1. Ransomware in Italia: come sta cambiando la minaccia
Il ransomware resta una delle minacce più temute dalle aziende italiane, ma la sua fisionomia sta cambiando rapidamente. Non si tratta più soltanto di cifrare i dati e chiedere un riscatto: i gruppi criminali oggi adottano la cosiddetta “doppia estorsione”, esfiltrando informazioni sensibili prima di bloccarle, per poi minacciare di pubblicarle sul dark web se il pagamento non arriva. Questo cambio di strategia rende inutile anche un buon sistema di backup, perché il danno reputazionale e legale legato alla fuga di dati resta comunque concreto.
In Italia il fenomeno colpisce trasversalmente: dalle grandi aziende manifatturiere alle piccole e medie imprese, spesso meno strutturate dal punto di vista della sicurezza informatica. Il settore pubblico non è immune, con comuni, aziende sanitarie locali e enti territoriali che negli ultimi anni hanno subito interruzioni di servizio anche prolungate. La motivazione è semplice: molte organizzazioni italiane, soprattutto le PMI, operano ancora con sistemi legacy, patch non aggiornate e una scarsa segmentazione delle reti interne, condizioni ideali per la propagazione di un ransomware una volta ottenuto un primo accesso.
I vettori d’ingresso più comuni restano il phishing mirato, le credenziali compromesse acquistate sul dark web e lo sfruttamento di vulnerabilità note su sistemi esposti a Internet, come VPN e server RDP non protetti da autenticazione a più fattori. Una volta dentro la rete, gli attaccanti si muovono lateralmente per settimane, mappando l’infrastruttura e individuando i sistemi più critici prima di lanciare l’attacco vero e proprio, spesso durante il weekend o le festività, quando i team IT sono ridotti.
Sul fronte della risposta, le linee guida più accreditate insistono su alcuni capisaldi: backup offline e testati regolarmente, segmentazione della rete, autenticazione a più fattori su tutti gli accessi remoti, monitoraggio continuo del traffico anomalo e un piano di incident response scritto e provato, non solo teorico. La tentazione di pagare il riscatto per riavere rapidamente l’operatività resta forte, ma le autorità italiane ed europee sconsigliano questa strada: non garantisce il recupero dei dati, alimenta l’economia criminale e può comportare responsabilità legali, specialmente se il pagamento finisce a soggetti sanzionati.
Un altro elemento da considerare è l’obbligo di notifica. Se l’attacco comporta una violazione di dati personali, l’azienda è tenuta a informare il Garante per la protezione dei dati personali entro 72 ore, pena sanzioni aggiuntive che si sommano al danno già subito. Per questo molte organizzazioni stanno investendo in polizze assicurative cyber, che però richiedono requisiti minimi di sicurezza sempre più stringenti per essere sottoscritte.
Guardando al futuro, la tendenza è verso attacchi sempre più mirati e meno “a strascico”: i criminali selezionano le vittime in base alla capacità di pagare, studiano il bilancio aziendale prima di fissare la cifra del riscatto e in alcuni casi arrivano a contattare direttamente i clienti o i fornitori della vittima per aumentare la pressione. Per le aziende italiane, la difesa più efficace resta un approccio proattivo: non aspettare l’attacco per scoprire le proprie falle, ma testarle prima attraverso simulazioni e verifiche periodiche.
