Una piccola azienda manifatturiera, un venerdì sera, un ransomware che blocca tutto. Uno scenario costruito su casi tipici per capire quali decisioni deve prendere chi guida l'impresa, e quando.
Questo scenario è inventato, ma costruito su dinamiche che si ripetono in moltissimi attacchi a piccole e medie imprese. L'azienda, che chiameremo Alfa Meccanica, ha 60 dipendenti, un piccolo ufficio informatico affiancato da un fornitore esterno e un gestionale che regola ordini, magazzino e produzione.
Il sistema di monitoraggio del fornitore segnala un'attività insolita su un server. Nessuno lo legge: il contratto prevede assistenza solo in orario d'ufficio.
Il capoturno della produzione non riesce ad aprire il gestionale. Sui computer dell'ufficio compare un file "LEGGIMI" con una richiesta di riscatto in criptovaluta e la minaccia di pubblicare i dati rubati. Chiama il responsabile di stabilimento, che chiama il titolare.
Decisione 1: chi guida la crisi? Alfa Meccanica non ha un piano scritto. Il titolare deve decidere al momento chi coordina, chi parla con chi, chi può spendere soldi per un intervento urgente. Si perdono due ore a rintracciare persone e numeri.
Il fornitore informatico arriva in sede. Si scollegano i sistemi dalla rete per fermare la diffusione. Si scopre che i backup sul server di rete sono stati cifrati anch'essi. Resta una copia su disco esterno, fatta due settimane prima e conservata in un cassetto.
Decisione 2: chi coinvolgere? Il titolare chiama la compagnia assicurativa: la polizza cyber prevede un numero di emergenza e un team di specialisti. Senza la polizza, avrebbe dovuto cercare in fretta un'azienda specializzata in risposta agli incidenti.
Gli specialisti iniziano l'analisi. Primi indizi: l'ingresso è avvenuto tre settimane prima, tramite le credenziali di un accesso remoto senza autenticazione a più fattori. Gli attaccanti hanno copiato all'esterno documenti con dati di dipendenti e clienti.
Decisione 3: quali obblighi? Sono coinvolti dati personali: l'azienda, come titolare del trattamento, deve valutare la notifica al Garante entro 72 ore dalla scoperta. Si contatta il consulente privacy. Si decide anche di presentare denuncia alla Polizia Postale.
Decisione 4: pagare? Gli attaccanti chiedono una cifra pari a mesi di utile. Il titolare si confronta con specialisti, legale e assicurazione. Pagare non garantisce né la restituzione dei dati né la loro mancata pubblicazione. Si decide di non pagare e di ripartire dal backup di due settimane prima.
Decisione 5: cosa dire? I clienti principali aspettano consegne. Il titolare telefona personalmente ai più importanti, spiegando la situazione senza dettagli tecnici e indicando tempi realistici. Ai dipendenti viene data una comunicazione chiara su cosa possono e non possono fare. La banca viene avvisata per prestare attenzione a richieste insolite.
Il gestionale torna operativo dopo sei giorni. Due settimane di dati vanno ricostruite da carta, email e documenti dei clienti. La produzione recupera il ritardo in un mese. Viene inviata la notifica al Garante e, poiché i dati rubati comprendono informazioni delicate sui dipendenti, si informano anche loro.
Un ransomware è un problema tecnico che si trasforma subito in una serie di decisioni da imprenditore. Prepararle prima, con calma, è la differenza tra una settimana difficile e una crisi che mette a rischio l'azienda.
File illeggibili, sistemi bloccati e una richiesta di riscatto: il ransomware è tra gli attacchi più temuti da aziende ed enti. Come funziona e cosa può fare ciascuno per prevenirlo e contenerlo.
Durante un attacco non c'è tempo per decidere chi fa cosa. Gli elementi di un piano semplice, preparato prima, che permette di reagire in fretta e senza confusione.
È successo a moltissimi. Quello che conta è cosa fai subito dopo: i passaggi, in ordine, per limitare il danno e aiutare chi deve intervenire.