Ransomware nelle piccole imprese: cosa fare nelle prime ore e come prepararsi

Un lunedì mattina i computer dell’ufficio mostrano un messaggio: i file sono stati cifrati e, per riaverli, bisogna pagare un riscatto in criptovaluta entro pochi giorni. Le cartelle condivise non si aprono, il gestionale non parte, le fatture non si possono emettere. È un attacco ransomware, e non riguarda solo le grandi aziende: le piccole imprese sono bersagli frequenti, proprio perché spesso meno protette.

Questa guida spiega in modo pratico cos’è il ransomware, come entra in azienda, cosa fare nelle prime ore, quali obblighi possono scattare e, soprattutto, come prepararsi per poter continuare a lavorare. Non sostituisce l’intervento di tecnici specializzati, che in caso di attacco va richiesto subito.

Cos’è il ransomware

Il ransomware è un tipo di software malevolo che cifra i file dei computer e dei server, rendendoli illeggibili, e chiede un riscatto per la chiave che permetterebbe di decifrarli. Negli attacchi più recenti, i criminali spesso copiano anche i dati prima di cifrarli e minacciano di pubblicarli: è la cosiddetta doppia estorsione.

Per una piccola impresa le conseguenze sono pesanti: fermo dell’attività, perdita di dati, costi di ripristino, danni d’immagine, possibili responsabilità verso clienti e dipendenti se i loro dati sono stati sottratti.

Come entra in azienda

In molti casi, tra l’ingresso degli attaccanti e la cifratura dei dati passano giorni o settimane, durante i quali i criminali esplorano la rete e cercano anche i backup, per renderli inutilizzabili.

Le prime ore: cosa fare

1. Isolare i dispositivi colpiti: scollegarli dalla rete, cavo e wifi, per evitare che l’infezione si propaghi. Non spegnere tutto alla cieca: alcune informazioni utili alle indagini si perdono con lo spegnimento. Se possibile, seguire le indicazioni del tecnico.
2. Avvisare subito chi gestisce l’informatica, interno o esterno, e se necessario uno specialista in risposta agli incidenti.
3. Non cancellare nulla e non reinstallare subito: messaggi di riscatto, file e registri sono prove.
4. Verificare i backup: quali sono integri, quando sono stati fatti, se erano separati dalla rete.
5. Cambiare le credenziali importanti da un dispositivo sicuro, a partire da email, amministratori di sistema e home banking.
6. Avvisare la banca se ci sono sospetti su accessi ai conti.
7. Valutare gli obblighi di notifica e presentare denuncia.
8. Attivare il piano di continuità per continuare a lavorare.

Obblighi di notifica e denuncia

Un attacco ransomware è quasi sempre anche una violazione di dati personali, perché i sistemi aziendali contengono dati di clienti, dipendenti e fornitori. Il GDPR prevede che il titolare del trattamento notifichi la violazione al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Quando il rischio è elevato, vanno informate anche le persone interessate.

Inoltre:

• va presentata denuncia alla Polizia Postale e delle Comunicazioni o alle altre forze di polizia;
• le imprese che rientrano nell’ambito della normativa NIS2 hanno specifici obblighi di notifica degli incidenti all’Agenzia per la Cybersicurezza Nazionale;
• è utile documentare tutto: tempi, decisioni, comunicazioni, interventi.

Anche quando la notifica non è obbligatoria, il GDPR richiede di documentare internamente le violazioni. Per questi aspetti è opportuno farsi assistere dal proprio consulente o dal responsabile della protezione dei dati, se nominato.

Il backup: la vera assicurazione

Contro il ransomware, la differenza tra un incidente grave e una catastrofe la fa quasi sempre il backup. Ma non qualsiasi backup: deve essere separato dai sistemi che possono essere colpiti. Un disco sempre collegato al server, o una cartella sincronizzata, può essere cifrato insieme a tutto il resto.

• seguire la regola del 3-2-1: tre copie, su due supporti diversi, una fuori sede;
• prevedere almeno una copia offline o non modificabile;
• verificare periodicamente che il ripristino funzioni davvero;
• proteggere con particolare cura le credenziali di accesso ai backup.

Continuare a lavorare: il piano

Un attacco ransomware può fermare l’azienda per giorni. Per questo conviene preparare un piano semplice, che risponda a poche domande:

• chi chiamare: tecnico, specialista in risposta agli incidenti, banca, consulente privacy, assicurazione, fornitori del gestionale e dell’email;
• quali attività sono essenziali e come svolgerle per qualche giorno anche senza i sistemi principali;
• come comunicare con dipendenti, clienti e fornitori se l’email aziendale non funziona;
• dove sono i backup e chi sa come ripristinarli;
• chi decide, se il titolare non è raggiungibile.

Il punto più importante è spesso trascurato: il piano non deve stare solo sui sistemi aziendali. Se è nel server cifrato, nel momento in cui serve non è disponibile. Deve essere conservato anche fuori, in un luogo raggiungibile dalle persone giuste. Ne parliamo nelle guide sulla continuità operativa delle piccole imprese e sul dossier di emergenza aziendale.

Prevenzione: le misure essenziali

• Aggiornamenti regolari di sistemi operativi, programmi e dispositivi di rete.
• Verifica in due passaggi su email, accessi remoti, home banking e pannelli di amministrazione: vedi la guida su come proteggere gli account importanti.
• Password uniche e un gestore di password aziendale.
• Accessi limitati: ognuno accede solo a ciò che gli serve, e gli account amministrativi si usano solo quando necessario.
• Formazione del personale sul phishing.
• Antivirus e strumenti di protezione aggiornati.
• Accessi dei fornitori controllati e revocati quando non servono più.
• Dominio, hosting ed email sotto controllo: vedi la guida su dominio, hosting ed email aziendale.

L’assicurazione cyber

Esistono polizze specifiche contro i rischi informatici, che possono coprire costi di ripristino, consulenze, fermo attività e responsabilità verso terzi. Per una piccola impresa possono essere utili, ma vanno lette con attenzione: spesso richiedono misure minime di sicurezza, come backup e verifica in due passaggi, e prevedono procedure precise da seguire in caso di incidente. Anche il numero da chiamare per la polizza va inserito nel piano di emergenza.

Checklist

1. Backup 3-2-1 con almeno una copia offline, verificato.
2. Verifica in due passaggi sugli accessi critici.
3. Aggiornamenti regolari.
4. Formazione sul phishing.
5. Piano di risposta scritto e conservato fuori dai sistemi aziendali.
6. Contatti di tecnico, banca, consulente privacy, assicurazione.
7. Procedura per notifica al Garante e denuncia.

Gli errori più comuni

• Pensare di essere troppo piccoli per interessare ai criminali.
• Backup sempre collegati alla rete, cifrati insieme a tutto il resto.
• Non aver mai provato un ripristino.
• Conservare il piano di emergenza solo sul server.
• Reinstallare tutto in fretta, perdendo prove e senza capire come sono entrati.
• Dimenticare la notifica al Garante entro 72 ore.

Come aiuta La Cassaforte Digitale

La Cassaforte Digitale è il luogo in cui conservare il piano di emergenza fuori dai sistemi aziendali: contatti del tecnico, della banca, dell’assicurazione e del consulente privacy, istruzioni per il ripristino, elenco dei servizi in cloud, chi decide cosa.

• I livelli Verde, Giallo e Rosso permettono di rendere disponibili le istruzioni operative ai collaboratori e riservare le informazioni sensibili a chi deve averle.
• Ogni delegato ha la propria Chiave di Accesso Delegato e non usa mai le credenziali del titolare.
• Sicurezza: cifratura AES-256 lato server, password protette con Argon2ID, accesso a tre fattori.

Domande frequenti

Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo

Fonti

1. Garante Privacy — Violazioni di dati personali (data breach) — notifica entro 72 ore
2. Regolamento (UE) 2016/679 (GDPR), artt. 33-34 (EUR-Lex) — notifica e comunicazione delle violazioni
3. ACN — Agenzia per la Cybersicurezza Nazionale / CSIRT Italia — notifiche e buone pratiche
4. Polizia Postale e delle Comunicazioni — denunce e segnalazioni

Verificate il 10 novembre 2026.

Approfondimenti