Ransomware è la parola che ogni imprenditore ha sentito almeno una volta: ma pochi sanno davvero cosa succede, passo per passo, quando un'azienda viene colpita. Oggi la risposta non è più "installare un antivirus": è avere un piano. Ecco le cinque mosse concrete che una PMI può mettere in campo subito, in ordine di priorità.

Perché il ransomware sceglie proprio le PMI

I gruppi criminali non selezionano le vittime per dimensione: le selezionano per facilità. Una PMI con backup mai testati, account senza autenticazione a due fattori e personale non formato è un obiettivo a basso rischio e alto rendimento. Il pagamento del riscatto è solo l'ultima fase: prima arrivano giorni di attività bloccata, clienti non serviti e costi di ripristino che spesso superano il ricatto stesso.

La buona notizia è che la maggior parte degli attacchi ransomware segue sempre lo stesso schema: una email di phishing, una credenziale rubata, una lacuna di aggiornamenti. E ogni fase di quello schema si può interrompere.

Mossa 1: backup veri, non speranze

La regola 3-2-1 resta il gold standard: tre copie dei dati, su due supporti diversi, con una copia offline non raggiungibile dalla rete. Il dettaglio che fa la differenza oggi è uno solo: il test di ripristino. Un backup mai ripristinato è una speranza, non un piano. Programma una verifica periodica con tempi misurati: quanto tempo serve per rimettere in piedi il file server? Se non lo sai, sei già esposto.

Mossa 2: MFA ovunque, a partire dalla posta

La maggior parte degli attacchi ransomware comincia da una credenziale compromessa. L'autenticazione a più fattori (MFA) su posta elettronica, VPN e accessi amministrativi blocca la catena al primo anello, anche quando la password è già finita nelle mani sbagliate. È la misura con il miglior rapporto costo/protezione in assoluto, e si attiva in giorni, non in mesi.

Mossa 3: patching programmatico, non occasionale

Gli attaccanti sfruttano vulnerabilità note per le quali esiste già una patch: la finestra tra la pubblicazione della correzione e l'applicazione reale è il loro terreno di caccia. Un piano di aggiornamenti programmatico — sistemi, applicazioni, firewall e dispositivi di rete — chiude quella finestra. Le manutenzioni si fanno fuori orario e con procedure verificate: non fermare l'attività per proteggerla è possibile, se è pianificato.

Mossa 4: il fattore umano, allenato

Il phishing resta la porta d'ingresso numero uno. Le simulazioni periodiche di phishing, seguite da formazione breve e concreta, misurano e riducono il rischio reale: la percentuale di dipendenti che clicca scende trimestre dopo trimestre. Un dipendente informato è la prima linea di difesa, e resta l'unica che funziona 24/7 anche quando le tecnologie vengono aggirate.

Mossa 5: un piano di risposta scritto, prima che serva

Nel pieno di un attacco non si decide con lucidità: si esegue ciò che è stato scritto prima. Un piano di incident response per una PMI non deve essere un tomo da consulente: deve rispondere a cinque domande. Chi spezza la rete? Chi chiama? Da quali backup si riparte? Chi parla con clienti e fornitori? Chi notifica entro 72 ore al Garante, se servisse? Deciderlo oggi costa una riunione; improvvisarlo domani costerà molto di più.

Il ruolo della notifica: GDPR e NIS2

Un ransomware è quasi sempre anche un data breach: se vengono coinvolti dati personali, la notifica al Garante entro 72 ore è un obbligo, e con NIS2 pienamente operativa per molti settori la notifica all'CSIRT arriva entro 24 ore. Le tempistiche si rispettano solo con una procedura già pronta: sono gli stessi documenti che in un audit o in un controllo dimostrano che l'azienda aveva fatto i compiti.

Conclusione: il piano si costruisce in un mese

Nessuna delle cinque mosse richiede budget da grande azienda: richiede metodo e continuità. Un percorso realistico per una PMI: audit iniziale, MFA e backup nelle prime due settimane, patching e formazione nel primo mese, piano di risposta scritto e testato entro il trimestre. Chi inizia oggi arriva agli attacchi di domani con un piano, non con una sorpresa.

Se vuoi sapere dove si trova oggi la tua azienda, un assessment iniziale ti dà la fotografia chiara: cosa manca, cosa rischi, cosa correggere per primo. Parlaci della tua situazione: ti rispondiamo con priorità concrete, non con un brochure.