Ransomware: cos'è, come entra e come si limita il danno

Una mattina i file del server condiviso hanno nomi strani e non si aprono più. Su alcuni computer compare un messaggio: i dati sono stati cifrati e per riaverli bisogna pagare, di solito in criptovalute. In molti casi c'è anche una seconda minaccia: i documenti sono stati copiati e verranno pubblicati se il riscatto non arriva.

È il ransomware, dall'inglese "ransom", riscatto. Negli ultimi anni ha colpito ospedali, Comuni, scuole, studi professionali e imprese di ogni dimensione, in Italia e nel mondo.

Come funziona

Un attacco ransomware raramente è istantaneo. Di solito segue alcune fasi.

Ingresso. Gli attaccanti entrano nella rete attraverso un punto debole: un'email con un allegato o un link dannoso, credenziali rubate per un accesso da remoto, un sistema esposto su internet con una vulnerabilità non corretta, un fornitore con accesso ai sistemi.

Esplorazione. Una volta dentro, si muovono con calma, a volte per giorni o settimane. Cercano account con più privilegi, mappano i server, individuano i dati di valore e, soprattutto, i backup.

Furto dei dati. Spesso copiano all'esterno documenti riservati, per avere una seconda leva di ricatto.

Cifratura. Infine attivano il programma che rende illeggibili i file, spesso di notte o nel fine settimana, quando la reazione è più lenta. Se riescono, cifrano o cancellano anche i backup raggiungibili.

Come entra, e come chiudere le porte

Le vie d'ingresso sono quasi sempre le stesse, e su ognuna chi lavora in ufficio può fare qualcosa.

• Email e allegati: attenzione ai file inattesi, ai documenti che chiedono di abilitare le macro, ai link verso pagine di accesso.
• Credenziali: password uniche, gestore di password, autenticazione a due fattori, soprattutto per posta e accessi da remoto.
• Aggiornamenti: accettarli senza rimandare, e segnalare dispositivi o programmi che non li ricevono più.
• Software non autorizzato: non installare programmi per conto proprio, specialmente strumenti di accesso remoto.

I segnali da notare

Alcuni segnali possono indicare un attacco in corso: file che cambiano estensione o non si aprono, cartelle con documenti di testo dal titolo insolito come "LEGGIMI" o "COME RECUPERARE I FILE", rallentamenti improvvisi di computer e server, programmi antivirus disattivati senza motivo, avvisi di accessi che non hai fatto.

Cosa fare se succede

Se pensi che il tuo computer sia coinvolto:

1. scollegalo dalla rete: stacca il cavo o disattiva il Wi-Fi, per evitare che l'infezione raggiunga altri sistemi;
2. non spegnerlo, a meno che l'assistenza non lo chieda: alcune informazioni utili all'analisi si trovano nella memoria del computer acceso;
3. avvisa subito l'assistenza informatica e il tuo responsabile, descrivendo cosa vedi;
4. non pagare e non contattare gli attaccanti di tua iniziativa: le decisioni spettano a chi gestisce l'incidente;
5. fotografa gli eventuali messaggi sullo schermo e annota l'ora.

Il ruolo del backup

Contro il ransomware, il backup è la difesa che permette di ripartire senza dipendere dagli attaccanti. A condizione che almeno una copia sia scollegata dalla rete o non modificabile, e che il ripristino sia stato provato. È una responsabilità dell'organizzazione, ma ognuno contribuisce salvando i documenti nelle cartelle protette e non solo sul proprio computer.

Esistono anche iniziative pubbliche, come il progetto europeo No More Ransom, che mettono a disposizione strumenti gratuiti per decifrare alcune famiglie di ransomware. Non funzionano sempre, ma vale la pena che chi gestisce l'incidente le consideri.

In sintesi

Il ransomware sembra un attacco sofisticato, ma entra quasi sempre da porte comuni. Chiudere quelle porte e reagire in fretta ai primi segnali sono le due cose che fanno la differenza tra un problema serio e una catastrofe.