Un lunedì mattina, Daniel A. arriva in officina prima di tutti. Le macchine sono accese, ma lo schermo di supervisione mostra un messaggio che non capisce: i suoi file sono bloccati e un indirizzo anonimo chiede un pagamento per sbloccarli. Nel giro di poche ore l'intera produzione si ferma — non per un guasto meccanico, ma perché un ransomware — un programma che blocca i vostri file e chiede un riscatto — ha preso in ostaggio i suoi dati.
Questo scenario non ha nulla di eccezionale, e non colpisce prima di tutto i grandi gruppi. Officine di subfornitura, studi fiduciari, ambulatori: sono proprio le organizzazioni meno preparate a costituire i bersagli migliori. Capire il perché è già l'inizio della vostra difesa.
Perché una PMI industriale è un bersaglio ideale per un ransomware
Un ransomware è un programma malevolo che cripta i vostri file — li rende illeggibili, come dietro un lucchetto digitale — e poi chiede un riscatto per restituirvi la chiave. Finché non pagate — e spesso anche dopo — i vostri disegni, i vostri cicli di lavorazione, la contabilità e il portafoglio ordini restano irraggiungibili.
Il primo malinteso da sfatare: non si è colpiti perché si è importanti, ma perché si è raggiungibili. Gli aggressori non scelgono una PMI da una rubrica. Lanciano programmi automatici che scandagliano Internet in cerca di una porta chiusa male — una casella di posta in cui qualcuno clicca un allegato trappola, un software non aggiornato da mesi, un accesso remoto protetto da una semplice password. Quando la porta cede, il programma entra, si propaga e cripta tutto ciò che trova.
Ora, una PMI industriale ha spesso più porte socchiuse. La rete è «piatta»: il computer della contabilità e la macchina a controllo numerico dell'officina comunicano sullo stesso cavo, così un'infezione dal lato ufficio si estende fino alla produzione. Una vecchia postazione di supervisione gira su un sistema che «il software della macchina non supporta altrimenti», e quindi non viene mai aggiornata. I backup esistono — Marc K., il referente informatico a mezzo tempo, ne è certo —, ma nessuno ha mai verificato di saperli davvero ripristinare. E non c'è un team informatico a tempo pieno a vigilare su tutto questo.
Aggiungete un punto che Daniel A. conosce bene: nella lavorazione di precisione, il fermo costa subito. Ogni ora senza produzione è un ordine che accumula ritardo, un cliente che si spazientisce, disegni tecnici — spesso la proprietà intellettuale di un committente — improvvisamente fuori portata. Gli aggressori lo sanno: un'azienda che perde denaro ogni ora è un'azienda tentata di pagare in fretta, senza riflettere.
Spesso è un evento esterno ad aprire gli occhi. Un collega della regione si vede criptare i dati e resta fermo per tre giorni; un committente comincia a chiedere come sono protetti i suoi disegni. È allora che Daniel A. capisce che la domanda non è più «può capitare anche a me?» ma «sarei in grado di ripartire se mi capitasse domani?». È una domanda molto migliore, perché richiede risposte concrete.
In parole semplici (Camille). Il ransomware non misura la vostra importanza, misura le vostre serrature. Una PMI di qualche decina di persone non vale meno di un grande gruppo agli occhi di un aggressore — ha semplicemente, troppo spesso, serrature più facili da forzare.
Cosa tenere a mente
Bastano tre idee per cambiare atteggiamento, senza diventare esperti.
Il bersaglio non siete voi, è una falla. L'attacco è industriale e automatico. La domanda giusta non è quindi «sono un bersaglio interessante?» ma «quali porte ho lasciato aperte?». È una domanda a cui si può rispondere, postazione per postazione, accesso per accesso.
Pagare non risolve nulla. Nulla garantisce che vi restituiscano i dati, né che una copia non sia già stata rubata nel frattempo. L'Ufficio federale della cibersicurezza (UFCS, l'ex NCSC) sconsiglia di cedere alla richiesta di riscatto e invita a segnalare l'incidente. E se sono trapelati dati personali, la nLPD — la legge svizzera sulla protezione dei dati — può obbligarvi a notificare la violazione all'autorità competente. Pagare significa finanziare l'attacco successivo senza recuperare il proprio.
La protezione è fatta di abitudini, non di un prodotto miracoloso. Nessun software vi rende «inattaccabili». A fare la differenza sono backup che avete davvero testato, accessi bloccati e un riflesso condiviso al primo segnale sospetto. Niente di tutto ciò richiede il budget di un grande gruppo: sono decisioni organizzative, non informatiche.
Le abitudini da adottare questa settimana
Ecco tre abitudini che Daniel A. può avviare senza investimenti pesanti e senza attendere una revisione informatica. Non sostituiscono una vera preparazione — è il compito del blueprint —, ma chiudono già le porte più facili.
1. Testate un vero ripristino, non solo l'esistenza dei backup
«Abbiamo i backup» non significa nulla finché non avete recuperato un file da essi. Questa settimana, chiedete a Marc K. di scegliere una cartella a caso e di ripristinarla davvero, poi di verificare che si apra. Potreste scoprire che il backup è incompleto, troppo vecchio o collegato in permanenza alla rete — e quindi criptabile insieme a tutto il resto. È esattamente ciò che è meglio imparare un martedì tranquillo che un lunedì di crisi.
2. Chiudete i punti di ingresso più facili
Due serrature rapide. Anzitutto, attivate l'autenticazione a due fattori (MFA) — oltre alla password, una seconda prova, per esempio un codice sul telefono — ovunque ci si connetta dall'esterno: posta elettronica, accesso remoto all'officina. Una password rubata non basta più a entrare. Poi, ricordate al team il riflesso più redditizio che esista: nel dubbio su un allegato o un link, non si clicca, si chiede. La maggior parte dei ransomware entra da un clic di troppo.
3. Preparate la scheda «chi chiamare» prima di averne bisogno
Nel pieno di una crisi non si cerca un numero: lo si ha già. Su un solo foglio, annotate il contatto del vostro fornitore informatico, quello della vostra assicurazione (verificate se la polizza copre il rischio cyber) e la procedura per segnalare l'incidente all'UFCS. Aggiungete la prima istruzione, quella che limita i danni: scollegare dalla rete la macchina colpita — senza spegnerla — per fermare la propagazione. Affiggete questa scheda dove voi e Marc K. la ritroverete a occhi chiusi.
A che punto siete davvero?
Queste tre abitudini chiudono le porte più visibili. Ma una vera preparazione al ransomware va oltre: backup offline o «immutabili» — che un attacco non può né modificare né cancellare —, una netta separazione tra la rete dell'ufficio e quella dell'officina, un piano di risposta scritto e un'esercitazione per collaudarlo prima del giorno critico. È esattamente ciò che il nostro blueprint dedicato illustra, passo dopo passo.
Prima di arrivarci, dovete però sapere a che punto siete. Cyber Passport non certifica nulla e non vi dichiara «protetti»: vi guida attraverso un'autovalutazione strutturata che mostra, domanda dopo domanda, dove la vostra organizzazione è solida e dove poggia ancora sulla fiducia o sull'abitudine. Per una PMI industriale come quella di Daniel A., è spesso il primo passo concreto — quello che trasforma una preoccupazione vaga in un piano chiaro.
