FAQ recupero dati: risposte alle vostre domande

I ransomware moderni prendono di mira prioritariamente i backup per massimizzare la pressione sulle vittime. Ecco come identificare se i tuoi backup sono compromessi:

• Backup di rete (NAS, server di backup): verifica l'estensione dei file: un'estensione sconosciuta o aggiunta (.locked, .encrypted, ecc.) tradisce un'infezione. Controlla anche i metadati (data di modifica recente e insolita).
• Backup cloud sincronizzati: se il client di sincronizzazione (OneDrive, Dropbox, ecc.) era attivo durante l'attacco, i file crittografati hanno probabilmente sostituito gli originali. Verifica la cronologia delle versioni prima di ripristinare.
• Backup offline (disco esterno disconnesso, nastro LTO): se non erano connessi alla rete durante l'attacco, sono generalmente intatti.

La regola 3-2-1 (3 copie, 2 supporti diversi, 1 fuori sede) con almeno una copia air-gapped è la protezione più efficace contro i ransomware.

Un ransomware (o cryptovirus) è un software dannoso che crittografa i file di un sistema informatico per renderli inaccessibili, quindi richiede un riscatto in cambio della chiave di decrittazione. È una delle minacce informatiche più diffuse: secondo il rapporto ENISA 2024, gli attacchi ransomware sono aumentati del 37% in Europa tra il 2022 e il 2023.

Il processo di un attacco tipico si svolge in quattro fasi:

1. Infezione — tramite phishing, vulnerabilità non patchata, RDP esposto o account compromesso
2. Ricognizione e propagazione — il malware mappa la rete e si propaga lateralmente (durata: da poche ore a diverse settimane)
3. Crittografia — i file vengono crittografati con un algoritmo asimmetrico (RSA 2048 o 4096 bit) di cui solo l'attaccante possiede la chiave privata
4. Estorsione — una nota di riscatto viene depositata sul sistema con le istruzioni di pagamento (generalmente in Bitcoin)

Le prime ore sono cruciali per limitare l'estensione dei danni. Ecco la procedura d'emergenza:

1. Isolate le macchine infette — disconnettete immediatamente dalla rete (cavo Ethernet e Wi-Fi) per fermare la propagazione laterale
2. Non riavviate i sistemi — alcune chiavi di cifratura rimangono in memoria viva (RAM) e possono essere estratte a caldo
3. Preservate le tracce — non modificate alcun file di sistema, questi elementi sono indispensabili all'analisi forense
4. Identificate il ransomware — caricate un file cifrato su ID Ransomware (id-ransomware.malwarehunterteam.com) per identificare la famiglia
5. Valutate i vostri backup — verificate se i vostri backup offline o cloud sono intatti
6. Contattate uno specialista — un esperto in risposta agli incidenti può intervenire in meno di 2 ore

Il tempo di recupero dopo un ransomware varia notevolmente a seconda della complessità del caso:

• Ransomware già decriptato (chiave pubblica disponibile): da 24 a 72 ore per applicare la decrittazione a tutti i file
• Recupero tramite backup intatti: da poche ore a qualche giorno a seconda del volume di dati e dello stato dell'infrastruttura
• Analisi forense e ricerca di falle crittografiche: da 1 a diverse settimane — alcune analisi richiedono risorse di calcolo significative
• Casi senza soluzione di decrittazione conosciuta: conservazione dei file crittografati in attesa che una chiave venga pubblicata successivamente (casi Hive, Ragnar Locker, ecc.)

Il nostro servizio di intervento urgente (livello Critico) è disponibile 24 ore su 24, 7 giorni su 7 per le aziende la cui continuità operativa è compromessa.

Le autorità (ANSSI, OFCS, Europol, FBI) raccomandano unanimemente di non pagare il riscatto, per diverse ragioni:

• Nessuna garanzia — tra il 20 e il 40% delle vittime che hanno pagato non hanno ricevuto la chiave di decrittazione funzionale
• Rischio di doppia estorsione — gli attaccanti possono esfiltrare i dati prima della crittografia e minacciare di pubblicarli anche dopo il pagamento
• Finanziamento della criminalità — il pagamento incoraggia nuovi attacchi e può esporre l'azienda a sanzioni legali in alcune giurisdizioni
• Alternative esistenti — nel 30-50% degli incidenti, un recupero totale o parziale è possibile senza pagamento

Prima di qualsiasi decisione, consultare uno specialista in recupero dati e segnalare l'attacco al Centro nazionale per la cybersicurezza (NCSC) in Svizzera o all'ANSSI in Francia.

Sì, in un numero significativo di casi. La possibilità di decrittazione senza pagare dipende principalmente dal tipo di ransomware e dall'esistenza di una falla crittografica sfruttabile.

Esistono diverse vie di recupero:

• Chiavi di decrittazione pubbliche — alcuni ransomware sono stati decrittati da ricercatori della sicurezza e agenzie come Europol. La piattaforma No More Ransom (nomoreransom.org) centralizza questi strumenti gratuitamente.
• Falle nell'implementazione crittografica — alcuni ransomware mal programmati hanno vulnerabilità che consentono di ricostruire le chiavi.
• Copie shadow (VSS) — se il ransomware non ha eliminato le Shadow Copies di Windows, è possibile un ripristino.
• Backup non interessati — backup offline, snapshot NAS o cloud non sincronizzati.

Il nostro laboratorio analizza ogni caso individualmente. Una diagnosi ci permette di determinare quale famiglia di ransomware è coinvolta e quali opzioni di decrittazione sono disponibili.

Dipende dal tipo di storage e dalla modalità con cui è stata eseguita la reinstallazione.

Su un HDD (disco rigido meccanico): se il disco è stato formattato senza "sovrascrittura sicura" (semplice eliminazione delle partizioni), i file crittografati sono spesso ancora presenti fisicamente sui piatti magnetici. Un'estrazione in laboratorio può consentire di recuperare i file crittografati, che i nostri esperti tenteranno poi di decifrare.

Su un SSD: la situazione è più complessa. Il firmware dell'SSD può attivare un'operazione TRIM automaticamente dopo la formattazione, cancellando definitivamente i dati. Su alcuni modelli o se il TRIM è stato disattivato, un recupero parziale resta possibile.

In entrambi i casi, più velocemente si interviene dopo la reinstallazione, maggiori sono le possibilità di recupero.