Lunedì, ore 8:15. Il gestionale non si apre, le cartelle condivise sono piene di file con un’estensione mai vista e sul desktop compare un documento di testo con le istruzioni per pagare. Per molte PMI l’incontro con un ransomware comincia così, ma raramente il problema nasce quella mattina: l’accesso iniziale risale spesso a giorni o settimane prima. Parlare di cybersecurity per aziende oggi significa ragionare sull’intera catena, dall’ingresso dell’attaccante fino alla capacità di rimettere in piedi i sistemi. La domanda utile non è se un incidente arriverà, ma quanto a fondo potrà spingersi e in quanto tempo l’azienda saprà ripartire.
Perché le PMI sono un bersaglio e come lavora un ransomware moderno
Le piccole e medie imprese sono diventate un obiettivo appetibile per una ragione molto pratica: custodiscono dati di valore, dipendono da pochi sistemi critici e raramente dispongono di qualcuno che sorvegli la rete in modo continuativo. Per un gruppo criminale il rapporto tra sforzo e guadagno è favorevole.
Il ransomware di oggi, cioè il software malevolo che cifra i dati per chiedere un riscatto, è soltanto l’atto finale di un’operazione articolata. L’ingresso avviene di solito con credenziali rubate tramite phishing, con un accesso remoto esposto su Internet o sfruttando una vulnerabilità non corretta su VPN e firewall. Da lì l’attaccante cerca privilegi amministrativi e si muove lateralmente nella rete, mappando server, condivisioni e copie di sicurezza. Prima della cifratura, molte campagne esfiltrano i dati per minacciarne la pubblicazione anche quando la vittima riesce a ripristinare tutto. È la cosiddetta doppia estorsione. I backup finiscono quasi sempre nel mirino, perché senza copie utilizzabili il riscatto sembra l’unica via d’uscita.
Reti, accessi e dati: dove si gioca la difesa
Se l’attacco procede per fasi, anche la difesa deve spezzare la catena in più punti. Il primo riguarda le identità: autenticazione a più fattori su posta, VPN e pannelli di amministrazione, account nominativi, privilegi ridotti al minimo indispensabile, utenze amministrative separate da quelle di tutti i giorni.
Poi c’è la rete. In una rete piatta, dove ogni postazione raggiunge ogni server, un intruso si muove indisturbato; la segmentazione, con reti distinte per ospiti, uffici, server e dispositivi IoT, ne restringe il raggio d’azione. È la logica del modello Zero Trust, in cui nessun accesso viene considerato affidabile solo perché arriva dall’interno del perimetro. Ogni richiesta va verificata in base all’identità, allo stato del dispositivo e al contesto.
Sulle postazioni contano l’hardening, ossia l’eliminazione di servizi e configurazioni superflue, gli aggiornamenti regolari e gli strumenti EDR (Endpoint Detection and Response), che riconoscono comportamenti anomali e non soltanto firme di malware già note. La protezione dei dati chiude il cerchio con la cifratura dei dischi e delle informazioni sensibili, il controllo degli accessi alle cartelle condivise e una gestione attenta delle chiavi. Un archivio cifrato e ben custodito perde buona parte del suo valore per chi riesce a sottrarlo.
Backup, disaster recovery e continuità operativa
Un backup mai ripristinato resta un’ipotesi. Proteggere le copie significa renderle irraggiungibili dallo stesso attacco che colpisce la produzione: credenziali separate, copie fuori sede o in cloud, cifratura e, quando appropriato, immutabilità, cioè l’impossibilità tecnica di modificarle o cancellarle per un periodo stabilito. La prova vera arriva con i test di ripristino documentati, che misurano i tempi effettivi e fanno emergere dipendenze dimenticate.
Il disaster recovery riguarda il ripristino dell’infrastruttura tecnologica: in quale sequenza riattivare sistemi, applicazioni e collegamenti. La continuità operativa guarda più in largo, ai processi aziendali che devono proseguire anche quando sistemi, sedi o fornitori non sono disponibili. Due parametri tengono insieme i due piani. L’RTO (Recovery Time Objective) indica entro quanto tempo un servizio deve tornare disponibile; l’RPO (Recovery Point Objective) quanta perdita di dati, espressa come intervallo di tempo, l’organizzazione può tollerare. Fissarli a tavolino, senza partire dai processi reali, produce obiettivi che nessuno riuscirà a rispettare durante un’emergenza.
Il tema ha anche un risvolto normativo. La NIS2, recepita in Italia con il D.Lgs. 138/2024, include tra le misure di gestione del rischio la continuità operativa, con la gestione dei backup e il disaster recovery. Chi rientra nel suo perimetro deve curare anche la sicurezza della catena di fornitura, e per questa via i requisiti possono arrivare, attraverso i contratti, a PMI non soggette direttamente alla norma. L’art. 32 del GDPR chiede a chi tratta dati personali misure adeguate al rischio, tra cui la capacità di ripristinare tempestivamente i dati dopo un incidente e una procedura per testare regolarmente l’efficacia delle misure adottate.
Su questo terreno lavora Rioton, che si occupa di cybersecurity e continuità operativa per imprese, studi professionali ed enti: verifica delle copie, procedure di ripristino scritte e runbook che stabiliscono chi decide, chi interviene e in quale ordine.
Prevenzione, monitoraggio e ripristino: perché servono insieme
Firewall e antivirus restano componenti importanti, ma da soli non intercettano un accesso eseguito con credenziali valide né rimediano a un backup mai testato. Serve un ciclo in cui prevenzione, rilevamento, risposta e recupero vengono progettati insieme, la stessa logica che il NIST Cybersecurity Framework 2.0 riassume nelle funzioni Govern, Identify, Protect, Detect, Respond e Recover.
Il monitoraggio fa da collante. La raccolta centralizzata di log ed eventi, anche attraverso un SIEM (Security Information and Event Management), permette di notare un login anomalo nel cuore della notte o un volume insolito di dati in uscita prima che la situazione degeneri. Il ritmo delle minacce lascia pochi margini: nel 2025 sono state pubblicate più di 48.000 nuove vulnerabilità con identificativo CVE, il 22% in più rispetto all’anno precedente. Un’infrastruttura aggiornata solo quando capita resta esposta proprio nella finestra in cui gli attaccanti si muovono più in fretta.
Per una PMI la strada praticabile passa da un assessment che fotografi reti, account, dispositivi e backup, da priorità ordinate per impatto e da verifiche periodiche nel tempo. La sicurezza smette così di essere un prodotto installato una volta e diventa una capacità dell’organizzazione: prevenire, accorgersi, reagire e ripartire.
