Il ransomware (software di estorsione o 'ransomware') è un malware che prende il controllo dei tuoi file o dell'intero dispositivo e li tiene in ostaggio finché non paghi. Non ruba il computer: chiude semplicemente la porta e ti chiede il prezzo della chiave.
Cos'è davvero un attacco ransomware e come puoi fermarlo? Ecco come si svolgono questi attacchi, cosa possono fare e come difenderti rendendoti un bersaglio molto più difficile.
- Il ransomware è un software di estorsione che cripta i file, blocca i dispositivi o ruba dati fino al pagamento di un riscatto.
- La maggior parte delle infezioni inizia con email di phishing, download dannosi, password compromesse o software non aggiornato.
- Gli attaccanti moderni spesso copiano i dati prima di crittografarli, perciò i backup da soli potrebbero non risolvere il problema.
- Pagare raramente è la scelta giusta: la decrittazione può fallire e i dati rubati possono comunque essere pubblicati.
- Backup isolati, aggiornamenti tempestivi, sicurezza degli account robusta e software di sicurezza riducono notevolmente il rischio.
- Se un dispositivo è infetto, scollegalo immediatamente e conserva la nota del riscatto come prova.
Cos'è il ransomware nella cybersecurity?
Nella cybersecurity, la definizione di ransomware è semplice: malware creato per estorcere. Blocca l'accesso ai file o al dispositivo, di norma tramite crittografia, e richiede un pagamento. Molte varianti rubano prima i dati, rendendolo oggi una delle minacce informatiche più gravi.
Il nome fonde "ransom" e "software" e descrive tanto un modello di business quanto il tipo di programma. Dove una minaccia come lo spyware guadagna restando nascosta, il ransomware paga solo quando la vittima sa che i file sono bloccati e capisce cosa vogliono gli aggressori.
Il ransomware è un virus?
Non esattamente. Entrambi sono tipi di malware, ma la denominazione riflette aspetti diversi. Un virus è definito dal modo in cui si propaga, inserendo copie di sé in altri file o programmi. Il ransomware è definito da ciò che fa: cripta i tuoi file e richiede un riscatto.
Come funziona il ransomware?
Il ransomware agisce per fasi. Il malware prima ottiene l'accesso a un dispositivo, poi individua i dati importanti, spesso li copia altrove, cripta i file e infine mostra la richiesta di riscatto.
Come ottengono l'accesso gli attaccanti?
Ci sono tre vie principali: email di phishing, credenziali rubate e software non aggiornato. Solo la prima richiede che qualcuno clicchi, perciò un'infezione può iniziare senza alcun download evidente.
Un messaggio di phishing si presenta come una fattura, un avviso di consegna o un collega, e l'allegato o il link installano il malware quando vengono aperti. Siti compromessi e download di software falsi funzionano allo stesso modo.
La via delle credenziali è più subdola. Una password esposta in una violazione non correlata può ancora funzionare su un portale di accesso remoto mesi dopo, offrendo all'attaccante un login valido invece di un punto d'appoggio da conquistare.
Il software non aggiornato elimina del tutto la necessità di inganno. L'attaccante sfrutta la falla e non è richiesto alcun intervento dell'utente.
Cosa succede dopo che gli attaccanti ottengono l'accesso?
Gli attaccanti raramente criptano tutto immediatamente. Prima mappano la rete, individuano i file più preziosi e li copiano sui propri server. Solo dopo cripto-grafano i file e consegnano la nota di riscatto, con una scadenza e la minaccia di pubblicare i dati rubati.
La ricognizione può durare giorni o settimane e si concentra di solito su ciò che la vittima non può permettersi di perdere, come le librerie fotografiche di un PC domestico o i record clienti e i backup di una rete aziendale.
Perché gli aggressori chiedono il pagamento?
La vittima è disposta a pagare molto di più per i propri file rispetto a quanto quei dati varrebbero sul mercato. I dati rubati vanno poi venduti a chi compra, a qualunque prezzo offra. Bloccare un'organizzazione ai suoi sistemi crea un acquirente che deve negoziare.
Quali sono alcuni esempi di ransomware?
Gli attacchi ransomware risalgono al 1989, quando un programma primitivo distribuito su floppy disk chiedeva il pagamento per posta, e si è evoluto costantemente dalla metà degli anni 2000. Due attacchi in particolare hanno cambiato le aspettative su quanto e quanto velocemente il ransomware può diffondersi.
WannaCry
A maggio 2017, WannaCry ha infettato circa 200.000 computer in circa 150 paesi nel giro di pochi giorni. Si è diffuso da solo sfruttando una falla in sistemi Windows non aggiornati, senza bisogno di email ingannevoli o click. Una patch per quella vulnerabilità era disponibile da settimane e le macchine che l'avevano installata sono rimaste intatte. WannaCry portò il ransomware in prima pagina e la lezione rimane: software non aggiornato può trasformare un'infezione in un'epidemia.
Maze e il ransomware moderno
Maze ha cambiato il playbook nel 2019. I suoi operatori hanno rubato i dati prima di criptarli e hanno pubblicato campioni delle vittime che rifiutavano di pagare, dimostrando che un buon backup non è più sufficiente. Questo approccio è diventato rapidamente la norma. Gruppi come LockBit, Akira e Qilin gestiscono oggi operazioni che somigliano a imprese, complete di portali di negoziazione e siti di leak.
Quali sono i principali tipi di ransomware?
I tipi di ransomware vengono solitamente classificati in base a ciò che il malware fa ai tuoi dati e al dispositivo più che in base al gruppo che lo sviluppa. In breve: cosa fa il ransomware? Cripta i tuoi file, blocca il dispositivo, ruba dati, o una combinazione di questi.
Crypto ransomware
Il crypto ransomware cripta singoli file usando forti tecniche di crittografia lasciando però il dispositivo operativo. Documenti, fogli di calcolo e foto restano visibili ma non si aprono, spesso rinominati con estensioni sconosciute. Il computer funziona il minimo indispensabile per mostrare la richiesta di riscatto.
Locker ransomware
Il locker ransomware blocca l'intero dispositivo invece dei singoli file. Un messaggio a schermo intero sostituisce il desktop e tastiera e mouse rispondono solo a quanto necessario per inserire i dettagli di pagamento. I file sottostanti sono spesso intatti, il che può rendere i locker più recuperabili rispetto al crypto ransomware.
Ransomware con furto di dati
Alcuni ransomware moderni danno priorità al furto di informazioni sensibili insieme alla crittografia o, in alcuni casi, invece di essa. L'estorsione avviene minacciando di esporre o vendere i dati rubati, quindi ripristinare i file da un backup non risolve il rischio per la privacy.
Cos'è la double extortion, la triple extortion e il Ransomware-as-a-Service?
Il ransomware è diventato un'industria e questi tre termini descrivono il modo in cui viene gestito più che il funzionamento del codice.
Double e triple extortion
La double extortion abbina la crittografia al furto di dati. Si paga per la chiave di decrittazione ma si può comunque ricevere una seconda richiesta per mantenere riservati i file rubati. La triple extortion aggiunge ulteriore pressione, come contattare i clienti della vittima, mettere offline servizi o molestare direttamente i dipendenti.
Cos'è il Ransomware-as-a-Service?
Ransomware-as-a-Service, o RaaS, funziona come un'attività in abbonamento. Gli sviluppatori costruiscono il malware e l'infrastruttura di pagamento, poi li noleggiano a criminali informatici che eseguono gli attacchi e dividono i proventi. Questo modello ha eliminato la necessità di competenze tecniche elevate e il numero di attaccanti attivi è cresciuto di conseguenza, contribuendo a rendere il ransomware una delle forme di cybercrime più redditizie. Spiega anche perché una stessa famiglia di ransomware può comparire in migliaia di attacchi non correlati.
Quali sono i segnali d'allarme del ransomware?
Il ransomware spesso si tradisce prima o durante l'attacco: riconoscerlo presto può limitare i danni. Se diversi dei segnali qui sotto compaiono insieme, tratta il dispositivo come infetto e agisci immediatamente.
Segni comuni di un'infezione
Presta particolare attenzione a questi sintomi:
- File che all'improvviso non si aprono più, o che hanno estensioni nuove e strane
- Una nota di riscatto che appare come file di testo, sfondo del desktop o pop-up
- Schermata bloccata che chiede il pagamento per ripristinare l'accesso
- Software di sicurezza disattivato senza il tuo intervento
- Attività insolita del disco o sistema visibilmente rallentato
- File su unità di rete, cartelle condivise o dispositivi collegati che diventano illeggibili
Come si presenta una nota di riscatto?
La maggior parte delle note di riscatto segue un modello: una dichiarazione che i file sono stati criptati o rubati, un prezzo in criptovaluta, istruzioni di pagamento o un canale di contatto, e una scadenza. Alcune inseriscono un conto alla rovescia o la minaccia di pubblicare i dati.
Se trovi una nota di riscatto, scollega immediatamente il dispositivo interessato ed evita di cancellare i file criptati finché non hai identificato la famiglia di ransomware.
Come si propaga il ransomware tra i tuoi dispositivi?
Entrare in una singola macchina è la parte facile per un attaccante. Il danno deriva da ciò che accade quando l'infezione si propaga verso l'esterno.
Unità di rete e cartelle condivise
Il ransomware considera la prima macchina come punto di partenza. Qualsiasi cosa che l'utente compromesso può aprire, il malware può aprirla, mettendo subito a rischio unità mappate e cartelle condivise. Alcune famiglie scandagliano anche la rete alla ricerca di altri dispositivi, ed è così che un singolo laptop può diventare un problema aziendale in poche ore.
Archiviazione cloud e backup
La sincronizzazione non è un backup. Se una cartella sul dispositivo infetto si sincronizza sul cloud, le versioni criptate possono sostituire automaticamente quelle sane. Anche gli attaccanti lo sanno e localizzare i backup per eliminarli è un passo di routine negli attacchi moderni.
Supporti rimovibili
USB drive e dischi esterni sono più semplici ma ancora efficaci. Qualsiasi cosa collegata al momento della crittografia è probabile venga criptata insieme al resto, quindi un'unità di backup lasciata sempre connessa offre meno protezione di quanto sembri.
Il filo conduttore è la connessione, per questo isolare presto un dispositivo infetto è così importante.
Quali danni può causare il ransomware?
La richiesta di riscatto è il costo più visibile di un attacco, ma per individui e aziende i danni si estendono ben oltre il riscatto stesso.
Effetti sugli individui
Per un utente domestico le perdite sono personali. Un decennio di foto di famiglia, documenti fiscali, archiviazione cloud e documenti salvati possono diventare inaccessibili in poche ore. Se gli aggressori hanno anche rubato dati, il furto di identità diventa una preoccupazione duratura. Molte vittime descrivono lo stress come la parte peggiore, che può persistere a lungo dopo la risoluzione tecnica del problema.
Effetti sulle aziende
Per un'organizzazione l'interruzione operativa è spesso la spesa maggiore. Ordini fermi, personale inattivo e clienti che vanno altrove mentre i sistemi vengono ricostruiti.
I dati rubati possono richiedere notifiche di violazione, esporre l'azienda a verifiche regolatorie e a conversazioni difficili con clienti le cui informazioni sono state divulgate. Le piccole imprese sono bersagli frequenti perché in genere hanno difese meno solide.
Come prevenire il ransomware?
Non esiste un modo per evitare completamente il ransomware, ma alcune semplici abitudini prevengono la maggior parte degli attacchi.
Esegui il backup dei tuoi dati
I backup trasformano un disastro in un inconveniente. Segui la regola 3-2-1, mantenendo tre copie dei dati su due diversi tipi di supporto con una copia conservata offline o offsite. Per la copia offline, usa un disco esterno scollegato o un servizio di backup dedicato invece della sincronizzazione cloud, che replica anche i file criptati.
Mantieni aggiornati software e dispositivi
Gli aggiornamenti chiudono le falle che il ransomware sfrutta, quindi attiva gli aggiornamenti automatici per sistema operativo, browser, applicazioni e software di sicurezza del computer.
Proteggi i tuoi account
Le credenziali rubate sono oggi una via d'accesso standard, quindi la sicurezza degli account è difesa contro il ransomware. Usa password uniche per ogni account, lascia che un password manager le memorizzi e attiva l'autenticazione a più fattori (MFA) ovunque sia disponibile. Dai priorità agli account che, se compromessi, possono fare più danni: email, archiviazione cloud e qualsiasi servizio che consenta accesso remoto ai dispositivi.
Usa software di sicurezza affidabile
Il software di sicurezza aggiunge lo strato che le buone abitudini non possono fornire, rilevando file dannosi, comportamenti sospetti e l'attività tipica di una crittografia in corso. Uno specifico strumento anti-ransomware può bloccare molti attacchi prima che i file vengano toccati. Consideralo come uno strato tra i molti, non come sostituto dei backup e degli aggiornamenti.
Ferma il ransomware prima che blocchi i tuoi file
Kaspersky Premium monitora l'attività di crittografia su cui si basa il ransomware e la blocca in tempo reale. L'anti-phishing annulla il modo più comune in cui iniziano le infezioni.
Prova Premium gratisCosa fare dopo un attacco ransomware?
Dopo un attacco ransomware l'obiettivo è contenere il danno e capire che cosa si ha di fronte, prima di prendere decisioni sulla ripresa.
Isola il dispositivo infetto
Scollega la macchina dalla rete Wi‑Fi e stacca qualsiasi cavo di rete non appena sospetti ransomware. Rimuovi dischi esterni e chiavette USB, e interrompi la sincronizzazione cloud da un altro dispositivo se possibile.
L'isolamento impedisce al malware di raggiungere cartelle condivise e altri dispositivi in rete. Se è un dispositivo di lavoro, informa immediatamente il team IT, perché potrebbe voler gestire la contenimento direttamente.
Conserva le prove e cerca aiuto qualificato
Conserva la nota di riscatto e non cancellare i file criptati. Entrambi possono aiutare a identificare la famiglia di ransomware, che determina se esiste un decrittatore gratuito. Fotografa ciò che vedi sullo schermo e annota quando è iniziato il problema.
Il progetto No More Ransom, gestito da forze dell'ordine e aziende di sicurezza, offre strumenti di identificazione e decrittatori legittimi senza costi. Segnalare l'attacco alle autorità locali può essere utile e, in alcuni casi, obbligatorio per le aziende.
Devi pagare il riscatto?
In genere il pagamento non è consigliato. Non c'è garanzia che la chiave di decrittazione arrivi o funzioni; alcune vittime pagano senza recuperare nulla. I dati rubati possono comunque essere divulgati o venduti, poiché la promessa di cancellazione del criminale non è verificabile. Pagare può anche etichettarti come «pagatore disposto», invitando ulteriori estorsioni, e in alcune giurisdizioni può comportare rischi legali.
I file criptati dal ransomware possono essere recuperati?
La possibilità di recupero dipende dal fatto che tu abbia backup integri o un decrittatore funzionante per la specifica famiglia di ransomware coinvolta.
Ripristinare file dai backup
I backup sono la via più affidabile per tornare operativi, con una condizione: ripristina solo dopo che il ransomware è stato completamente rimosso, altrimenti le copie fresche potrebbero essere nuovamente criptate. Un backup offline o offsite creato prima dell'infezione è l'ideale. Controlla anche la cronologia versioni del tuo servizio cloud, perché alcuni conservano copie precedenti che possono essere sopravvissute all'attacco. Testa i file ripristinati prima di considerare chiuso l'incidente.
Verificare l'esistenza di decrittatori legittimi
Esistono decrittatori gratuiti, ma solo per alcune famiglie di ransomware, solitamente quelle i cui sviluppatori hanno commesso errori o le cui chiavi sono state sequestrate dalla polizia. Lo strumento di identificazione di No More Ransom può riconoscere la variante da un file di esempio e indicare un decrittatore corrispondente se disponibile. Evita i download di "decrittatori gratuiti" trovati tramite risultati di ricerca, spesso usati come camuffamento per altro malware. Se oggi non esiste un decrittatore, conserva i file criptati: uno potrebbe essere rilasciato in futuro.
Articoli correlati:
- Cos'è il cybercrime: rischi e prevenzione
- Quali passaggi sono necessari per rimuovere un ransomware?
- Come prevenire efficacemente il ransomware sui tuoi dispositivi?
- Cosa sapere sul malware Cryptolocker?
Prodotti consigliati:
FAQs
Il ransomware può infettare gli smartphone?
Sì, principalmente Android. Arriva di solito tramite app sideloadate, aggiornamenti falsi o link dannosi, e più spesso blocca lo schermo piuttosto che criptare i file. Gli iPhone sono raramente colpiti, sebbene pop-up di truffa a volte imitino il ransomware per spaventare gli utenti e indurli a pagare.
Il ransomware prende di mira solo le aziende?
No. Le aziende attirano richieste più alte, ma gli individui vengono colpiti costantemente tramite phishing, download dannosi e siti infetti. Gli utenti domestici possono essere bersagli più facili, perché pochi mantengono backup isolati o eseguono software di sicurezza aggiornato su ogni dispositivo.
Il ransomware può diffondersi ad altri dispositivi nella mia rete?
Sì. Molte varianti scandagliano unità di rete, cartelle condivise e dispositivi collegati dopo aver infettato una macchina. La sincronizzazione cloud e unità sempre connesse possono replicare i file criptati anche sui backup. Scollegare il dispositivo infetto limita la propagazione.
Quanto dura un attacco ransomware?
La crittografia stessa può concludersi in minuti o ore. Ma gli aggressori che rubano dati prima possono passare giorni o settimane dentro una rete, dunque l'attacco visibile sembra improvviso solo perché la preparazione è avvenuta senza essere notata.
