Ransomware
hai il backup, quindi sei salvo. Falso.
Un ospedale in Lombardia. Un giorno qualunque, i reparti iniziano a rallentare, le prenotazioni si bloccano e alcuni sistemi diagnostici smettono di rispondere.Non è saltata la corrente. È un attacco informatico.
Non è fantascienza. Negli ultimi anni strutture sanitarie lombarde hanno subito gravi attacchi informatici, con conseguenze concrete sui servizi.
Giugno 2024, l'ASST Rhodense, che comprende gli ospedali di Garbagnate, Bollate e Rho, ha dovuto sospendere interventi non urgenti dopo un attacco rivendicato dal gruppo ransomware Cicada3301, che dichiarò di aver esfiltrato ed effettivamente pubblicò circa 1 terabyte di dati sanitari sensibili dei pazienti.
2023, il gruppo MultiMedica,insieme all'ospedale San Giuseppe di Milano, fu colpito da un attacco rivendicato da LockBit.
2022, l'ASST Fatebenefratelli-Sacco: il Garante ha poi ricostruito un attacco ransomware con disservizi ai sistemi e sottrazione di dati da un file server, sanzionando l'azienda con una multa di 40.000 euro per le difese giudicate insufficienti
Sono episodi diversi avvenuti in periodi differenti, ma mostrano tutti la stessa realtà: quando si ferma l’informatica in un ospedale, non si ferma soltanto un computer.
La reazione istintiva davanti a storie del genere è quasi sempre la stessa: “Per fortuna hanno il backup, ripristinano tutto e via.”
Fermati! Il backup serve ed è una delle risorse più importanti per qualsiasi organizzazione, ma credere che basti da solo è il modo più rapido per farsi trovare impreparati.
Il tempo è passato.. Il ransomware è cambiato!!
Il ransomware di dieci anni fa cifrava i file e chiedeva un riscatto per restituire l’accesso. Bastava ripristinare i dati dal backup, mandare a quel paese il criminale e rimettersi in piedi. Bel piano, peccato che nel frattempo gli attaccanti abbiano capito che il backup era il punto debole del loro ricatto. Se l’azienda recupera i file gratis, la richiesta di riscatto perde valore.
Oggi gli attacchi sono più articolati. Gli aggressori entrano tramite phishing, password rubate, servizi esposti o vulnerabilità non corrette.Poi restano nella rete in silenzio per capire l’ambiente… quali sono i server principali, quali account hanno privilegi amministrativi e dove sono conservati i backup …
Questa fase di ricognizione può durare settimane. Mandiant, (M-Trends 2025) ha rilevato un tempo medio globale di permanenza di 11 giorni prima dell'azione finale. Spesso la cifratura è l’ultimo atto, non il primo. E prima di cifrare, gli aggressori fanno qualcosa di ancora più pericoloso: copiano i tuoi dati.
A quel punto la minaccia raddoppia “Pagate, oppure pubblichiamo i dati dei vostri clienti, i bilanci e le informazioni sanitarie.”
È la cosiddetta doppia estorsione. Sebbene non accompagni ogni attacco, i dati italiani di Sophos indicano che l'11% degli attacchi con cifratura comporta anche l'esfiltrazione dei dati.
Credi che il tuo NAS sia una cassaforte?
Se il tuo backup si trova su un NAS collegato alla rete o su un disco USB lasciato sempre attaccato al server, non sei al sicuro. Se l’attaccante compromette un account con privilegi accessibili, può cancellare le copie o cifrarle. In quel momento il backup cessa di essere una via di fuga e diventa solo un altro file colpito.
Avere un backup utile significa avere una copia precedente alla compromissione, integra, raggiungibile solo da account separati, protetta da modifiche e già verificata con un test di ripristino reale. Ricordando sempre che il backup protegge la disponibilità dei dati, ma non annulla il rischio che siano stati rubati.
Per darne una dimensione economica, (Sophos 2025) sul campione italiano rileva una richiesta media di riscatto di 4,12 milioni di dollari e un costo medio di ripristino (senza riscatto) di 3,55 milioni.
Lo sai che pagare non è l’unica strada? Quando i server sono bloccati, pagare può sembrare la via d'uscita più rapida, ma i dati raccontano altro. Nel campione Sophos, il 99% delle organizzazioni colpite da cifratura è riuscito a recuperare i dati: il 58% ha usato i backup, mentre il 27% ha pagato il riscatto.
Questo dimostra che il ripristino senza pagare è del tutto possibile, a patto che le copie siano disponibili e le procedure funzionino.
La vera domanda da porsi non è “Abbiamo un backup?”, ma “Il nostro backup funzionerebbe se l’attaccante avesse già il controllo della rete?”
La regola 3-2-1 e la retention
La regola classica prevede almeno 3 copie dei dati, su 2 supporti diversi, con 1 copia fuori sede. Per proteggersi dai ransomware moderni, le organizzazioni aggiungono copie offline o immutabili e test periodici. La CISA raccomanda test di disaster recovery regolari in scenari realistici, perché la parte dei test è quella che quasi tutti saltano: Un backup mai provato è una promessa, non una protezione.
Non dimentichiamo, che gli attaccanti possono restare nella rete per giorni, conservare solo l'ultima copia rischia di salvare un ambiente già compromesso.
La strategia Grandfather-Father-Son (copie giornaliere, settimanali e mensili) permette di conservare punti di ripristino distribuiti nel tempo, offrendo una via di scampo nel caso l'infezione sia iniziata da tempo.
Non esiste un singolo prodotto risolutivo. La sicurezza reale richiede una combinazione costante di misure: come la formazione degli utenti contro il phishing, autenticazione multifattore (specie per account privilegiati), aggiornamento tempestivo dei sistemi, segmentazione della rete per impedire i movimenti laterali, monitoraggio dei log e procedure scritte di risposta agli incidenti.
L’autenticazione multifattore evita che una password rubata sia sufficiente per accedere, e la formazione riduce l'impatto dell'errore umano, che prima o poi si verifica sempre.
Nel gestire i backup occorre distinguere tra immutabilità (dati non modificabili per un certo periodo) e copie offline o air-gapped (fisicamente disconnesse dalla rete). Combinarle è l'ideale, ma nessuna delle due è magica se la gestione delle credenziali o delle chiavi di cifratura è debole.
Cosa fare quando l’attacco è iniziato..
Davanti alla schermata di ricatto, la prima cosa da fare non è rompere il salvadanaio. Ma attivare subito il piano di risposta agli incidenti e contattare i referenti IT o di sicurezza.
Se fattibile senza rischi per le persone o per i processi critici (in un ospedale questo richiede massima cautela), occorre isolare i sistemi compromessi. È fondamentale evitare di formattare i computer o spegnere tutto indiscriminatamente, per evitare di cancellare le prove utili all'analisi forense. In base alla gravità, andranno poi coinvolti DPO, consulenti legali, assicurazione cyber e autorita competenti.
Pagare non garantisce né il recupero né la cancellazione dei dati rubati.
Cè una domanda che voglio farti oggi.
‘‘Se un attaccante prendesse il controllo di un computer della tua azienda, riuscirebbe a cancellare o cifrare anche il backup?’’
Se la risposta è sì, c'è subito qualcosa su cui intervenire: separare gli account, scollegare una copia, configurare l'immutabilità o, semplicemente, effettuare per la prima volta un vero test di ripristino.
Il backup non è una polizza magica: è una parte della strategia, e funziona soltanto se progettato pensando a chi proverà a distruggerlo.
Questo pezzo è divulgazione, non una consulenza di sicurezza o legale su misura per la tua azienda specifica, per quello serve chi conosce davvero la tua infrastruttura. Ma ogni numero e ogni caso citato qui sopra è verificabile, non inventato: viene dai report Sophos e Mandiant, dal Garante Privacy, da Clusit e CISA, e dalla cronaca di Cybersecurity360 sui casi lombardi.
Se vuoi controllare di persona
Sophos, The State of Ransomware 2025
Sophos, dati italiani del rapporto 2025
Mandiant/Google Cloud, M-Trends 2025
Cybersecurity360, attacco all’ASST Rhodense
Cybersecurity360, caso MultiMedica e San Giuseppe
Garante per la protezione dei dati personali, provvedimento sull’ASST Fatebenefratelli-Sacco
Commenti
Ancora nessun commento. Sii il primo a commentare!