Se sospetti un ransomware, la prima cosa da fare è isolare le macchine dalla rete — cavo staccato e Wi-Fi disattivato — senza spegnerle, e chiamare subito chi gestisce la tua infrastruttura. Ogni minuto in cui i PC restano collegati è tempo che la cifratura ha per estendersi ai server e ai backup raggiungibili.
I primi 30 minuti
- Isola, non spegnere. Scollega la rete. Spegnendo si perdono informazioni in memoria che possono servire all’analisi e, in alcuni casi, alle chiavi.
- Stacca i backup. Se hai un NAS o un disco esterno collegato, scollegalo fisicamente prima che venga cifrato anche quello.
- Blocca gli accessi. VPN e accessi remoti vanno chiusi: spesso è da lì che è entrato.
- Non riavviare e non “provare a sistemare”. Riavvii e tentativi di pulizia possono distruggere ciò che serve per il ripristino.
- Avvisa le persone. Nessuno deve accendere altri PC o aprire i file condivisi finché non si è capito il perimetro.
Cosa non fare
Non pagare il riscatto. Non c’è alcuna garanzia di riavere i dati, spesso il decryptor fornito è lento o incompleto, e il pagamento segnala che sei un bersaglio che paga. Non cancellare i file cifrati né le note di riscatto: servono per identificare la variante, e per alcune esistono strumenti di decifratura pubblici.
Gli obblighi da non dimenticare
Se sono coinvolti dati personali, il GDPR impone la notifica al Garante entro 72 ore dal momento in cui si è venuti a conoscenza della violazione, e la comunicazione agli interessati nei casi a rischio elevato. Va valutato subito, in parallelo al ripristino, non a emergenza finita.
Come si esce davvero
Il recupero passa dal ripristino da un backup pulito, dopo aver individuato e chiuso la via d’ingresso: rimettere in piedi i dati senza sistemare la falla significa venire cifrati di nuovo. Ricostruzione, bonifica e verifica vanno fatte insieme.
Se è in corso adesso, vedi assistenza informatica urgente. Per la bonifica: rimozione virus e malware. Per prevenire: antivirus professionale e backup cloud.