Se sospetti di aver subito un attacco ransomware — file che non si aprono più, estensioni cambiate, un messaggio di riscatto sullo schermo — la cosa più importante è agire con metodo, senza farti prendere dal panico. In questa guida trovi cosa succede realmente durante un attacco, quali segnali osservare e cosa fare passo dopo passo.
Cosa fa un ransomware, in pratica
Un ransomware è un tipo di malware che cifra (rende illeggibili) i file presenti su un dispositivo o su una rete, chiedendo poi un pagamento per restituirne l’accesso. Non tutti gli attacchi si comportano allo stesso modo, ma le conseguenze più comuni e riconoscibili sono queste:
File non più apribili o con estensione modificata I documenti, le foto, i database o altri file iniziano a dare errore all’apertura, oppure il loro nome cambia aggiungendo un’estensione insolita. È spesso il primo segnale concreto che qualcosa non va.
- Quali sono le due principali tipologie di ransomware
- Come proteggere i backup da ransomware: la guida definitiva per non perdere i tuoi dati
- Come capire se hai subito un attacco ransomware: segnali e cosa fare subito
Comparsa di una richiesta di riscatto Sul desktop, in una cartella o come sfondo del sistema può apparire un file di testo o un’immagine con le istruzioni per il pagamento. È il momento in cui l’attacco diventa evidente anche a chi non è tecnico.
Rallentamento o blocco del sistema Durante la fase di cifratura, il dispositivo può diventare lento, bloccarsi o riavviarsi in modo anomalo, perché il processo malevolo sta lavorando in background su un gran numero di file.
Perdita di accesso a cartelle condivise o server Se il dispositivo colpito è collegato a una rete aziendale o a un NAS, il ransomware può propagarsi e rendere inaccessibili anche i file condivisi con altri utenti.
Disattivazione di antivirus o strumenti di sicurezza Alcuni ransomware tentano di disabilitare le protezioni presenti sul dispositivo prima di agire, per ridurre il rischio di essere bloccati.
Backup compromessi, se collegati al dispositivo Se un backup è collegato fisicamente o in rete al dispositivo infetto nel momento dell’attacco, può essere cifrato a sua volta. È uno dei motivi per cui i backup andrebbero tenuti separati.
Cosa fare subito
Box: Cosa fare subito
- Isola il dispositivo: disconnettilo da internet e dalla rete locale (Wi-Fi e cavo) per evitare che il ransomware si propaghi ad altri dispositivi o cartelle condivise.
- Non pagare il riscatto: non c’è garanzia di riottenere i file, e il pagamento alimenta ulteriori attacchi.
- Non spegnere bruscamente il dispositivo se non necessario: in alcuni casi lo stato della memoria può aiutare un tecnico nell’analisi. Se il dispositivo è aziendale, segui prima la procedura interna se esiste.
- Non tentare di riformattare o reinstallare da solo se sui file colpiti non hai un backup separato: potresti perdere la possibilità di un futuro recupero.
- Cambia le password degli account importanti da un dispositivo diverso e sicuro (email, home banking, account di lavoro), perché credenziali salvate sul dispositivo infetto potrebbero essere state esposte.
- Contatta un tecnico o un servizio di sicurezza informatica per una valutazione del danno e delle possibilità di recupero.
- Segnala l’accaduto alla Polizia Postale, soprattutto se sono coinvolti dati sensibili, aziendali o di terzi.
Segnale / Cosa può significare / Azione consigliata
| Segnale osservato | Cosa può significare | Azione consigliata |
|---|---|---|
| File con estensione sconosciuta o irriconoscibile | I file sono stati cifrati dal ransomware | Isola subito il dispositivo dalla rete e non aprire altri file |
| Messaggio con richiesta di pagamento sullo schermo | L’attacco è in fase avanzata o già concluso | Non pagare, fotografa il messaggio e contatta un tecnico |
| Dispositivo molto più lento del solito | Il malware potrebbe essere ancora attivo e in fase di cifratura | Scollega la rete il prima possibile per limitare i danni |
| Antivirus disattivato senza tua azione | Il ransomware ha disabilitato le protezioni | Non riattivarlo da solo sul dispositivo infetto, rivolgiti a un tecnico |
| Cartelle condivise o NAS improvvisamente inaccessibili | L’infezione si è propagata sulla rete | Isola anche gli altri dispositivi collegati alla stessa rete |
| Email o notifiche di accessi sospetti dopo l’attacco | Le credenziali salvate potrebbero essere state esposte | Cambia le password da un dispositivo pulito e attiva l’autenticazione a due fattori |
| Backup non più raggiungibile o anch’esso cifrato | Il backup era collegato al dispositivo al momento dell’attacco | Verifica se esistono copie offline o non collegate in quel momento |
Come prevenire (in breve)
La prevenzione riduce in modo concreto il rischio e l’impatto di un attacco ransomware:
- Mantieni sistema operativo e software sempre aggiornati.
- Usa un backup regolare e scollegato dal dispositivo principale (backup offline o su cloud con versioning).
- Non aprire allegati o link sospetti, anche se sembrano provenire da contatti noti.
- Usa un antivirus aggiornato e attivo.
- Attiva l’autenticazione a due fattori sugli account principali.
- Limita i permessi di amministratore sui dispositivi condivisi.
FAQ
Se pago il riscatto, riavrò sicuramente i miei file? No, non c’è alcuna garanzia. Anche pagando, i file potrebbero non essere restituiti o essere restituiti in parte. Per questo il pagamento è generalmente sconsigliato dagli esperti di sicurezza.
Il ransomware può colpire anche lo smartphone? Sì, esistono varianti di ransomware che colpiscono anche i dispositivi mobili, anche se sono più comuni su computer e server aziendali.
Come faccio a sapere se i miei dati sono stati anche rubati, oltre che cifrati? Non è sempre possibile saperlo da soli con certezza. Alcuni attacchi combinano cifratura ed esfiltrazione dei dati. Una verifica tecnica approfondita da parte di un esperto è il modo più affidabile per accertarlo.
Devo denunciare l’attacco anche se si tratta di un dispositivo personale? Sì, è consigliabile segnalarlo comunque, in particolare se sono coinvolti dati sensibili o se sospetti un utilizzo fraudolento delle tue informazioni.
Un backup recente è sufficiente per evitare danni gravi? Un backup aggiornato e conservato separatamente dal dispositivo riduce molto l’impatto, perché permette di ripristinare i file senza dover considerare il pagamento del riscatto.
