Ransomware in fabbrica: cosa fare (e cosa NON fare) nella prima ora
6 min di lettura
Una mattina i file sono cifrati e la produzione è ferma. Le decisioni dei primi 60 minuti fanno la differenza tra un brutto ricordo e settimane di fermo. Ecco il piano, passo per passo.
Il ransomware non "arriva all'improvviso" per caso: quasi sempre è entrato giorni prima. Ma il momento in cui te ne accorgi — file rinominati, un messaggio di riscatto, i gestionali che non aprono — è quello in cui puoi ancora limitare i danni. Ti spiego cosa faccio io, in ordine.
Prima cosa: isola, non spegnere
L'istinto è spegnere tutto. È l'errore più comune: spegnere di brutto un server a metà cifratura può corrompere i dati ancora recuperabili e cancellare tracce utili. Invece:
- Stacca la rete: cavo ethernet e Wi-Fi delle macchine colpite, per fermare la diffusione verso gli altri PC e il NAS.
- Lascia acceso ciò che è già cifrato, se puoi, finché non lo guarda qualcuno.
- Isola i backup: se il NAS o il disco di backup è collegato, scollegalo subito. Il ransomware cerca proprio quelli.
Non pagare (e non decidere da solo)
Pagare il riscatto non garantisce di riavere i dati, ti segnala come "azienda che paga" e in molti casi finanzia il prossimo attacco. Prima di qualsiasi decisione, chiama chi ti gestisce l'IT e, se serve, la Polizia Postale. Non è il momento delle scelte in solitaria sotto pressione.
Fotografa la situazione
Con lo smartphone, fotografa il messaggio di riscatto e i file cifrati. Annota data e ora in cui te ne sei accorto e cosa non funziona. Serve a chi interviene e serve anche dopo, per assicurazione e denuncia.
Ripartire: dai backup, non dalla speranza
Qui si vede chi aveva fatto le cose per bene. Il ripristino pulito parte da un backup offline o immutabile — cioè una copia che il ransomware non ha potuto toccare. Prima di rimettere in rete, va verificato che il punto d'ingresso sia chiuso, altrimenti si viene cifrati di nuovo in poche ore.
La regola pratica: se non hai un backup che il tuo stesso amministratore non può cancellare per sbaglio, non hai un backup contro il ransomware.
Gli obblighi che spesso si dimenticano
Se sono stati coinvolti dati personali (clienti, dipendenti, fornitori), scatta il GDPR: la notifica al Garante va valutata entro 72 ore. Meglio saperlo prima, con calma, che scoprirlo dopo.
La verità scomoda
Nella prima ora non si "risolve" un ransomware: si limita il danno. Chi riparte in fretta non è chi reagisce meglio sul momento, ma chi aveva già backup testati, endpoint protetti e un piano scritto. Se non sei sicuro di averli, è esattamente la conversazione che conviene fare a mente fredda — non alle 8 di un lunedì con la linea ferma.