Come non ritrovarsi con i file criptati: le dieci cose che contano

Pubblicato il 20 aprile 2017, riscritto integralmente il 22 agosto 2026. I commenti in fondo sono quelli raccolti all’epoca.

Questo è l’unico articolo del sito che parla di quello che succede prima. Gli altri raccontano cosa fare quando è successo, se i file si recuperano e perché certe varianti si battono e altre no. Qui invece si parla di come non arrivarci — che è l’unica parte della faccenda su cui hai davvero il controllo.

Ti avviso subito su come va a finire: non esiste una tecnica definitiva. Non c’è un prodotto da comprare che chiuda la questione. Esiste però una differenza enorme fra chi ha fatto una decina di cose noiose e chi non ne ha fatta nessuna, e in dieci anni di casi quella differenza l’ho vista tutte le volte.

«Ma io non ho aperto nessuna email!»

È la frase che sento più spesso, ed è quasi sempre vera. Poi ci sono le varianti: «io gli allegati non li apro mai», «so riconoscere un’email con un virus», «io la posta elettronica non la uso nemmeno».

E allora com’è entrato?

Per anni la risposta è stata quasi sempre una sola: gli exploit kit. Sono pacchetti di codice nascosti dentro pagine web — spesso siti legittimi violati settimane prima, non solo i siti di streaming illegale che tutti immaginano. Funzionavano così, e in modo del tutto invisibile:

• visiti una pagina qualunque, che ospita il codice a tua insaputa;
• il codice cerca le falle del tuo computer: il sistema non aggiornato, il lettore PDF vecchio, il plugin del browser dimenticato lì;
• ne sceglie una e la sfrutta, sempre senza che tu veda niente;
• scarica ed esegue il virus.

Nessun clic sbagliato, nessun allegato, nessuna disattenzione. Solo un computer non aggiornato e una pagina sbagliata.

Ma oggi si entra soprattutto da un’altra porta

Quella sopra è la storia. È ancora vera, ma non è più la strada principale, e qui devo aggiornare quello che scrivevo qualche anno fa.

Il quadro degli ultimi anni dice una cosa precisa: si entra soprattutto da accessi remoti e credenziali rubate. Il rapporto sulla risposta agli incidenti di Cisco Talos e il Data Breach Investigations Report di Verizon concordano: lo sfruttamento di vulnerabilità esposte e l’abuso di credenziali hanno superato il phishing come via d’ingresso. E la maggior parte delle richieste di risarcimento per ransomware parte da un servizio di accesso remoto — VPN o desktop remoto — lasciato raggiungibile da internet.

È il motivo per cui la domanda «che antivirus mi consigli?» è la domanda sbagliata, o meglio: è la decima domanda, non la prima. Le prime nove riguardano cosa hai esposto su internet, chi può entrarci e con quali credenziali.

Un caso vero, e come è finito bene

Qualche anno fa un’azienda di trenta persone si è trovata l’intero ufficio bloccato nel giro di pochi minuti. Il virus era partito da una postazione, aveva raggiunto il server attraverso la rete e da lì tutte le cartelle condivise.

Sono tornati operativi in poche ore, ripristinando il backup della notte precedente.

Non è finita bene per fortuna. È finita bene perché quel backup esisteva, era recente, e soprattutto era ripristinabile — cosa che qualcuno aveva verificato prima, non quella mattina. Nella stessa situazione ho visto aziende ferme per settimane, e la differenza fra le due non è stata l’antivirus.

Il seguito, quello di cui si parla meno, è che il personale è stato formato dopo. Non prima. È l’ordine sbagliato, ed è l’ordine normale.

Le dieci cose che chiedo di verificare

Quando entro in un’azienda per un controllo, queste sono le domande da cui parto. Non sono in ordine di difficoltà: sono in ordine di quanto spesso mancano.

E le persone?

Ho lasciato per ultima la formazione perché è la parte che viene raccontata peggio.

Di solito si insegna a «riconoscere le email sospette»: italiano sgrammaticato, mittenti strani, allegati imprevisti. Andava bene dieci anni fa. Già nel 2017 una campagna scritta in italiano perfetto mandava all’aria quell’insegnamento, e oggi, con la generazione automatica dei testi, riconoscere un messaggio falso dalla lingua non funziona più. Chi forma ancora così sta dando alle persone una sicurezza che non hanno.

Quello che funziona è più semplice e meno rassicurante: insegnare a fermarsi. Le truffe fanno leva sull’urgenza — una fattura scaduta, un pagamento bloccato, un capo che chiede una cosa subito. Dieci secondi di esitazione e una verifica su un canale diverso da quello del messaggio disinnescano la quasi totalità dei casi.

E soprattutto: fare in modo che chi sbaglia lo dica. In un’azienda dove chi clicca la cosa sbagliata teme la ramanzina, l’incidente resta nascosto per ore preziose. In una dove può alzare la mano senza conseguenze, si contiene in dieci minuti. È una questione di clima, più che di corsi.

Se sei un’azienda o un ente

Alle dieci verifiche si aggiunge una cosa che oggi non è più facoltativa: sapere in anticipo chi fa cosa quando succede. Chi decide, chi parla con i clienti, chi fa le notifiche.

Perché le scadenze corrono da sole: 72 ore per la notifica al Garante se sono coinvolti dati personali e, per i soggetti che ricadono nella NIS2, un preallarme entro 24 ore. Ventiquattr’ore sono niente quando l’azienda è ferma e nessuno sa da dove cominciare. Le ho messe in fila nella guida alle prime ore.

Tre approfondimenti, se qualcuna di queste voci ti ha lasciato dei dubbi. Sul backup, la parte cambiata di più negli ultimi anni è in backup immutabile: la regola del 3-2-1 da sola non regge più contro chi va a cercare le copie. Se in azienda nessuno sa dire chi sia l’amministratore di sistema, è un problema prima di legge e poi tecnico. E se il punto di partenza è una macchina troppo lenta per reggere le difese, «mi serve solo per internet» non è una risposta.

Se vuoi che qualcuno verifichi queste dieci cose sulla tua rete invece di darle per buone, Dottor Marc fa esattamente questo.

Il resto della storia

• È successo adesso — cosa fare nella prima mezz’ora, e cosa non fare.
• I file si recuperano? — l’elenco per estensione, con il verdetto e lo strumento gratuito quando esiste.
• Dieci anni di ransomware — perché certe varianti si sono battute e altre no.
• Perché non pagare — le ragioni, con i casi che ho seguito.

Una nota finale, che è poi la ragione per cui questo articolo esiste. Tutti gli altri raccontano cose accadute a qualcun altro. Questo riguarda decisioni che puoi prendere oggi, mentre non sta succedendo niente — ed è l’unico momento in cui si possono prendere davvero.