6.403 volte: cosa mi hanno insegnato dieci anni di file criptati

Da dieci anni tengo il conto. Ogni persona che mi ha scritto dopo un attacco ransomware, ogni file cifrato che mi ha mandato, ogni risposta che ho dato. Oggi apro l’archivio e vi mostro i numeri: 6.403 persone e 9.698 file, dal 2016 a oggi. Ma a farmi cambiare mestiere è stato un numero molto più piccolo, e molto più scomodo.

Dieci anni in tre numeri

Che cosa vuol dire rispondere a tutti

Di quelle 6.403 persone, 5.862 hanno caricato almeno un file. In tutto ho analizzato 9.698 file cifrati: quasi diecimila volte ho aperto qualcosa che qualcuno aveva perso.

Ogni file è stato verificato e ogni persona ha ricevuto una risposta. Anche — soprattutto — quando la risposta era che non c’era niente da fare.

C’è un dettaglio di quei novemila file che dice più di qualsiasi statistica. Ho guardato che tipo di documento fosse, sotto l’estensione del ransomware, il file che le persone sceglievano di mandarmi come campione. Al primo posto, staccatissimo, ci sono 1.503 fotografie. Poi 574 PDF, 348 documenti Word, 215 fogli di calcolo.

Quando devi scegliere un file da far vedere a uno sconosciuto per capire se i tuoi dati sono perduti, scegli quello che ti fa più male aver perso. E quasi sempre è una fotografia.

Questa è la parte che non si fattura e di cui nessuno parla. Chi lavora in questo campo di solito risponde quando c’è un lavoro da vendere: se il caso è disperato, il messaggio resta senza risposta. Io ho scelto il contrario, per una ragione pratica prima che etica. Una persona a cui hai detto la verità smette di cercare miracoli — e smette di consegnare i propri dati a chi promette recuperi che non esistono.

La curva

Il picco è il 2017. Poi la discesa, fino alle quattordici persone di quest’anno.

Il 2019 vale ancora 869 persone: sessantadue volte quelle di quest’anno. Ma il calo non significa che il ransomware sia finito — i rapporti nazionali dicono l’opposto, con 181 eventi in Italia nei soli primi sei mesi del 2026. Significa che sono cambiate le vittime. Nel 2016 e 2017 le campagne erano a strascico: milioni di email, e chiunque poteva finirci dentro. Oggi gli attacchi sono mirati, colpiscono meno bersagli e molto più grossi, e quei bersagli non caricano un file su un sito: chiamano un legale.

Marzo 2017: sedici al giorno

Dietro la colonna più alta di quel grafico c’è un mese preciso. Nel marzo del 2017 mi hanno scritto 483 persone in trentun giorni. Sedici al giorno, tutti i giorni, per un mese intero. L’otto marzo ne sono arrivati quarantatré.

Di quel mese però ricordo soprattutto gli orari. Nell’archivio ci sono 563 caricamenti dopo le otto di sera e 126 fra mezzanotte e le sei del mattino. Il sabato e la domenica messi insieme fanno quasi novecento.

Il ransomware non guarda il calendario. Lo scopri quando accendi il computer, e se lo accendi di domenica sera per finire una cosa, lo scopri di domenica sera. Alle tre del mattino un file non lo carichi per lavoro. Lo carichi perché non riesci a dormire.

È in quel periodo che ho capito una cosa banale e importante. Quasi tutti, prima ancora di chiedermi se i file fossero recuperabili, mi chiedevano se dovevano pagare. Volevano soprattutto qualcuno che dicesse loro se stavano per fare una sciocchezza — e nella maggior parte dei casi la risposta era sì.

Le famiglie che ho visto passare

Su 1.800 casi sono riuscito a risalire con certezza alla famiglia, deducendola dall’estensione lasciata sui file.

Il quadro completo di queste famiglie, con le strade di recupero quando esistono, è in dieci anni di ransomware. Di CryptoPEC ho scritto a parte, perché è l’unica volta in cui siamo riusciti a fermare una campagna invece di limitarci a curarne le vittime.

Due su tre non avevano scampo

Ed è qui che il mestiere è cambiato. Presi i 1.800 casi in cui so con cosa avevo a che fare, questa è la distribuzione delle possibilità reali.

Un terzo aveva una speranza concreta. Un terzo dipendeva dalla fortuna. Un terzo non ne aveva nessuna. Locky, Cerber, Crypt0L0cker, Sage: per quelle famiglie non è mai esistito e non esisterà mai un modo di riavere i file senza la chiave dei criminali.

Vuol dire che due volte su tre, nel momento in cui una persona mi scriveva, la partita era già chiusa. Potevo dirlo con precisione e in fretta, il che ha un valore. Ma non potevo fare niente.

Il dettaglio che mi ha tolto le ultime illusioni

C’è un particolare, dentro quei numeri, che ho scoperto solo adesso e che mi ha impressionato.

TeslaCrypt è la famiglia più frequente del mio archivio: 482 casi. Ed è anche una delle poche con un finale felice — il 19 maggio 2016 gli autori hanno chiuso baracca e pubblicato la chiave principale. Da quel giorno chiunque, gratis, poteva riavere i propri file: ESET ha rilasciato subito uno strumento che copre tutte le versioni, comprese le estensioni `.micro` e `.mp3`.

Nel mio archivio, 454 dei 482 casi TeslaCrypt sono arrivati dopo quel giorno. Continuano fino al 2025: nove anni dopo che la soluzione era pubblica e gratuita.

Ho passato anni a rispondere una per una, e le risposte erano sempre le stesse quattro o cinque. Quando ti accorgi che il tuo lavoro è ripetere lo stesso messaggio a migliaia di persone che arrivano troppo tardi, cominci a chiederti se non convenga arrivare prima tu.

Le 137 persone che sono tornate

C’è un ultimo numero, e per me è il più eloquente di tutti.

Nell’archivio 137 persone hanno un primo e un ultimo contatto distanti più di un anno. Ottantasei più di due anni. Erano tornate perché era successo di nuovo.

In alcuni casi si vede anche dai file: la stessa persona con l’estensione di una famiglia nel 2017 e quella di un’altra famiglia due anni dopo. Uno di loro è stato colpito da CryptoPEC nella primavera del 2017 e da FTCODE nell’autunno del 2019.

Essere stati vittime una volta non protegge dalla seconda. Non insegna niente, di per sé — perché quello che aveva permesso il primo attacco era ancora lì, identico, il giorno dopo che i file erano tornati o erano stati dati per persi. Nessuno era andato a chiudere la porta, perché nessuno sapeva quale fosse.

2018: smettere di rincorrere

Nel 2018 ho fondato Dottor Marc insieme a Claudio Marchesini, con cui l’anno prima avevamo affrontato la campagna CryptoPEC.

La decisione di fondo è stata questa: smettere di misurare il nostro valore da quanti file riuscivamo a riportare indietro, e cominciare a misurarlo da quante volte non serviva. Se due terzi dei casi non hanno rimedio, l’unico lavoro che sposta davvero qualcosa è quello che si fa prima.

È una conclusione aritmetica, arrivata dopo seimila conversazioni.

Nel frattempo gli attacchi sono cambiati

Quella decisione, presa nel 2018 guardando i nostri casi, si è rivelata giusta per ragioni che allora non potevamo conoscere. Gli attacchi sono cambiati esattamente nella direzione che rende inutile il recupero e decisiva la ricognizione.

Nel rapporto Sophos di quest’anno, condotto su 2.158 responsabili informatici in diciassette paesi, Italia compresa, il 79% degli attacchi ransomware parte da un’identità compromessa. Il punto di partenza sono credenziali valide finite nelle mani sbagliate.

Vuol dire che oggi chi entra non «buca» niente. Entra dalla porta, con le chiavi giuste. E una volta dentro si muove con calma: resta giorni o settimane, guarda dove sono i backup, li cancella, e solo alla fine fa partire la cifratura. Quando te ne accorgi, ha già tolto le alternative — è il motivo per cui un backup normale non basta più.

Contro questo, un servizio di recupero file è una benda su una gamba rotta. L’unica cosa che funziona è sapere prima quante porte esistono e chi ne ha le chiavi.

Da dove entravano, davvero

La domanda successiva era: prima di cosa, esattamente? Guardando i casi tutti insieme, gli ingressi si ripetevano con una monotonia quasi noiosa.

Quattro punti su cinque non riguardano il comportamento di nessuno. Riguardano cose che esistono e che nessuno sta guardando.

Non si difende quello che non si sa di avere

C’è un’espressione tecnica per questo insieme di cose: superficie di attacco. Suona astratta e invece è concretissima. È l’elenco di tutti i punti da cui qualcuno, dall’esterno, potrebbe entrare.

Nella mia esperienza la scoperta più frequente, facendo quell’elenco, è banale — e proprio per questo grave: l’azienda non sapeva che quella cosa fosse accesa. Il server di un progetto chiuso tre anni fa. L’accesso di un consulente che ha cambiato lavoro. Il pannello di una macchina installata dal fornitore.

È un problema di inventario, prima ancora che di prodotti. E fra l’altro fare quell’inventario conviene due volte, perché quello che spegni non si fa attaccare e non consuma.

Come si guarda una superficie di attacco

Il metodo che usiamo oggi è quello che avrei voluto poter proporre a quelle 6.403 persone prima che mi scrivessero. In pratica sono sei domande.

• Che cosa c’è, davvero? L’inventario di dispositivi, server e software effettivamente accesi — che quasi mai coincide con quello che l’azienda crede di avere.
• Che cosa si vede da fuori? Una scansione dall’esterno, come la farebbe chi attacca.
• Quali cartelle sono condivise con tutti? È il motivo per cui un solo computer infetto cifra l’intera azienda.
• Quali vulnerabilità note sono ancora aperte? Non quelle esotiche: quelle con la correzione già disponibile.
• Le vostre credenziali sono già in circolazione? La verifica nelle raccolte di dati rubati.
• Le applicazioni web che avete reggono? Il portale, il gestionale, il modulo dei contatti.

Nessuna di queste domande è complicata. La difficoltà è solo che vanno fatte prima, in un giorno in cui non sta succedendo niente e nessuno sente l’urgenza di farle.

Quello che ho imparato in seimilaquattrocento volte

Se dovessi riassumere dieci anni in una riga: il momento in cui mi scrivi è quasi sempre troppo tardi, e non per colpa tua. È tardi perché il lavoro che avrebbe evitato quella mattina andava fatto mesi prima, e nessuno ti aveva detto quale fosse.

Il recupero dei file resta una cosa che facciamo, e continuo a rispondere a chi mi scrive. Ma ho smesso di raccontarlo come se fosse la soluzione. È una rete di sicurezza che regge un terzo delle volte.

Le altre due, l’unica differenza l’ha fatta quello che c’era prima.

Come sono andate le due cose

Dal 2018 abbiamo seguito 261 aziende, per un totale di ottocento anni-azienda di rapporto. Centocinquantadue sono rimaste più di un anno, e quattordici sono con noi da tutti e nove.

Se conto i dipendenti di quelle aziende — prendendo l’organico dell’anno in cui erano sotto contratto, come risulta dai bilanci depositati — nel 2025 le persone coperte da qualcosa che le stava guardando sono 6.233. Nel 2018 erano poco più di mille.

Il conteggio delle persone riguarda le 111 aziende che depositano l’organico: le altre 119 sono ditte individuali e società di persone, che quel dato non lo pubblicano. Il numero vero è quindi più alto, ma preferisco tenere quello che si può leggere in un bilancio.

Non è un grafico costruito per convincere, e si vede da un dettaglio: nel 2021 la curva sotto scende invece di salire. Sono anni veri, con dentro un anno storto.

Ci ho messo seimilaquattrocento volte a impararlo. Sarebbe un peccato se servisse anche a voi.

Oggi la ricognizione di cui ho parlato qui sopra la facciamo con Dottor Marc, e si chiama Cyber Checkup: una fotografia della superficie di attacco, spiegata da una persona e non consegnata come un file PDF da 200 pagine. Se preferite farla da soli, le domande sono quelle sei qui sopra e non serve nessuno per iniziare a porsele.

Se invece è già successo, le prime decisioni contano più di tutto il resto: cosa fare nelle prime ore. E se volete sapere se i vostri file rientrano in quel terzo fortunato, l’elenco per estensione risponde in trenta secondi.