Ransomware alle PMI: come entra davvero e dove si spezza la catena d’attacco

Il ransomware non è una minaccia astratta. È concreto, misurabile, e colpisce le PMI italiane ogni giorno. Le PMI sono un bersaglio primario: la maggior parte degli attacchi ransomware colpisce oggi aziende sotto i 250 dipendenti, percepite come meno difese ma comunque redditizie.

La domanda che dovresti farti non è “mi colpirà?”, ma “dove entra e dove posso fermarlo?”. Perché la buona notizia è questa: il ransomware segue sempre una catena prevedibile. E ogni anello di quella catena è un punto dove puoi intervenire.

Questo articolo ti mostra esattamente come funziona l’attacco, dove entrano gli attaccanti, e soprattutto: dove spezzare la catena prima che sia troppo tardi. Per una mappa d’insieme interattiva della kill chain con la matrice operativa, puoi consultare anche la nostra guida interattiva sulla catena d’attacco ransomware nelle PMI.

Come entra il ransomware: i vettori reali

Non è magia. Il ransomware entra quasi sempre attraverso tre canali principali:

• Email di phishing: un dipendente riceve un messaggio che sembra legittimo (fattura, comunicazione bancaria, ordine di acquisto). Clicca un link, scarica un allegato, e il malware è dentro. È il vettore più usato perché è umano, non tecnico.
• Credenziali compromesse: password rubate dal dark web, riutilizzate, o ottenute tramite brute force. Un attaccante accede a VPN, RDP, o servizi cloud con credenziali vere. Nessun allarme, nessun “attacco”—è un accesso legittimo.
• Vulnerabilità non patchate: software obsoleto, server senza aggiornamenti di sicurezza, plugin scaduti. Un attaccante scansiona la tua rete, trova una falla nota, e la sfrutta. È automatico, veloce, silenzioso.

La realtà: non servono tecnologie sofisticate per entrare in una PMI. Servono negligenza, fretta, e un dipendente stanco che clicca senza pensare.

La catena d’attacco: 5 fasi dove puoi intervenire

Una volta dentro, il ransomware segue sempre lo stesso percorso. Capire questo percorso significa capire dove mettere le difese.

Fase 1: Accesso iniziale
L’attaccante è dentro. Potrebbe stare dormiente per giorni, settimane, anche mesi. Non fa nulla di vistoso. Semplicemente: è lì.

Dove intervieni: Autenticazione multi-fattore (MFA) su tutti gli accessi critici. Se il tuo dipendente usa una password compromessa, l’MFA blocca l’attaccante anche se ha le credenziali giuste.

Fase 2: Movimento laterale
L’attaccante inizia a esplorare la rete. Cerca altri computer, server, database. Raccoglie informazioni, testa i permessi, costruisce una mappa della tua infrastruttura.

Dove intervieni: Segmentazione di rete. Se i tuoi sistemi critici sono isolati in una VLAN protetta, l’attaccante non può muoversi liberamente. Anche se compromette una workstation, non raggiunge il server ERP o i dati sensibili.

Fase 3: Raccolta di credenziali e privilegi
L’attaccante ruba credenziali di amministratori, accessi a backup, permessi elevati. Ora ha i “passepartout” della tua azienda.

Dove intervieni: Principio del minimo privilegio (least privilege). I dipendenti usano account standard, non amministratori. Gli admin hanno credenziali separate, non riutilizzabili. I backup sono isolati e non accessibili dalla rete operativa.

Fase 4: Ricognizione e preparazione
L’attaccante identifica i dati più preziosi, i sistemi critici, i backup. Prepara l’attacco vero e proprio. Questa fase può durare settimane.

Dove intervieni: Monitoraggio continuo della rete (SIEM). Se qualcuno accede ai backup, copia dati in massa, o enumera le risorse di rete, un sistema di monitoraggio lo rileva. Non è invisibile se sai dove guardare.

Fase 5: Esecuzione e crittografia
Il ransomware viene lanciato. I file vengono crittografati. Appare il messaggio di riscatto. È il momento in cui scopri l’attacco.

Dove intervieni: Backup immutabili e offline. Se i tuoi backup non sono accessibili dalla rete (e non possono essere modificati), puoi ripristinare i dati senza pagare. Inoltre: EDR (Endpoint Detection and Response) che blocca il ransomware prima che crittografi tutto.

I punti critici dove spezzare la catena

Non devi difendere tutto. Devi difendere bene i punti che contano. Ecco i tre interventi che, secondo le analisi di settore, fermano la maggior parte degli attacchi ransomware:

• Autenticazione multi-fattore (MFA): Secondo Microsoft, blocca oltre il 99% dei tentativi di compromissione automatizzata degli account. È il primo anello. Se lo spezzi, la maggior parte degli attaccanti smette e passa al bersaglio successivo.
• Backup offline e immutabili: Anche se il ransomware crittografa tutto, tu puoi ripristinare da un backup che l’attaccante non può raggiungere. È il tuo piano B, e deve funzionare.
• Monitoraggio continuo (SIEM/EDR): Non puoi fermare quello che non vedi. Un sistema che monitora accessi anomali, movimenti laterali, e comportamenti sospetti ti avvisa prima che sia troppo tardi.

Questi tre interventi non sono “nice to have”. Sono il fondamento. Tutto il resto—firewall, antivirus, aggiornamenti—è importante, ma questi tre sono non-negoziabili.

Ransomware alle PMI: il costo dell’inazione

Una PMI colpita da ransomware affronta:

• Fermo operativo: giorni o settimane senza accesso ai dati
• Perdita di fatturato: clienti che vanno altrove, ordini persi
• Costi di recovery: ripristino dei sistemi, consulenti, forensica
• Riscatto: se non hai backup, pagare diventa l’unica opzione (e non è garantito che i dati vengano restituiti)
• Danno reputazionale: i clienti scoprono che i loro dati erano vulnerabili
• Oneri normativi: GDPR, NIS2, segnalazioni obbligatorie

Il costo medio di un attacco ransomware per una PMI italiana? Tra i 50.000 e i 500.000 euro. Non è un rischio teorico. È una questione di quando, non se.

Come prepararsi: il piano concreto

Se sei una PMI e non sai da dove iniziare, ecco l’ordine:

1. Inventario dei sistemi critici: quali dati, se crittografati, bloccherebbero l’operatività aziendale. Parti da qui: senza sapere cosa proteggere, ogni altra misura è cieca.
2. Autenticazione multi-fattore ovunque: attivala su tutti gli accessi critici (VPN, RDP, servizi cloud, posta elettronica). È la misura a più alto impatto per il minor sforzo.
3. Backup offline e testati: verifica che esistano copie isolate dalla rete operativa e che il ripristino funzioni davvero, non solo sulla carta.
4. Segmentazione di rete: isola i sistemi critici (ERP, produzione, dati sensibili) dal resto della rete aziendale.
5. Monitoraggio continuo: un SIEM o un servizio di monitoring gestito ti avvisa quando qualcosa si muove in modo anomalo, prima che diventi un incidente.

Non serve partire con tutto in parallelo: l’ordine sopra riflette anche la priorità, e ogni punto spezza uno degli anelli della catena d’attacco descritta in questo articolo.

Se non sai da dove cominciare, il modo più rapido per scoprirlo è mettere alla prova la tua organizzazione con uno scenario realistico.