Come agiscono i ransomware nelle reti d’impresa? I passaggi con cui i dati vengono davvero bloccati

Capire come un ransomware mette in ginocchio una rete d’impresa significa guardare oltre lo slogan del “computer bloccato”. Dietro c’è un processo disciplinato, fatto di ricognizione, scelta dei bersagli più redditizi, silenziamento dei controlli e, infine, crittografia mirata. Da tecnico nato tra modem rumorosi e domotica autocostruita, oggi nella cyber security dei servizi pubblici locali vedo ogni settimana come questi passaggi incidano su operatività, privacy e continuità. Ecco perché serve uno sguardo tecnico ma concreto, capace di tradurre minacce in scelte di governance e procedure operative.

Dalla porta d’ingresso al dominio: la catena dell’infezione

La storia inizia quasi sempre allo stesso modo: una credenziale esposta, una casella email ingannata, un sistema remoto non aggiornato. Le statistiche di settore indicano che phishing e abuso di accessi privilegiati sono ancora le vie principali. La differenza rispetto a dieci anni fa è la qualità dell’inganno: l’email malevola replica processi reali, il dominio fasullo è indistinguibile, il messaggio sfrutta routine contabili o fornitori autentici compromessi.

Una volta dentro, gli attaccanti si muovono con cautela. Eseguono una ricognizione per capire come è fatta l’azienda: domini, Active Directory, soluzioni EDR, backup, software gestionali, condivisioni. Cercano i “gioielli della corona”: dati finanziari, repository di progetto, server file, sistemi di autenticazione. Più la rete è piatta, più la strada è libera. Se la segmentazione è debole, basta un account di servizio troppo permissivo per diventare padroni di interi reparti.

Potrebbe interessarti anche

Minacce informatiche emergenti per le PMI: la tecnica di attacco che si diffonde silenziosamenteCrittografia end-to-end applicata ai dati aziendali: scopri il vantaggio concreto per la privacy dei tuoi clientiCos’è il cloud computing privato? Vantaggi pratici per le medie imprese italianeQual è il miglior hardware a noleggio per smart working? Scelte che riducono stress e imprevisti

La fase successiva è il consolidamento. Gli intrusi creano punti di persistenza, spesso con meccanismi banali ma efficaci: attività pianificate, agent meno noti, plugin su strumenti di gestione legittimi. Qui entrano in gioco le politiche di least privilege e il controllo delle identità: senza un perimetro identitario robusto, la scalata ai privilegi è solo questione di tempo.

La catena culmina con il movimento laterale. Tecniche e strumenti possono essere “dual use”: gli stessi che un amministratore usa per distribuire software vengono piegati per muovere il payload. Il principio è sempre uguale: usare quanto più possibile strumenti già presenti per non attirare l’attenzione dei controlli.

Come avviene davvero il blocco: crittografia e chiavi

Il blocco dei dati non è una serratura improvvisata: è un processo di crittografia industrializzato. I gruppi criminali hanno adottato modelli ibridi: per velocità si usa una chiave simmetrica per ogni file o blocco, mentre una chiave pubblica del gruppo cifra le chiavi locali. Così, anche se l’azienda cattura un campione di malware, senza la componente privata del gruppo non è possibile decifrare.

Gli algoritmi impiegati sono solidi e standardizzati, gli stessi che proteggono il banking o il cloud. La forza dell’attacco non sta nell’originalità matematica, ma nella gestione delle chiavi e nella selezione chirurgica dei percorsi. I ransomware moderni evitano file che renderebbero instabile il sistema prima del tempo, saltano cartelle di sistema e puntano ai dati vivi: condivisioni, archivi di progetto, macchine virtuali spente, backup raggiungibili in rete.

Per accelerare, molte famiglie applicano una crittografia parziale: cifrano solo porzioni dei file più grandi, mantenendo gli hash coerenti con la corruzione e rendendo illeggibili i contenuti con grande risparmio di tempo. Il risultato percepito dall’utente è comunque devastante: applicazioni che non si aprono, database che non montano, repository inutilizzabili.

Nella fase finale, il malware “parla” al personale: messaggi di riscatto chiari, con indicazioni per contattare il gruppo su canali pseudo-anonimi. La nota è automatizzata, depositata nelle cartelle colpite e spesso accompagnata da un inventario parziale dei dati esfiltrati: è il preludio della doppia estorsione.

Movimento laterale e persistenza: perché l’azienda si ferma

Per bloccare davvero un’azienda non basta cifrare i file: bisogna sincronizzare il colpo. I gruppi più esperti preparano la scena per giorni o settimane, individuando il momento in cui la maggior parte degli endpoint è connessa e i backup sono più vulnerabili. Spesso il payload viene orchestrato dal dominio, sfruttando meccanismi leciti di distribuzione del software, disabilitando temporaneamente parti della difesa o saturandole di eventi per creare rumore.

La persistenza serve anche al “piano B”: se la prima ondata viene contenuta, è pronta una seconda attivazione. Da qui l’importanza di verificare attentamente i controller di dominio, gli account di servizio, gli agent di amministrazione remota. La resilienza difensiva si misura nella capacità di interrompere la propagazione in ore, non in giorni.

Quando il blocco riesce, i servizi critici si fermano insieme. Il danno non è solo tecnico: è reputazionale, legale, contrattuale. I dirigenti si trovano a decidere sotto stress con informazioni parziali. A quel punto la preparazione fatta prima dell’incidente è l’unico vantaggio competitivo rimasto.

Doppia e tripla estorsione: il ricatto esce dalla rete

Oggi il ransomware non chiede soltanto denaro per la chiave di decrittazione. Minaccia di pubblicare i dati rubati su siti di “leak”. È la doppia estorsione: paghi per riprendere l’operatività e per evitare la fuga di informazioni. In alcuni casi si aggiunge una terza leva, la pressione su clienti e fornitori o attacchi DDoS di disturbo.

La componente esfiltrazione è spesso sottovalutata nella prevenzione. I gruppi sanno sottrarre volumi crescenti di dati con tecniche segmentate, usando canali legittimi o oscurati. In mancanza di un inventario dati aggiornato e di controlli di data loss prevention maturi, l’azienda non sa nemmeno cosa sia uscito, con ovvie ricadute regolamentari e assicurative.

Cosa dicono regole e linee guida

Sul piano normativo, il riferimento per i dati personali è il Regolamento generale sulla protezione dei dati. Un attacco ransomware con esfiltrazione configura quasi sempre un data breach da notificare. Le autorità europee ricordano che il pagamento del riscatto non esonera dagli obblighi di notifica, né garantisce l’effettiva cancellazione dei dati da parte dei criminali.

Per la postura di sicurezza, le organizzazioni possono orientarsi con il NIST Cybersecurity Framework e con le linee guida europee di ENISA. Questi documenti insistono su gestione del rischio, inventario degli asset, segmentazione, logging centralizzato, piani di risposta e recovery testati. È la traduzione pratica del principio “assumi la violazione”: sapendo che l’incidente può avvenire, costruisci processi per scoprirlo presto e contenerlo.

Nei servizi pubblici locali e nelle infrastrutture essenziali, i requisiti si stanno irrigidendo: audit più frequenti, reporting su incidenti maggiori, responsabilità chiare tra IT e direzione, coperture assicurative con clausole su prevenzione e risposta. Le ispezioni guardano sempre più alla sostanza: log utili, ruoli di emergenza definiti, test documentati, RTO/RPO realistici.

Cosa cambia nella pratica: controlli, metriche, procedure

Tradurre tutto questo in operatività significa fissare pochi pilastri e farli funzionare bene. Il primo è l’identità: MFA ovunque possibile, gestione rigorosa delle utenze privilegiate, rotazione delle chiavi di accesso ai sistemi di automazione, separazione netta tra account amministrativi e account d’uso. Senza questa base, ogni altro controllo è fragile.

Secondo pilastro: visibilità e telemetria. I registri devono raccontare una storia coerente e completa. Centralizzare i log, arricchirli con contesto, mantenerli abbastanza a lungo da coprire un’intera catena d’infezione. Qui la qualità della normalizzazione e delle correlazioni è decisiva: pochi alert, ma significativi e verificabili.

Terzo pilastro: resilienza dei dati. La regola 3-2-1-1-0 ha dimostrato di reggere alla prova dei fatti: tre copie su due media diversi, una offsite, una immutabile, zero errori verificati tramite restore periodici. I ripristini non sono un foglio Excel: sono esercitazioni. Ripristinare una VM critica in tempi stretti è un mestiere che si allena.

Quarto pilastro: segmentazione. Reti piatte e privilegi illimitati sono benzina per il ransomware. Micro-segmentare i domini, isolare repository sensibili, usare firewall interni con policy basate su identità e applicazione, e limitare l’uso di strumenti di amministrazione remota a tunnel autenticati e tracciati.

Quinto pilastro: igiene tecnica continua. Aggiornamenti regolari, rimozione di software non necessario, allowlisting per server critici, hardening documentato e verifiche di configurazione automatizzate. Le vulnerabilità note sfruttate “a scaffale” sono ancora la scorciatoia più redditizia per gli attaccanti.

• Controlli di accesso: MFA, PAM, rotazione segreti
• Backup: immutabilità, air-gap logico/fisico, test di restore
• Rilevamento: EDR ben configurato, regole di comportamento, telemetria centrale
• Segmentazione: VLAN per funzione, regole east-west, accesso minimo
• Procedure: runbook IR, gestione crisi, comunicazione interna/esterna

Infine, le metriche. Misurare dwell time medio rilevato, tempo di contenimento, percentuale di endpoint con logging attivo, tasso di backup verificati, tempo di ripristino per servizio. Senza numeri, le priorità restano slogan. Con i numeri, la direzione può decidere investimenti e tempi con cognizione.

Casi particolari: OT, cloud e PMI

Nell’OT il problema si complica. Gli impianti industriali e i sistemi legacy non possono sempre essere patchati e isolati a piacere. Qui la difesa si sposta su gateway controllati, monitoraggio del traffico deterministico, inventario rigoroso dei dispositivi e percorsi di aggiornamento pianificati con i fornitori. L’obiettivo è rendere costoso il movimento laterale dall’IT all’OT.

Nel cloud, la minaccia cambia pelle. Il ransomware classico coesiste con il “data hijacking”: cifrare o cancellare oggetti in bucket, bloccare snapshot, compromettere account di automazione. La miglior difesa è l’architettura: ruoli minimi, separazione degli ambienti, chiavi gestite in modo centralizzato, policy di immutabilità native, auditing attivo e allarmi sulle azioni anomale a livello di control plane.

Le PMI, infine, pagano la scarsità di risorse e la complessità crescente. La soluzione non è fare tutto, ma fare bene l’essenziale: MFA, backup immutabili verificati, un EDR semplice ma solido, segmentazione di base, consulenza esterna per IR e test. Anche un inventario degli asset aggiornato con cadenza mensile può cambiare l’esito di un incidente.

Il fattore umano e il dopo-incidente

Ogni piano crolla se le persone non sanno cosa fare. La formazione non si misura in quiz generici, ma in esercitazioni: simulare l’apertura di un allegato sospetto, l’avvistamento di un alert, l’attivazione del team di crisi, la comunicazione al fornitore critico. La memoria muscolare conta anche in cybersecurity.

Dopo un attacco, le linee guida europee raccomandano tre filoni in parallelo: tecnico, legale, comunicativo. Sul piano tecnico si isola, si indaga, si ripristina in ambienti puliti. Sul piano legale si valuta la notifica e la cooperazione con le autorità. Sul piano comunicativo si parla chiaro a clienti e stakeholder, evitando promesse irrealistiche e minimizzazioni controproducenti.

Sul tema del riscatto, la posizione più prudente resta invariata: pagare non garantisce il recupero completo né la cancellazione dei dati rubati e può avere profili di rischio legale. Ogni decisione va presa con consulenza legale, assicurativa e con supporto delle forze dell’ordine. La lezione finale è organizzativa: congelare le cause tecniche che hanno permesso l’intrusione, documentare e migliorare i controlli, aggiornare runbook e metriche. È il modo più efficace per trasformare una crisi in competenza duratura.