Il ransomware è oggi una delle minacce informatiche più devastanti per le piccole e medie imprese italiane. Si tratta di un tipo di malware che cifra i dati aziendali rendendoli inaccessibili, per poi richiedere un riscatto — spesso in criptovaluta — in cambio della chiave di decifratura. Negli ultimi anni, gli attacchi non si limitano più alle grandi corporations: le PMI sono diventate bersagli privilegiati proprio perché spesso dispongono di risorse IT limitate e di difese meno strutturate rispetto alle grandi organizzazioni.

Secondo il Rapporto Clusit 2024, l'Italia si conferma uno dei Paesi europei più colpiti da attacchi informatici gravi, con una crescita costante degli incidenti classificati come critici o ad alto impatto. Le PMI rappresentano il tessuto produttivo del nostro Paese — oltre il 99% delle imprese italiane rientra in questa categoria secondo i dati ISTAT — e una loro compromissione può avere effetti devastanti non solo sull'azienda colpita, ma sull'intera filiera produttiva. Un'azienda manifatturiera bresciana che rimane ferma per una settimana a causa di un ransomware non paga solo il riscatto: paga in termini di commesse perse, reputazione danneggiata e sanzioni legate al GDPR.

La buona notizia è che proteggersi dal ransomware non richiede necessariamente budget da grande azienda. Richiede metodo, consapevolezza e strumenti appropriati. In questo articolo analizziamo le tre colonne portanti di una strategia di difesa efficace per le PMI italiane: una politica di backup robusta, la segmentazione della rete aziendale e un piano strutturato di risposta agli incidenti. Questi non sono concetti astratti: sono azioni concrete che ogni imprenditore o responsabile IT può iniziare a implementare già da domani.

Perché le PMI italiane sono nel mirino del ransomware

Per capire come difendersi, è utile capire perché le PMI sono diventate un obiettivo così appetibile. I criminali informatici operano seguendo una logica economica: cercano il massimo profitto con il minimo sforzo. Le grandi aziende investono milioni in cybersecurity, assumono team dedicati e dispongono di tecnologie avanzate. Le PMI, invece, spesso si affidano a un unico tecnico informatico esterno o a soluzioni improvvisate. Questo squilibrio rende le PMI bersagli relativamente facili ma comunque redditizi.

Un altro fattore critico è la dipendenza digitale crescente. Anche la piccola falegnameria artigianale oggi gestisce ordini, fatture, disegni tecnici e comunicazioni con i clienti attraverso sistemi digitali. Se questi dati vengono cifrati da un ransomware, l'attività si blocca. E i cybercriminali lo sanno: calibrano la richiesta di riscatto proprio sulla base di quanto l'azienda può permettersi di pagare per tornare operativa nel minor tempo possibile.

Esistono anche vulnerabilità tecniche specifiche molto diffuse nelle PMI italiane:

  • Software non aggiornato: molte aziende usano versioni di Windows o applicativi gestionali obsoleti, non più supportati dal produttore e quindi privi di patch di sicurezza.
  • Credenziali deboli: password come "azienda2023" o l'assenza di autenticazione a due fattori aprono le porte agli attaccanti.
  • Accesso remoto non protetto: durante e dopo la pandemia, molte PMI hanno abilitato il Remote Desktop Protocol (RDP) senza adeguata protezione, uno dei vettori d'attacco più sfruttati.
  • Mancanza di formazione: i dipendenti non adeguatamente formati sono vulnerabili al phishing, che rimane il principale vettore di infezione da ransomware.

Backup efficace: la prima e più importante linea di difesa

Se c'è una sola cosa che può salvare un'azienda dopo un attacco ransomware, quella cosa si chiama backup. Ma attenzione: non tutti i backup sono uguali. Molte PMI credono di avere un backup adeguato salvo poi scoprire, nel momento peggiore, che il backup era collegato alla stessa rete infetta e quindi anch'esso cifrato, oppure che l'ultimo ripristino funzionante risale a mesi prima.

La strategia di backup più efficace per le PMI si chiama regola del 3-2-1: mantenere almeno 3 copie dei dati, su 2 tipi di supporto diversi, con almeno 1 copia offline o fuori sede. In pratica, questo può significare avere i dati sul server aziendale, una copia su un NAS (Network Attached Storage) in azienda e una terza copia su cloud o su un disco rigido esterno conservato fisicamente in un luogo diverso. La copia offline è fondamentale: un ransomware non può cifrare un disco che non è connesso alla rete.

Esistono però concetti ancora più avanzati e oggi accessibili anche alle PMI:

  • Backup immutabili: alcune soluzioni cloud e on-premise permettono di creare backup che non possono essere modificati o cancellati per un periodo definito, anche se le credenziali amministrative vengono compromesse.
  • Snapshot frequenti: invece di un backup giornaliero notturno, si possono fare snapshot ogni ora. Questo riduce la perdita di dati in caso di attacco (RPO — Recovery Point Objective) da 24 ore a 60 minuti.
  • Test di ripristino regolari: un backup non testato è un backup di cui non ci si può fidare. Pianifica almeno un test di ripristino completo ogni trimestre.
  • Separazione delle credenziali: l'account che gestisce i backup deve essere diverso dall'account amministratore della rete. Se un ransomware compromette l'admin, non deve poter raggiungere i backup.

Un esempio pratico: un'azienda tessile di Como con 30 dipendenti può implementare una soluzione di backup su cloud con retention di 30 giorni per circa 150-200 euro al mese. Se confrontato con il costo medio di un fermo operativo da ransomware — che secondo stime di settore può superare i 10.000 euro al giorno — si tratta di un investimento con un ritorno evidente.

Segmentazione di rete: limitare il danno quando l'attacco riesce

Nessuna difesa è infallibile. Anche con il miglior backup del mondo, è fondamentale limitare la diffusione del ransomware all'interno della rete aziendale. È qui che entra in gioco la segmentazione di rete: una tecnica che consiste nel dividere la rete aziendale in zone separate, in modo che un'infezione in un segmento non possa propagarsi automaticamente agli altri.

Immagina la rete aziendale come un edificio. Senza segmentazione, è come un open space: se scoppia un incendio in un angolo, brucia tutto. Con la segmentazione, è come avere stanze con porte tagliafuoco: il fuoco si propaga più lentamente e in alcuni casi viene contenuto prima che raggiunga le aree critiche. In termini informatici, questo significa che anche se un PC in ufficio viene infettato aprendo una email di phishing, il ransomware non dovrebbe riuscire a raggiungere il server del gestionale ERP o il sistema di fatturazione.

Le misure pratiche di segmentazione per una PMI includono:

  • VLAN (Virtual LAN): separare logicamente il traffico di rete per categorie — ad esempio VLAN per workstation, VLAN per server, VLAN per dispositivi IoT e macchinari, VLAN per ospiti WiFi.
  • Firewall interno: non solo un firewall perimetrale verso Internet, ma anche regole che controllano il traffico tra i diversi segmenti della rete interna.
  • Principio del minimo privilegio: ogni utente e ogni sistema deve avere accesso solo alle risorse strettamente necessarie per svolgere la propria funzione. Un dipendente della contabilità non ha bisogno di accedere ai file di progettazione tecnica.
  • Isolamento dei sistemi critici: il server che gestisce la produzione o il database clienti deve essere in un segmento protetto, accessibile solo dai sistemi e dagli utenti che ne hanno realmente bisogno.
  • Rete ospiti separata: il WiFi che offrono ai visitatori deve essere completamente separato dalla rete aziendale interna.

La segmentazione non richiede necessariamente hardware costoso. Molti router e switch business di fascia media supportano le VLAN. Un tecnico IT competente può implementare una segmentazione di base per una PMI in poche giornate di lavoro, con investimenti contenuti. L'importante è partire da una mappatura chiara di quali sistemi esistono in azienda e quali comunicazioni sono realmente necessarie.

Piano di risposta agli incidenti: cosa fare nelle prime ore critiche

Anche con backup perfetti e rete segmentata, un ransomware potrebbe comunque causare danni. La differenza tra un'azienda che si riprende in 48 ore e una che rimane ferma per settimane spesso non dipende dalla tecnologia, ma da quanto bene erano preparati a gestire l'emergenza. Un Piano di Risposta agli Incidenti (IRP — Incident Response Plan) è un documento operativo che definisce esattamente chi fa cosa, e in quale ordine, quando viene rilevato un attacco.

Le prime ore dopo la scoperta di un ransomware sono le più critiche. Ogni minuto in cui i sistemi infetti rimangono connessi alla rete è un minuto in cui il malware si diffonde. Senza un piano, il panico porta a decisioni sbagliate: riavviare i server infetti (spesso peggiora la situazione), pagare immediatamente il riscatto (non garantisce il recupero dei dati), non notificare gli enti competenti (obbligatorio in certi casi per il GDPR).

Un piano di risposta agli incidenti efficace per una PMI deve includere almeno questi elementi:

  1. Rilevamento e identificazione: Come si accorge l'azienda dell'attacco? Chi riceve la prima segnalazione? Quali sono i segnali da non ignorare (file con estensioni strane, rallentamenti improvvisi, messaggi di riscatto)?
  2. Contenimento immediato: Disconnettere fisicamente dalla rete i sistemi potenzialmente infetti (staccare il cavo di rete, non solo disattivare il WiFi). Identificare l'estensione dell'infezione prima di agire.
  3. Lista di contatti di emergenza: Il numero del fornitore IT, del provider di backup, del consulente legale, del DPO (Data Protection Officer) se presente, e dei numeri di emergenza come il CSIRT Italia (Computer Security Incident Response Team nazionale).
  4. Procedura di ripristino: In quale ordine si ripristinano i sistemi? Prima il server di posta o il gestionale? Chi autorizza il ripristino da backup?
  5. Comunicazione interna ed esterna: Cosa si dice ai dipendenti? Cosa si comunica ai clienti? Come si gestisce la comunicazione verso i fornitori?
  6. Obblighi normativi: In caso di violazione di dati personali, il GDPR prevede la notifica al Garante Privacy entro 72 ore. Questo deve essere pianificato in anticipo.

Il piano va scritto, stampato e conservato anche in formato fisico — perché in caso di ransomware i computer potrebbero essere inaccessibili. Va aggiornato almeno una volta all'anno e va esercitato con simulazioni periodiche. Come per i backup, un piano mai testato è come non avere un piano.

Domande frequenti

Conviene pagare il riscatto in caso di attacco ransomware?

La risposta degli esperti di sicurezza è generalmente no, per diverse ragioni. Prima di tutto, pagare il riscatto non garantisce il recupero dei dati: in molti casi documentati i criminali hanno preso i soldi senza fornire la chiave di decifratura, o hanno fornito strumenti che decifravano solo parzialmente i file. In secondo luogo, pagare finanzia le organizzazioni criminali e le incentiva a continuare. Terzo, le aziende che pagano vengono spesso registrate come bersagli affidabili e subiscono attacchi successivi. Infine, in alcuni Paesi pagare riscatti a gruppi criminali soggetti a sanzioni internazionali può avere implicazioni legali. La vera alternativa al pagamento è avere backup affidabili e un piano di risposta pronto.

Come posso capire se la mia PMI è già stata compromessa senza che me ne sia accorto?

Questa è una domanda importantissima, perché i moderni attacchi ransomware prevedono una fase di dwell time — il tempo in cui i criminali sono già dentro la rete prima di attivarsi — che può durare settimane o mesi. Segnali da non ignorare includono: rallentamenti inspiegabili dei sistemi, tentativi di login falliti nei log di sistema, account utente che accedono a orari insoliti, file modificati senza motivo apparente, antivirus disabilitato inaspettatamente. Uno strumento utile per le PMI è il vulnerability assessment periodico, che analizza la rete alla ricerca di vulnerabilità note. Molti fornitori IT offrono questo servizio a costi accessibili.

Quali sono gli obblighi di legge per una PMI italiana in caso di attacco ransomware?

Se l'attacco comporta una violazione di dati personali — il che accade nella maggior parte dei casi di ransomware, dato che i dati cifrati spesso includono informazioni su clienti, dipendenti o fornitori — il GDPR (Regolamento UE 2016/679) impone obblighi precisi. Il titolare del trattamento deve valutare il rischio per le persone fisiche e, se questo rischio è elevato, notificare sia il Garante per la Protezione dei Dati Personali (entro 72 ore dalla scoperta) sia gli interessati (clienti, dipendenti) senza ingiustificato ritardo. Mancate notifiche possono comportare sanzioni amministrative significative. È quindi fondamentale che il piano di risposta agli incidenti includa una procedura specifica per questa valutazione.

Quanto costa implementare una protezione base dal ransomware per una PMI?

I costi variano molto in base alla dimensione aziendale e alle soluzioni scelte, ma è possibile fare stime indicative. Una soluzione di backup su cloud con retention adeguata per una PMI di 20-50 dipendenti può costare tra 100 e 400 euro al mese. Un intervento di segmentazione di rete base da parte di un tecnico IT qualificato può richiedere 1-3 giornate di lavoro. La redazione di un piano di risposta agli incidenti personalizzato può richiedere una consulenza di alcune ore. La formazione anti-phishing per i dipendenti, fondamentale, può essere erogata anche con strumenti online a costi contenuti. Complessivamente, una PMI di medie dimensioni può mettere in piedi un livello di protezione adeguato con un investimento iniziale nell'ordine di poche migliaia di euro e costi ricorrenti di poche centinaia di euro al mese. Comparato al costo medio di un incidente ransomware, è un investimento con ritorno evidente.

Conclusione

Il ransomware rappresenta una minaccia concreta e crescente per le PMI italiane, ma non è una minaccia inevitabile. Come abbiamo visto, una strategia di difesa efficace si basa su tre pilastri fondamentali: backup robusti e testati regolarmente, segmentazione della rete aziendale e un piano di risposta agli incidenti scritto, condiviso e praticato. Nessuno di questi elementi da solo è sufficiente, ma insieme creano una resilienza che può fare la differenza tra un incidente gestito e una catastrofe aziendale.

La cybersecurity non è un progetto che si termina: è un processo continuo che richiede aggiornamento costante, formazione dei dipendenti e revisione periodica delle misure adottate. La minaccia evolve, e le difese devono evolversi con essa. Il momento migliore per iniziare era ieri; il secondo momento migliore è oggi.

Hai bisogno di valutare il livello di sicurezza della tua azienda? Non aspettare di subire un attacco per scoprire le tue vulnerabilità. Contatta un esperto IT specializzato in cybersecurity per le PMI: un vulnerability assessment iniziale può rivelare rischi che non sapevi di avere e permetterti di agire con priorità chiare e budget definito. Investire nella sicurezza informatica oggi significa proteggere il lavoro di anni domani.