Recupero dati dopo un ransomware
Vittima di un ransomware? I nostri esperti in cyber recovery recuperano i vostri dati cifrati e ripristinano i vostri sistemi con una diagnosi gratuita in 3 ore, anche quando i backup sono compromessi.
Come funziona il recupero dati dopo un attacco ransomware ?
Il ransomware è un software malevolo che cifra i vostri dati ed esige un riscatto per sbloccarli. Questo tipo di attacco colpisce tanto le PMI quanto le grandi aziende, gli enti locali e le istituzioni pubbliche.
Dal 2006, SOS Data Recovery a Ins (Svizzera) ha trattato più di 11 300 supporti e assistito più di 8 000 clienti. Certificata CyberSafe e valutata 4.5/5 su Avis Vérifiés (249+ recensioni), il nostro team interviene tramite la nostra entità specializzata bexxo.ch, dedicata alla cybersicurezza e al recupero dopo ransomware.
La nostra diagnosi è gratuita e realizzata in 3 ore. Pagate solo se i vostri dati vengono effettivamente recuperati. Siamo partner delle assicurazioni Mobilière e Helvetia per la copertura dei sinistri cyber.
Anatomia di un attacco ransomware
Comprendere le fasi di un attacco aiuta a proteggersi meglio e a reagire più rapidamente in caso di incidente.
Come il ransomware infetta la vostra organizzazione?
Uno dei principali vettori di infezione è il phishing: link trappola o allegati malevoli nelle e-mail. Gli utenti possono anche essere infettati visitando siti di download compromessi o cliccando su pubblicità malevole (malvertising).
Come avviene la cifratura dei vostri dati?
La cifratura dei file è un processo lento che può passare inosservato per ore. I cybercriminali lanciano spesso l'attacco fuori dall'orario di lavoro — di notte o nel week-end — per massimizzare il tempo di cifratura prima del rilevamento. Gli algoritmi utilizzati (AES-256, RSA-2048) sono praticamente impossibili da violare senza la chiave.
Perché gli attaccanti rubano i vostri dati oltre a cifrarli?
Questa tattica, chiamata doppia estorsione, è diventata la norma. Gli attaccanti esfiltrano i vostri dati sensibili prima di lanciare la cifratura. Minacciano poi di pubblicarli online se tentate di ripristinare dai backup anziché pagare.
Cosa fanno gli attaccanti con i dati rubati?
Gli attaccanti analizzano il contenuto sottratto per massimizzare la pressione: vendita di informazioni riservate a concorrenti, trasmissione di dati finanziari alle autorità fiscali, divulgazione di accordi commerciali, o ricatto diretto dei dirigenti. Questa è la tripla estorsione.
Perché un servizio specializzato in Cyber Recovery è necessario?
Il Cyber Recovery è un servizio di recupero dati che interviene dopo un attacco ransomware — a differenza della cybersicurezza classica che agisce in prevenzione.
Di fronte ad attacchi sempre più sofisticati e indiscriminati, le organizzazioni (aziende, enti pubblici, istituzioni) hanno bisogno di un partner capace di ripristinare i loro dati anche quando i backup sono stati compromessi.
SOS Data Recovery, specialista nel recupero dati dal 2006, interviene in urgenza per recuperare i vostri file e ripristinare i vostri sistemi seguendo le migliori pratiche di recupero dati.
Come Bexxo e CVE Find completano il nostro intervento?
Quali situazioni richiedono un recupero dopo ransomware?
Siete confrontati a una di queste situazioni? Contattateci per un intervento immediato.
File cifrati dal ransomware
I vostri file hanno un'estensione sconosciuta (.locked, .crypt, .encrypted) e sono inaccessibili. I nostri esperti analizzano la variante del ransomware e tentano il recupero senza pagare il riscatto.
Sistema bloccato (schermata di riscatto)
Un messaggio chiede un pagamento in criptovaluta per sbloccare l'accesso. Non pagate: il pagamento non garantisce la restituzione dei dati e finanzia gli attaccanti.
Backup compromessi
Gli attaccanti prendono di mira in primo luogo i backup (NAS, cloud, nastri). Interveniamo anche quando le copie di sicurezza sono state cifrate o eliminate dal ransomware.
Server o NAS cifrato
File server, database o NAS interamente cifrati. Recuperiamo i dati direttamente dai dischi, aggirando il sistema compromesso.
Furto di dati (doppia estorsione)
Gli attaccanti minacciano di pubblicare i vostri dati sensibili. La nostra analisi forense identifica l'entità dell'esfiltrazione e aiuta nella risposta all'incidente.
Infrastruttura di rete paralizzata
Active Directory compromesso, postazioni di lavoro e server fuori servizio. Aiutiamo nel ripristino progressivo dei sistemi critici e nel recupero dei dati.
Come funziona il recupero dati ?
Dalla diagnosi gratuita alla consegna sicura — un processo trasparente in 4 fasi, interamente realizzato nel nostro laboratorio svizzero.
Diagnosi gratuita in 3 ore
Inviate il vostro supporto per posta sicura, depositatelo in uno dei nostri 30 punti di raccolta in Svizzera, o portatelo direttamente al nostro laboratorio a Ins. Il nostro team effettua un'analisi completa in 3 ore dal ricevimento — senza costi e senza impegno.
Preventivo trasparente prima dell'intervento
Ricevete un preventivo dettagliato che indica la natura del guasto, le possibilità di recupero e il costo esatto. Voi approvate prima di qualsiasi intervento. Pagamento completo in caso di successo — in caso di insuccesso vengono addebitati solo i costi del tentativo.
Recupero in flusso laminare ISO 5
I nostri tecnici intervengono in flusso laminare certificato ISO 5 con strumenti specializzati (PC-3000). I vostri dati non lasciano mai il nostro laboratorio svizzero certificato CyberSafe. Durata: da 2 a 10 giorni lavorativi secondo la complessità.
Consegna sicura dei vostri dati
I vostri dati recuperati vengono restituiti su un nuovo supporto cifrato, oppure tramite download sicuro secondo la vostra preferenza. I supporti originali possono essere distrutti su richiesta per garantire la riservatezza.
Domande frequenti
Le risposte dei nostri specialisti alle domande più poste.
Come faccio a sapere se anche i miei backup sono stati crittografati dal ransomware?
I ransomware moderni prendono di mira prioritariamente i backup per massimizzare la pressione sulle vittime. Ecco come identificare se i tuoi backup sono compromessi:
- Backup di rete (NAS, server di backup): verifica l'estensione dei file: un'estensione sconosciuta o aggiunta (.locked, .encrypted, ecc.) tradisce un'infezione. Controlla anche i metadati (data di modifica recente e insolita).
- Backup cloud sincronizzati: se il client di sincronizzazione (OneDrive, Dropbox, ecc.) era attivo durante l'attacco, i file crittografati hanno probabilmente sostituito gli originali. Verifica la cronologia delle versioni prima di ripristinare.
- Backup offline (disco esterno disconnesso, nastro LTO): se non erano connessi alla rete durante l'attacco, sono generalmente intatti.
La regola 3-2-1 (3 copie, 2 supporti diversi, 1 fuori sede) con almeno una copia air-gapped è la protezione più efficace contro i ransomware.
Testa regolarmente il ripristino dei tuoi backup: un backup non testato è un backup di cui non conosci l'affidabilità reale.
Cos'è un attacco ransomware e come influisce sui dati?
Un ransomware (o cryptovirus) è un software dannoso che crittografa i file di un sistema informatico per renderli inaccessibili, quindi richiede un riscatto in cambio della chiave di decrittazione. È una delle minacce informatiche più diffuse: secondo il rapporto ENISA 2024, gli attacchi ransomware sono aumentati del 37% in Europa tra il 2022 e il 2023.
Il processo di un attacco tipico si svolge in quattro fasi:
- Infezione — tramite phishing, vulnerabilità non patchata, RDP esposto o account compromesso
- Ricognizione e propagazione — il malware mappa la rete e si propaga lateralmente (durata: da poche ore a diverse settimane)
- Crittografia — i file vengono crittografati con un algoritmo asimmetrico (RSA 2048 o 4096 bit) di cui solo l'attaccante possiede la chiave privata
- Estorsione — una nota di riscatto viene depositata sul sistema con le istruzioni di pagamento (generalmente in Bitcoin)
Cosa fare immediatamente dopo aver rilevato un attacco ransomware?
Le prime ore sono cruciali per limitare l'estensione dei danni. Ecco la procedura d'emergenza:
- Isolate le macchine infette — disconnettete immediatamente dalla rete (cavo Ethernet e Wi-Fi) per fermare la propagazione laterale
- Non riavviate i sistemi — alcune chiavi di cifratura rimangono in memoria viva (RAM) e possono essere estratte a caldo
- Preservate le tracce — non modificate alcun file di sistema, questi elementi sono indispensabili all'analisi forense
- Identificate il ransomware — caricate un file cifrato su ID Ransomware (id-ransomware.malwarehunterteam.com) per identificare la famiglia
- Valutate i vostri backup — verificate se i vostri backup offline o cloud sono intatti
- Contattate uno specialista — un esperto in risposta agli incidenti può intervenire in meno di 2 ore
Documentate tutto: screenshot dei messaggi di riscatto, lista dei file colpiti, log di rete. Questa documentazione è indispensabile per la denuncia e l'analisi tecnica.
Quanto tempo richiede il recupero dati dopo un attacco ransomware?
Il tempo di recupero dopo un ransomware varia notevolmente a seconda della complessità del caso:
- Ransomware già decriptato (chiave pubblica disponibile): da 24 a 72 ore per applicare la decrittazione a tutti i file
- Recupero tramite backup intatti: da poche ore a qualche giorno a seconda del volume di dati e dello stato dell'infrastruttura
- Analisi forense e ricerca di falle crittografiche: da 1 a diverse settimane — alcune analisi richiedono risorse di calcolo significative
- Casi senza soluzione di decrittazione conosciuta: conservazione dei file crittografati in attesa che una chiave venga pubblicata successivamente (casi Hive, Ragnar Locker, ecc.)
Il nostro servizio di intervento urgente (livello Critico) è disponibile 24 ore su 24, 7 giorni su 7 per le aziende la cui continuità operativa è compromessa.
È consigliabile pagare il riscatto per recuperare i dati dopo un attacco ransomware?
Le autorità (ANSSI, OFCS, Europol, FBI) raccomandano unanimemente di non pagare il riscatto, per diverse ragioni:
- Nessuna garanzia — tra il 20 e il 40% delle vittime che hanno pagato non hanno ricevuto la chiave di decrittazione funzionale
- Rischio di doppia estorsione — gli attaccanti possono esfiltrare i dati prima della crittografia e minacciare di pubblicarli anche dopo il pagamento
- Finanziamento della criminalità — il pagamento incoraggia nuovi attacchi e può esporre l'azienda a sanzioni legali in alcune giurisdizioni
- Alternative esistenti — nel 30-50% degli incidenti, un recupero totale o parziale è possibile senza pagamento
Prima di qualsiasi decisione, consultare uno specialista in recupero dati e segnalare l'attacco al Centro nazionale per la cybersicurezza (NCSC) in Svizzera o all'ANSSI in Francia.
È possibile recuperare dati crittografati da un ransomware senza pagare il riscatto?
Sì, in un numero significativo di casi. La possibilità di decrittazione senza pagare dipende principalmente dal tipo di ransomware e dall'esistenza di una falla crittografica sfruttabile.
Esistono diverse vie di recupero:
- Chiavi di decrittazione pubbliche — alcuni ransomware sono stati decrittati da ricercatori della sicurezza e agenzie come Europol. La piattaforma No More Ransom (nomoreransom.org) centralizza questi strumenti gratuitamente.
- Falle nell'implementazione crittografica — alcuni ransomware mal programmati hanno vulnerabilità che consentono di ricostruire le chiavi.
- Copie shadow (VSS) — se il ransomware non ha eliminato le Shadow Copies di Windows, è possibile un ripristino.
- Backup non interessati — backup offline, snapshot NAS o cloud non sincronizzati.
Il nostro laboratorio analizza ogni caso individualmente. Una diagnosi ci permette di determinare quale famiglia di ransomware è coinvolta e quali opzioni di decrittazione sono disponibili.
Non pagate il riscatto prima di aver consultato uno specialista. In molti casi, il pagamento non garantisce il recupero dei dati e finanziate direttamente attività criminali.
È possibile recuperare i dati dopo un ransomware se il sistema è stato reinstallato?
Dipende dal tipo di storage e dalla modalità con cui è stata eseguita la reinstallazione.
Su un HDD (disco rigido meccanico): se il disco è stato formattato senza "sovrascrittura sicura" (semplice eliminazione delle partizioni), i file crittografati sono spesso ancora presenti fisicamente sui piatti magnetici. Un'estrazione in laboratorio può consentire di recuperare i file crittografati, che i nostri esperti tenteranno poi di decifrare.
Su un SSD: la situazione è più complessa. Il firmware dell'SSD può attivare un'operazione TRIM automaticamente dopo la formattazione, cancellando definitivamente i dati. Su alcuni modelli o se il TRIM è stato disattivato, un recupero parziale resta possibile.
In entrambi i casi, più velocemente si interviene dopo la reinstallazione, maggiori sono le possibilità di recupero.
Prima di reinstallare il sistema, create sistematicamente un'immagine completa del disco infetto. Questa immagine vi permetterà di lavorare su una copia e di riprovare metodi di decrittazione futuri se una chiave di decrittazione pubblica viene pubblicata successivamente.
I ransomware moderni prendono di mira prioritariamente i backup per massimizzare la pressione sulle vittime. Ecco come identificare se i tuoi backup sono compromessi:
- Backup di rete (NAS, server di backup): verifica l'estensione dei file: un'estensione sconosciuta o aggiunta (.locked, .encrypted, ecc.) tradisce un'infezione. Controlla anche i metadati (data di modifica recente e insolita).
- Backup cloud sincronizzati: se il client di sincronizzazione (OneDrive, Dropbox, ecc.) era attivo durante l'attacco, i file crittografati hanno probabilmente sostituito gli originali. Verifica la cronologia delle versioni prima di ripristinare.
- Backup offline (disco esterno disconnesso, nastro LTO): se non erano connessi alla rete durante l'attacco, sono generalmente intatti.
La regola 3-2-1 (3 copie, 2 supporti diversi, 1 fuori sede) con almeno una copia air-gapped è la protezione più efficace contro i ransomware.
Testa regolarmente il ripristino dei tuoi backup: un backup non testato è un backup di cui non conosci l'affidabilità reale.
Un ransomware (o cryptovirus) è un software dannoso che crittografa i file di un sistema informatico per renderli inaccessibili, quindi richiede un riscatto in cambio della chiave di decrittazione. È una delle minacce informatiche più diffuse: secondo il rapporto ENISA 2024, gli attacchi ransomware sono aumentati del 37% in Europa tra il 2022 e il 2023.
Il processo di un attacco tipico si svolge in quattro fasi:
- Infezione — tramite phishing, vulnerabilità non patchata, RDP esposto o account compromesso
- Ricognizione e propagazione — il malware mappa la rete e si propaga lateralmente (durata: da poche ore a diverse settimane)
- Crittografia — i file vengono crittografati con un algoritmo asimmetrico (RSA 2048 o 4096 bit) di cui solo l'attaccante possiede la chiave privata
- Estorsione — una nota di riscatto viene depositata sul sistema con le istruzioni di pagamento (generalmente in Bitcoin)
Le prime ore sono cruciali per limitare l'estensione dei danni. Ecco la procedura d'emergenza:
- Isolate le macchine infette — disconnettete immediatamente dalla rete (cavo Ethernet e Wi-Fi) per fermare la propagazione laterale
- Non riavviate i sistemi — alcune chiavi di cifratura rimangono in memoria viva (RAM) e possono essere estratte a caldo
- Preservate le tracce — non modificate alcun file di sistema, questi elementi sono indispensabili all'analisi forense
- Identificate il ransomware — caricate un file cifrato su ID Ransomware (id-ransomware.malwarehunterteam.com) per identificare la famiglia
- Valutate i vostri backup — verificate se i vostri backup offline o cloud sono intatti
- Contattate uno specialista — un esperto in risposta agli incidenti può intervenire in meno di 2 ore
Documentate tutto: screenshot dei messaggi di riscatto, lista dei file colpiti, log di rete. Questa documentazione è indispensabile per la denuncia e l'analisi tecnica.
Il tempo di recupero dopo un ransomware varia notevolmente a seconda della complessità del caso:
- Ransomware già decriptato (chiave pubblica disponibile): da 24 a 72 ore per applicare la decrittazione a tutti i file
- Recupero tramite backup intatti: da poche ore a qualche giorno a seconda del volume di dati e dello stato dell'infrastruttura
- Analisi forense e ricerca di falle crittografiche: da 1 a diverse settimane — alcune analisi richiedono risorse di calcolo significative
- Casi senza soluzione di decrittazione conosciuta: conservazione dei file crittografati in attesa che una chiave venga pubblicata successivamente (casi Hive, Ragnar Locker, ecc.)
Il nostro servizio di intervento urgente (livello Critico) è disponibile 24 ore su 24, 7 giorni su 7 per le aziende la cui continuità operativa è compromessa.
Le autorità (ANSSI, OFCS, Europol, FBI) raccomandano unanimemente di non pagare il riscatto, per diverse ragioni:
- Nessuna garanzia — tra il 20 e il 40% delle vittime che hanno pagato non hanno ricevuto la chiave di decrittazione funzionale
- Rischio di doppia estorsione — gli attaccanti possono esfiltrare i dati prima della crittografia e minacciare di pubblicarli anche dopo il pagamento
- Finanziamento della criminalità — il pagamento incoraggia nuovi attacchi e può esporre l'azienda a sanzioni legali in alcune giurisdizioni
- Alternative esistenti — nel 30-50% degli incidenti, un recupero totale o parziale è possibile senza pagamento
Prima di qualsiasi decisione, consultare uno specialista in recupero dati e segnalare l'attacco al Centro nazionale per la cybersicurezza (NCSC) in Svizzera o all'ANSSI in Francia.
Sì, in un numero significativo di casi. La possibilità di decrittazione senza pagare dipende principalmente dal tipo di ransomware e dall'esistenza di una falla crittografica sfruttabile.
Esistono diverse vie di recupero:
- Chiavi di decrittazione pubbliche — alcuni ransomware sono stati decrittati da ricercatori della sicurezza e agenzie come Europol. La piattaforma No More Ransom (nomoreransom.org) centralizza questi strumenti gratuitamente.
- Falle nell'implementazione crittografica — alcuni ransomware mal programmati hanno vulnerabilità che consentono di ricostruire le chiavi.
- Copie shadow (VSS) — se il ransomware non ha eliminato le Shadow Copies di Windows, è possibile un ripristino.
- Backup non interessati — backup offline, snapshot NAS o cloud non sincronizzati.
Il nostro laboratorio analizza ogni caso individualmente. Una diagnosi ci permette di determinare quale famiglia di ransomware è coinvolta e quali opzioni di decrittazione sono disponibili.
Non pagate il riscatto prima di aver consultato uno specialista. In molti casi, il pagamento non garantisce il recupero dei dati e finanziate direttamente attività criminali.
Dipende dal tipo di storage e dalla modalità con cui è stata eseguita la reinstallazione.
Su un HDD (disco rigido meccanico): se il disco è stato formattato senza "sovrascrittura sicura" (semplice eliminazione delle partizioni), i file crittografati sono spesso ancora presenti fisicamente sui piatti magnetici. Un'estrazione in laboratorio può consentire di recuperare i file crittografati, che i nostri esperti tenteranno poi di decifrare.
Su un SSD: la situazione è più complessa. Il firmware dell'SSD può attivare un'operazione TRIM automaticamente dopo la formattazione, cancellando definitivamente i dati. Su alcuni modelli o se il TRIM è stato disattivato, un recupero parziale resta possibile.
In entrambi i casi, più velocemente si interviene dopo la reinstallazione, maggiori sono le possibilità di recupero.
Prima di reinstallare il sistema, create sistematicamente un'immagine completa del disco infetto. Questa immagine vi permetterà di lavorare su una copia e di riprovare metodi di decrittazione futuri se una chiave di decrittazione pubblica viene pubblicata successivamente.