Ransomware alle PMI: come entra davvero e come si ferma
Nel 2026 il ransomware non entra più tramite un allegato aperto per errore. Entra da varchi strutturali: credenziali VPN compromesse senza MFA, porte RDP esposte o falle mai patchate sui server periferici. Ecco l’anatomia esatta dell’intrusione e dove spezzare la catena prima del disastro.
Da dove entrano gli attaccanti nelle PMI italiane
Nei nostri interventi di Incident Response, la quasi totalità degli incidenti ha origine da uno di questi 3 varchi:
1. Credenziali VPN & Accessi senza MFA
Password deboli o riutilizzate trapelate nei leak del Dark Web. Senza autenticazione a più fattori (MFA), l’attaccante entra come utente legittimo senza destare sospetti.
2. Porte RDP & Servizi Remoti Esposti
Server periferici, desktop remoti o appliance di rete aperte su Internet senza segmentazione. I bot scansione scovano l’IP in poche ore ed eseguono brute-force automatico.
3. Phishing Mirato con Evasione EDR
Email che imitano fornitori reali o comunicazioni bancarie con QR code (Quishing) o link verso pagine di credential harvest che eludono i filtri antispam tradizionali.
La Kill Chain: cosa accade tra l’ingresso e la cifratura
Tra il primo accesso e la schermata del riscatto passano dai 5 ai 15 giorni. È in questa finestra che la difesa può vincere:
Infiltrazione Silenziosa (Initial Access)
L’attaccante ottiene una testa di ponte con privilegi minimi. Non attiva allarmi rumorosi, verifica le connessioni e imposta la persistenza.
Movimento Laterale & Escalation Privilegi
Attraverso strumenti già presenti nel sistema operativo (Living off the Land) mappa l’Active Directory e ottiene i privilegi di Domain Admin.
Caccia e Neutralizzazione dei Backup
Prima di cifrare qualsiasi file, gli operatori ransomware cercano i repository NAS, server Veeam e copie di backup per cancellarli o corromperli.
Esfiltrazione Dati Riservati (Doppia Estorsione)
I database contabili, le formule di produzione e le buste paga vengono caricate su server cloud esteri prima del blocco operativo.
Cifratura di Massa e Richiesta di Riscatto
Venerdì sera o di notte: i payload cifranti vengono distribuiti via GPO. All’arrivo lunedì mattina, l’intera infrastruttura è paralizzata.
I 4 Punti di Rottura Preventiva
Come neutralizzare la minaccia prima che raggiunga la fase di cifratura irreversibile:
MFA Rigorosa
Autenticazione a due fattori obbligatoria su VPN, Microsoft 365 e accessi remoti. Neutralizza oltre il 99% degli attacchi basati su furto credenziali.
SOC & SIEM Continuo
Monitoraggio comportamentale degli endpoint (EDR/XDR) e log Active Directory h24/365 per intercettare il movimento laterale nei primi minuti.
Backup Immutabili
Regola 3-2-1-1-0: copie offline fisicamente isolate e storage WORM (Write Once, Read Many) che nessun ransomware può alterare né cancellare.
Segregazione di Rete
Isolamento tra rete uffici, server critici e ambienti industriali/OT per impedire la diffusione dell’infezione ad anello.
Ricevi la Checklist Antiransomware per PMI (PDF)
Abbiamo condensato l’esperienza dei nostri team di Incident Response in una checklist tecnica in 10 punti prioritari da verificare immediatamente con il tuo IT manager o MSP.
- ✓ 10 controlli tecnici verificabili in meno di 60 minuti
- ✓ Matrice di priorità da implementare subito senza costi aggiuntivi
- ✓ Modello operativo per la verifica dell’immutabilità dei backup
- ✓ Formato PDF impaginato pronto per l’uso aziendale
Abbiamo inviato la Checklist tecnica in formato PDF alla tua casella email aziendale. Controlla la posta in arrivo (anche cartella spam o promozioni).
Vuoi approfondire l’analisi tecnica?
Leggi l’articolo completo sul nostro blog con tutti i dettagli sulle tecniche MITRE ATT&CK e le metriche di recupero.