Sono le 3 di notte. Un dipendente del turno notturno vede i file condivisi trasformarsi in estensioni sconosciute. Poi compare la schermata: un countdown, un indirizzo Bitcoin, la minaccia di pubblicare i dati. La prima reazione, quasi sempre, è sbagliata: si spegne tutto. Server, switch, a volte anche il router. È il primo errore, e in molti casi anche il più costoso.
Perché spegnere tutto è la mossa peggiore
Spegnere un sistema compromesso cancella la memoria volatile — e con essa le tracce che servirebbero per capire come l’attaccante è entrato, quali credenziali ha usato, se si è mosso lateralmente verso altri sistemi. Senza quella memoria, l’incident response parte alla cieca. Il sistema va isolato, non spento: si stacca la rete, non l’alimentazione.
Il secondo errore, speculare al primo, è aprire un canale con gli attaccanti prima di aver capito la portata del danno. Pagare — o anche solo negoziare — senza sapere quali dati sono stati esfiltrati, quali backup sono ancora integri e quale sia l’exploit usato, significa trattare al buio con chi ha tutte le carte in mano.
Minuto 0-60: contenimento, non panico
La prima ora si gioca sulla segmentazione. L’obiettivo non è capire chi ha fatto cosa — arriverà dopo — ma impedire che il ransomware si propaghi ad altri host. In pratica:
- Isolamento di rete dei sistemi compromessi (disconnessione fisica o logica, non spegnimento)
- Blocco degli account con privilegi elevati potenzialmente compromessi
- Attivazione del team di crisi — tecnico, legale, comunicazione — con ruoli già assegnati, non improvvisati sul momento
- Prima verifica dello stato dei backup: sono raggiungibili dalla rete infetta? Sono immutabili o sono stati anch’essi criptati?
Chi ha un piano di incident response scritto e testato, a questo punto sta già eseguendo una checklist. Chi non ce l’ha, sta ancora decidendo chi chiamare per primo. La differenza, in termini di RTO, si misura in ore — e in termini di costo, in zeri.
Ora 1-2: chi sa cosa, e chi lo dice a chi
Qui entra in gioco la parte che quasi nessuno pianifica in anticipo: la comunicazione. Non quella verso il pubblico — troppo presto — ma quella interna. Chi sa dell’attacco deve essere un numero controllato di persone. Ogni messaggio su Teams o Slack scritto con leggerezza (“abbiamo un problema con i server”) può finire su un gruppo WhatsApp esterno in venti minuti.
In parallelo va avviata la raccolta forense: immagini disco dei sistemi critici, log di rete, log di autenticazione. Questa fase richiede competenze specifiche — non è il compito dell’IT interno sotto pressione, è il compito di chi fa incident response di mestiere. Un consulente che arriva alla cieca, senza playbook, perde la prima ora solo a orientarsi.
Se l’azienda rientra tra i soggetti NIS2, questo è anche il momento in cui iniziano a scorrere i tempi di notifica. 72 ore sembrano tante, finché non le vivi da dentro un incidente.
Ora 2-4: capire la portata reale
Dalla terza ora in poi il lavoro si sposta su due binari paralleli. Il primo è tecnico: capire quale famiglia di ransomware, quale vettore d’ingresso, se esistono decryptor noti, se i backup — quelli buoni, quelli offline o immutabili — permettono un ripristino senza pagare.
Il secondo binario è di intelligence: verificare se i dati esfiltrati sono già comparsi su forum o marketplace del dark web. È un lavoro OSINT che va fatto subito, perché cambia radicalmente la strategia — un conto è un attacco di puro cifraggio, un altro è un attacco a doppia estorsione con dati già in vendita.
A questo punto, decisioni come pagare o non pagare smettono di essere una scommessa e diventano una scelta informata: si conosce l’attore, si conosce l’estensione del danno, si conosce lo stato reale dei backup. È qui che la differenza tra un’azienda preparata e una improvvisata diventa evidente — non nel giorno dell’attacco, ma nelle quattro ore successive.
Cosa succede a chi non ha un piano
Le aziende senza protocollo passano le prime quattro ore a fare quello che dovrebbero già aver fatto mesi prima: capire chi chiamare, chi ha l’autorità di decidere, dove sono davvero i backup. Nel frattempo il ransomware continua a muoversi, la finestra per un ripristino pulito si restringe, e il costo — operativo, reputazionale, legale — cresce ogni ora.
Non è un caso che le organizzazioni più esposte — sanità, finanza, infrastrutture critiche, pubblica amministrazione — stiano progressivamente adottando SOC attivi 24/7 e piani di crisis management attivabili in poche ore, non in giorni. Non per scaramanzia. Perché un attacco ransomware non aspetta l’orario d’ufficio, e la differenza tra un incidente contenuto e un disastro si decide prima ancora che arrivi la richiesta di riscatto.
Noi lavoriamo così: crisis management attivabile in 4 ore, consulente senior in presenza entro 48 ore su tutto il territorio italiano, SOC operativo 24/7. Non perché sia una promessa da brochure — perché nelle prime quattro ore di un attacco reale, è l’unica cosa che conta davvero.
