Un lunedì mattina, Daniel A. viene a sapere che un'officina meccanica del cantone, appena più grande della sua, è ferma dall'alba. Le macchine aspettano, ogni schermo mostra lo stesso messaggio: i file sono bloccati, per riaverli bisogna pagare. Sul posto nessuno sa da dove cominciare. Un attacco ransomware, lo capisce riagganciando, non avvisa — e Daniel guarda la propria officina in modo diverso.
Come si svolge davvero un attacco ransomware
Il ransomware è un software dannoso che cifra i vostri file — cioè li rende illeggibili — e poi chiede un riscatto per consegnare la chiave. La parola spaventa, ma la sequenza è molto più banale di un film. Nel caso vicino, tutto è partito da un'e-mail trappola: phishing, un messaggio vestito con i colori di un fornitore conosciuto, con un allegato dall'aria legittima. Un collaboratore di fretta lo apre. In quell'istante non succede nulla di visibile.
L'intruso non agisce subito. Osserva, si sposta da una postazione all'altra e individua i backup e le cartelle che contano. Come in molte PMI industriali, la rete era «piatta»: la postazione di supervisione dell'officina, la contabilità e il server dei disegni condividevano lo stesso spazio, senza divisori. Ciò che l'attaccante raggiunge in un punto, alla fine lo raggiunge ovunque. La cifratura, invece, arriva solo alla fine — spesso di notte o nel fine settimana, per massimizzare la sorpresa e lasciare il minor numero possibile di persone in grado di reagire.
Questo tempo di preparazione invisibile è anche una buona notizia: tra l'e-mail trappola e il blocco passano spesso giorni, a volte settimane. In altre parole, un attacco ransomware non è un fulmine a ciel sereno inarrestabile, è un furto che lascia tracce. Una PMI che sa dove si trovano i suoi dati sensibili, che ha separato l'officina dall'ufficio e che tiene un backup fuori dalla portata a distanza non rende l'attacco impossibile — lo rende molto meno redditizio, e spesso riparabile.
Il dettaglio più istruttivo di questo caso di studio non è tecnico. L'officina vicina non era negligente: aveva un firewall, un antivirus, dei backup, e il suo referente informatico aveva già sensibilizzato la squadra. A mancare non sono stati gli strumenti, ma la loro messa alla prova. Una falla nota in un software non era stata corretta in tempo. I backup esistevano, ma nessuno aveva mai davvero ripristinato a partire da essi — ed erano collegati in permanenza, quindi cifrati anche loro. Ciò che distingue una PMI che incassa il colpo da una che affonda non è il budget: è essersi posti le domande giuste prima, non durante.
Cosa portare a casa
Tre idee meritano di restare, una volta chiuso il caso del vicino.
Primo: un attacco ransomware colpisce i troppo sicuri più dei poco protetti. Una PMI che ha «fatto il necessario» due anni fa e non l'ha più toccato è un bersaglio più comodo di quanto si pensi. La sicurezza non è un acquisto, è una manutenzione.
Secondo: un backup esiste davvero solo il giorno in cui l'avete ripristinato. Finché non avete recuperato un file dal vostro backup, non sapete se funziona — lo sperate. E se resta collegato in permanenza alla rete, il ransomware lo cifra insieme a tutto il resto.
Terzo: il momento peggiore per improvvisare è durante l'incidente. Il vicino ha perso ore preziose a cercare chi chiamare, con quale assicurazione era coperto e se doveva notificare qualcosa. In Svizzera, una violazione della sicurezza dei dati personali può dover essere notificata all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ai sensi della nLPD, la legge svizzera sulla protezione dei dati — un riflesso che è meglio decidere a mente fredda.
Per Daniel A., la vera domanda non è quindi «sono al sicuro?» — nessuno lo è del tutto — ma «sono pronto a incassare il colpo?». Un'officina pronta è quella che riparte in due giorni da un backup sano, invece di negoziare un riscatto nel panico, senza garanzia di recuperare alcunché. La differenza tra le due raramente dipende da un grande investimento. Dipende da qualche decisione presa con calma, un martedì pomeriggio, prima che il problema arrivi.
Le abitudini da adottare questa settimana
Nessuna di queste abitudini richiede budget o competenze informatiche. Richiede una decisione.
1. Verificate che un backup sia offline — e testatelo
Assicuratevi che almeno una copia dei vostri dati critici (disegni, ERP, contabilità) sia scollegata dalla rete una volta terminato il backup: un disco staccato, un supporto che il ransomware non può raggiungere perché non è «visibile» in permanenza. Poi fate l'esercizio più utile della settimana: chiedete di ripristinare un solo file da quel backup. Se torna intatto, lo sapete. Se non torna, avete appena evitato una pessima sorpresa.
2. Scrivete, su un foglio di carta, chi chiama chi
Il ransomware spesso interrompe l'accesso alle vostre e-mail e alle rubriche interne: il giorno dell'incidente, la vostra rubrica digitale è proprio ciò che è scomparso. Preparate una scheda semplice, stampata e conservata fuori dal sistema: chi decide, il numero del vostro referente informatico, quello della vostra assicurazione, quello dell'Ufficio federale della cibersicurezza (UFCS/NCSC) che consiglia le PMI, e il promemoria di verificare un'eventuale notifica all'IFPDT. Aggiungete una consegna chiara: non si paga e non si ricollega nulla senza aver prima telefonato. Il giorno X, questo foglio vale dieci strumenti sofisticati.
3. Rallentate le richieste che hanno fretta
La maggior parte degli attacchi comincia con un messaggio che crea urgenza: una fattura da saldare, un allegato da aprire «entro stasera». Concordate con la squadra un riflesso semplice: davanti a un allegato inatteso o a un link pressante non si clicca, si verifica tramite un altro canale — una telefonata al fornitore al suo numero conosciuto. E date a ciascuno un modo per segnalare un dubbio senza timore di essere giudicato. Un collaboratore che osa dire «forse ho cliccato» vi fa guadagnare un tempo decisivo: prima arriva l'allerta, più margine resta prima che la cifratura si inneschi.
Queste tre abitudini non sostituiscono una vera strategia di protezione, e non è il loro compito. Fanno un'altra cosa: trasformano una minaccia astratta in una manciata di decisioni concrete che potete prendere questa settimana, senza aspettare il prossimo budget o la prossima macchina. È spesso così che comincia una PMI che, quando arriva il giorno, incassa il colpo invece di affondare.
A che punto siete davvero?
L'officina vicina non aveva meno strumenti di voi. Semplicemente non aveva mai verificato, a mente fredda, se la sua protezione reggesse di fronte a un vero attacco ransomware. È esattamente ciò che rivela un'autovalutazione: non se siete «sicuri», ma dove la vostra organizzazione è solida e dove si regge su abitudini mai testate.
Cyber Passport non certifica nulla e non vi dichiara conformi. Lo strumento vi accompagna, domanda dopo domanda, attraverso la vostra preparazione — backup, separazione tra officina e ufficio, risposta a un incidente — e vi mostra nero su bianco dove concentrare gli sforzi. Per andare oltre e costruire un piano completo, passo dopo passo, il blueprint «Preparazione al ransomware» spiega il come: backup immutabili, segmentazione, un piano di risposta e un'esercitazione di crisi.
