Pagare il riscatto: sette ragioni per non farlo, e cosa fare se lo fai

Pubblicato l’8 febbraio 2017, riscritto integralmente il 23 agosto 2026. I commenti in fondo sono quelli raccolti all’epoca.

Quando l’azienda è ferma e il preventivo per ripartire è più alto del riscatto, «paghiamo e non se ne parla più» sembra la decisione pragmatica. Ho visto prendere quella strada diverse volte, e ho visto com’è andata a finire. Questo articolo raccoglie le ragioni per cui la sconsiglio — non quelle morali, che sono le più facili da liquidare, ma quelle che riguardano i tuoi soldi e la tua operatività.

Comincio da tre cose che erano vere nel 2016 e lo sono ancora, poi da quattro che allora non esistevano.

1. Pagheresti chi ti ha già truffato

Il punto di partenza è banale ma vale la pena dirlo: la persona a cui stai per mandare dei soldi è la stessa che ti ha attaccato. L’unica garanzia che ti offre è la sua parola.

È come lasciare una borsa piena di contanti in una stazione e allontanarsi, sperando che qualcuno ti restituisca quello che è già tuo. Detto così sembra assurdo — e infatti lo è. Sembra ragionevole solo perché in quel momento sei nel panico, e il panico è esattamente il contesto in cui l’operazione è stata progettata per essere proposta.

2. Finanzieresti la campagna successiva

Dal punto di vista etico basterebbe questo. Ma c’è anche un aspetto pratico: quel denaro non finisce in un materasso, viene reinvestito in nuove campagne di diffusione — cioè nella prossima ondata di email che arriverà a te e alle aziende che conosci.

Anni fa ho assistito al pagamento di un riscatto. Con i Bitcoin non si può sapere chi c’è dietro un indirizzo, ma si può vedere quanto ha incassato. Quel conto era ben oltre gli ottanta milioni di dollari.

Non è un dettaglio da appassionati: è la dimostrazione che dall’altra parte non c’è un ragazzo in cantina, ma un’attività con margini industriali. E quei margini li fanno le persone che pagano.

3. Non hai nessuna garanzia di riavere i file

Molte persone si sono rivolte a me dopo aver pagato. Alcune non erano nemmeno riuscite a completare il pagamento, e per fortuna. Altre avevano pagato e non avevano più ricevuto risposta.

Questa parte, negli anni, è cambiata solo in peggio — e qui comincia quello che nel 2016 non potevo scrivere.

4. Anche quando funziona, spesso non funziona bene

C’è un equivoco diffuso: che pagando si prema un pulsante e i file tornino. Nella realtà ricevi un programma scritto da criminali, e la qualità è quella che ti aspetteresti.

Il caso più istruttivo è quello di Colonial Pipeline, l’oleodotto che nel maggio 2021 rifornisce buona parte della costa orientale degli Stati Uniti. Colpiti da DarkSide, pagano nel giro di poche ore: 75 bitcoin, circa 4,4 milioni di dollari. Ricevono il programma di decifratura.

La storia ha una coda che vale la pena conoscere: un mese dopo il Dipartimento di Giustizia americano ha sequestrato 63,7 dei 75 bitcoin, circa 2,3 milioni di dollari, seguendo i movimenti sulla catena delle transazioni fino a un portafoglio di cui è riuscito a ottenere la chiave. È un’eccezione, non la norma — ma dice una cosa utile: i pagamenti in criptovaluta non sono invisibili, sono soltanto scomodi da seguire. È anche il motivo per cui denunciare serve, e non solo a te.

Non è un caso isolato, ed è comprensibile sul piano tecnico. Quei programmi vengono scritti per incassare, non per funzionare bene: decifrano un file per volta senza sfruttare i processori moderni, si fermano al primo errore, non sanno riprendere da dove si erano interrotti. Su un server con milioni di file piccoli possono impiegare giorni. E i file danneggiati durante la cifratura restano danneggiati anche dopo: succede persino con gli strumenti scritti dai ricercatori, figuriamoci con i loro.

La domanda giusta quindi non è «quanto costa il riscatto», ma «quanto ci metto a tornare operativo nei due scenari». Ed è una domanda a cui puoi rispondere solo se il ripristino dal backup lo hai provato prima.

5. Oggi non paghi per i file: paghi per il silenzio

È il cambiamento più profondo, e rende obsoleta gran parte di quello che si diceva sul pagare.

Negli attacchi degli ultimi anni i dati vengono copiati prima di essere cifrati. La cifratura serve a fermarti; l’esfiltrazione serve a ricattarti. E quando paghi la seconda richiesta, non stai comprando una chiave: stai comprando la promessa che qualcuno cancelli dei file che sono già su un server che non controlli.

Quella promessa non è verificabile in alcun modo. Non esiste una ricevuta di cancellazione, non esiste un modo per sapere quante copie esistono e in quante mani.

C’è una lezione dentro la lezione: quelle organizzazioni sono filiere, non bande. Chi scrive il programma, chi entra nella rete e chi tratta il riscatto sono soggetti diversi con interessi diversi. Anche ammesso che chi tratta con te sia in buona fede, non ha il controllo su tutte le copie.

6. Chi paga viene attaccato di nuovo

Questa è la parte che colpisce di più chi me la sente dire per la prima volta, perché ribalta l’idea che pagare chiuda la faccenda.

Il motivo è più banale del previsto. Chi ha pagato ha dimostrato due cose: che i suoi dati valgono abbastanza, e che è disposto a pagare. In un mercato dove gli accessi alle reti si comprano e si vendono, quella è un’informazione commerciale. Pagare non ti toglie dal mirino: ti mette in un elenco.

E la seconda volta arriva presto perché di solito nessuno ha chiuso la porta da cui erano entrati la prima.

7. Il lato legale, che nel 2016 non esisteva

Pagare non è vietato in sé, ma non è nemmeno un atto neutro, e negli ultimi anni il quadro si è irrigidito.

Diverse organizzazioni criminali sono soggette a sanzioni internazionali. Pagare un soggetto sanzionato — o farlo pagare a un intermediario per conto tuo — può costituire una violazione, e negli Stati Uniti l’autorità competente ha chiarito che la responsabilità è oggettiva: si risponde anche non sapendo chi ci fosse dall’altra parte. Il punto pratico è che nel momento in cui paghi, non sai a chi stai pagando, e quindi non puoi escludere il rischio.

Sul piano nostrano c’è un aspetto più concreto e più immediato: pagare non ti esonera da nulla. Se sono stati toccati dati personali, la violazione va comunque notificata al Garante entro settantadue ore, e per i soggetti che ricadono nella NIS2 c’è il preallarme entro ventiquattro. Chi paga sperando che «così non se ne accorge nessuno» sta aggiungendo un secondo problema al primo — e le sanzioni per l’omessa notifica arrivano da un’autorità che, a differenza dei criminali, ti trova.

Il precedente che dovrebbe bastare da solo

Se tutto il resto sembra troppo teorico, c’è un episodio che chiude il discorso.

Nel 2019 il gruppo dietro GandCrab annuncia di ritirarsi e cancella tutte le chiavi. Da quel momento chi paga non riceve più niente: i soldi partono, la chiave non arriva, e non c’è nessuno a cui protestare.

Poche settimane dopo Bitdefender, lavorando con Europol e le polizie di più paesi, pubblica il programma di decifratura gratuito. Chi aveva atteso ha recuperato i file. Chi aveva pagato negli ultimi giorni ha perso i soldi e i file.

L’ho raccontato per esteso in dieci anni di ransomware, insieme a tutte le volte in cui una soluzione gratuita è arrivata dopo — perché la polizia ha sequestrato un server, perché qualcuno ha trovato l’errore, o perché i criminali stessi hanno chiuso e consegnato le chiavi.

E se pagano lo stesso?

Succede, e non ho intenzione di fingere il contrario. Ci sono situazioni — un ospedale fermo, un’azienda senza backup con le buste paga bloccate — in cui la decisione la prende chi ne risponde, non chi scrive articoli.

Se si arriva lì, però, va fatto con la testa e non con il telefono in mano alle due di notte:

• Non trattare da solo e non trattare subito. Esistono professionisti che lo fanno di mestiere; la fretta è il loro strumento, non il tuo.
• Prima di qualunque cosa, verifica se esiste già una soluzione gratuita per quella variante: succede più spesso di quanto immagini, e l’ho messo in fila nell’elenco per estensione.
• Pretendi la prova di decifratura su più file di tipo diverso, non su uno solo: è l’unico modo per sapere se la chiave che hanno è davvero quella giusta.
• Chiudi la porta prima di ripristinare. Se ripristini mentre sono ancora dentro, ti cifrano una seconda volta — e la seconda volta è peggio della prima.
• Fai comunque le notifiche. Il pagamento non le sostituisce.
• Conserva tutto: file cifrati, richieste, comunicazioni. Servono per l’analisi, per la denuncia e per un eventuale recupero futuro.

La verità scomoda

La decisione sul riscatto non si prende quando arriva la richiesta. Si prende mesi prima, il giorno in cui qualcuno decide se il backup vale la spesa e se qualcuno deve provarlo.

Le aziende che ho visto rispondere «no» senza esitare non erano più coraggiose delle altre: erano quelle che avevano un’alternativa. Chi non ce l’ha non sta scegliendo — sta contrattando da una posizione in cui l’unica cosa che gli resta è sperare nella parola di un criminale.

Le dieci verifiche che rendono possibile quel «no» sono in come non ritrovarsi con i file criptati. Se invece è già successo, si comincia da cosa fare nelle prime ore.

Vale anche la pena ricordare con chi si sta trattando: dall’altra parte non c’è un programma, ma qualcuno che è entrato nella rete e ha deciso lui quando far scattare la cifratura.