda, per esempio al telefono: gli attaccanti possono osservare email e chat interne, e se si accorgono di essere stati scoperti possono accelerare.
2. Spegnere solo ciò che non si riesce a scollegare. Spegnere ferma la propagazione, ma cancella le tracce in memoria utili all'indagine: per questo la CISA lo indica solo quando non ci sono altri modi di disconnettere.
3. Stabilire le priorità di ripristino partendo da un elenco già definito dei sistemi critici, e capire che tipo di dati contenevano i sistemi colpiti.
4. Conservare le prove. Immagini dei dischi e della memoria di un campione di macchine colpite, log, campioni del malware. Per alcune varianti i ricercatori hanno pubblicato strumenti di decifratura: vale la pena verificarlo prima di decidere.
5. Cercare cosa c'era prima. Prima di ripristinare dai backup va trovato il malware che ha preparato l'attacco, altrimenti si reinfettano i sistemi puliti.
6. Ripristinare per priorità. Si ricostruiscono i sistemi partendo dai servizi critici, con immagini pulite, si reimpostano le password dei sistemi coinvolti e si ripristinano i dati dai backup offline.

Le notifiche obbligatorie

• NIS2. Se l'azienda è soggetto essenziale o importante e l'incidente è significativo, l'art. 25 del D.Lgs. 138/2024 chiede una pre-notifica al CSIRT Italia entro 24 ore da quando se ne è venuti a conoscenza, una notifica con una valutazione iniziale entro 72 ore e una relazione finale entro un mese dalla notifica. I passaggi sono nella guida alla notifica degli incidenti NIS2.
• GDPR. Se sono coinvolti dati personali, come accade spesso con la doppia estorsione, l'art. 33 del Regolamento (UE) 2016/679 chiede al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore, salvo che sia improbabile un rischio per i diritti e le libertà delle persone.

Pagare il riscatto?

FBI e CISA, nell'advisory AA24-109A, dichiarano di non incoraggiare il pagamento: pagare non garantisce il recupero dei file, può spingere i gruppi a colpire altre organizzazioni e finanziare attività illecite. Va aggiunto un fatto semplice: quando la leva è la minaccia di pubblicazione, pagare non cambia il fatto che una copia dei dati resta a chi li ha sottratti.

Se ci si arriva, la decisione coinvolge direzione, legali e assicurazione, e va presa con il quadro completo dell'incidente. Backup ripristinabili e un piano già provato sono ciò che permette di non doverla prendere.

In sintesi

Un attacco ransomware cifra i sistemi e, quasi sempre, ruba i dati per una seconda estorsione. Il modello RaaS ha moltiplicato i gruppi, ma le vie d'ingresso restano poche e note: vulnerabilità su sistemi esposti, credenziali senza secondo fattore, phishing. Chiuderle, tenere backup offline provati, sorvegliare le fasi che precedono la cifratura e avere un piano di risposta approvato riduce sia la probabilità sia il danno.

Se vuoi capire quali di questi punti sono già coperti nella tua azienda, e chi guarda gli accessi quando l'ufficio è chiuso, trovi come lavoriamo nella pagina dei servizi di cybersecurity.