ransomware: cos’è, come funziona un attacco e come proteggere l’azienda.

Il ransomware è un software malevolo che rende inaccessibili i dati e i sistemi di un’organizzazione, di norma cifrandoli, per poi chiedere il pagamento di un riscatto in cambio della chiave di decifratura. Si distingue dagli altri malware per il suo obiettivo economico diretto e immediato. Non punta a spiare in silenzio, ma a bloccare l’attività e a costringere l’azienda a trattare. Nella maggior parte dei casi recenti, all’estorsione si aggiunge il furto dei dati, con la minaccia di pubblicarli se il pagamento non arriva.

In questa guida vediamo cos’è il ransomware e in cosa si differenzia dagli altri malware, come si svolge un attacco ransomware fase per fase, quali danni produce sull’operatività e sui rapporti di filiera, quali misure di prevenzione riducono davvero il rischio, perché il fattore umano resta la variabile decisiva, cosa fare nelle ore successive a un incidente e quali competenze servono per presidiare la sicurezza. L’obiettivo è darti una mappa concreta per passare dalla reazione alla preparazione.

indice dei contenuti

• che cos’è il ransomware
• come funziona un attacco ransomware, fase per fase
• l’impatto sull’azienda va oltre il riscatto
• prevenzione: le misure che fanno davvero la differenza
• il fattore umano: formazione e cultura della sicurezza
• cosa fare durante e dopo un attacco
• competenze e partner: come coprire il fabbisogno di sicurezza

che cos’è il ransomware.

Partiamo dalla definizione e dalle forme che questo tipo di attacco assume oggi. Capire in che cosa il ransomware si distingue dagli altri programmi malevoli non è un esercizio terminologico: le contromisure che funzionano contro la sola cifratura dei file non bastano quando in gioco c’è anche il furto dei dati.

definizione e differenza rispetto agli altri malware.

Il ransomware è una categoria di software malevolo progettata per negare a un’organizzazione l’accesso ai propri dati o ai propri sistemi, chiedendo in cambio un pagamento. Il nome unisce il termine inglese ransom, cioè riscatto, alla parola software. Nella forma classica il programma cifra i file presenti su server, postazioni e archivi condivisi, lascia una nota con le istruzioni di pagamento e avvia un conto alla rovescia. Finché l’azienda non recupera i dati da un backup o non ottiene la chiave, quei file restano illeggibili.

La differenza rispetto agli altri malware sta nell’obiettivo. Uno spyware punta a raccogliere informazioni restando invisibile il più a lungo possibile. Un trojan bancario cerca di intercettare credenziali e transazioni. Un ransomware, invece, a un certo punto si manifesta per forza, perché l’estorsione funziona solo se la vittima si accorge del blocco. Questa differenza ha una conseguenza pratica importante: il ransomware è spesso l’ultimo atto di un’intrusione cominciata settimane prima, e il momento in cui lo vedi è il momento in cui gli attaccanti hanno già ottenuto quello che volevano.

le famiglie principali: cifratura dei dati ed estorsione doppia.

La prima famiglia è quella del ransomware a sola cifratura. Il codice malevolo rende illeggibili i file e chiede il riscatto per la chiave. Contro questo scenario un backup isolato e verificato è una difesa molto efficace, perché permette di ripristinare l’ambiente senza trattare con nessuno. Proprio per questo motivo gli attaccanti hanno cambiato modello, e oggi la sola cifratura è diventata minoritaria nelle campagne contro le imprese strutturate.

La seconda famiglia, oggi prevalente, è quella della doppia estorsione. Prima di cifrare, gli attaccanti copiano all’esterno i dati più sensibili, come anagrafiche clienti, progetti, contratti, dati del personale. Il riscatto non serve solo a riavere i file, ma anche a evitare la pubblicazione su un sito dedicato alle vittime. In alcune campagne si arriva a una tripla estorsione, con pressioni dirette su clienti, fornitori o dipendenti i cui dati sono stati sottratti. Il backup, in questo scenario, protegge la continuità operativa ma non annulla il rischio di diffusione dei dati, e questo cambia il modo in cui va impostata la difesa. Per approfondire il quadro delle tecnologie e dei rischi digitali che riguardano le imprese puoi consultare la nostra sezione dedicata alla digital innovation.

come funziona un attacco ransomware, fase per fase.

Gli attacchi contro le imprese seguono quasi sempre la stessa sequenza, e conoscerla serve a individuare i momenti in cui è ancora possibile intervenire. Vediamo da dove entrano gli attaccanti, che cosa fanno nei giorni successivi e in quale momento scatta la cifratura.

accesso iniziale: phishing, credenziali compromesse, vulnerabilità non corrette.

Un attacco ransomware comincia quasi sempre da una di tre porte. La prima è il phishing, cioè un messaggio costruito per indurre una persona ad aprire un allegato, cliccare un link o inserire le proprie credenziali su una pagina falsa. La seconda è l’uso di credenziali valide ottenute altrove, acquistate su mercati illeciti o riutilizzate dal dipendente su servizi esterni compromessi. La terza è lo sfruttamento di una vulnerabilità non corretta su un sistema esposto su internet, tipicamente un accesso remoto, un firewall o un portale aziendale.

Nessuna di queste tre porte richiede tecniche esotiche. Richiede solo che l’organizzazione abbia lasciato una finestra aperta: un aggiornamento rimandato, un accesso remoto senza secondo fattore, una casella di posta non protetta da filtri adeguati. Le migrazioni verso servizi in cloud computing hanno ridotto alcune superfici di rischio e ne hanno create altre, perché spostano l’attenzione dalla difesa del perimetro alla gestione corretta delle identità e delle configurazioni.

movimento laterale, cifratura e richiesta di riscatto.

Ottenuto il primo accesso, gli attaccanti non cifrano subito. Prima esplorano la rete per capire dove si trovano i dati di valore, quali sono i server critici e dove risiedono i backup. In questa fase cercano di elevare i propri privilegi fino a ottenere credenziali amministrative, che consentono di muoversi liberamente. Il movimento laterale può durare giorni o settimane, ed è il momento in cui un’organizzazione preparata ha ancora la possibilità di accorgersi di qualcosa e fermare l’attacco prima che produca danni.

La cifratura arriva alla fine, ed è deliberatamente rumorosa. Viene lanciata spesso di notte o durante un ponte festivo, quando i presidi sono ridotti, e colpisce contemporaneamente il maggior numero possibile di sistemi, compresi i backup raggiungibili dalla rete. Subito dopo compare la richiesta di riscatto, con un canale di contatto e una scadenza. A quel punto la trattativa parte da una posizione di forte squilibrio, perché l’azienda è ferma e ogni ora che passa ha un costo misurabile.

l’impatto sull’azienda va oltre il riscatto.

Valutare le conseguenze di un attacco significa guardare molto oltre la cifra chiesta dagli attaccanti. In questa sezione vediamo quali voci pesano davvero sul bilancio e quali effetti si propagano su clienti e fornitori, elementi che rientrano a pieno titolo nel risk management aziendale e non solo nel budget dell’IT.

fermo operativo, perdita di dati e costi di ripristino.

La voce di costo più pesante non è quasi mai il riscatto, ma il fermo operativo. Una linea di produzione che si arresta, un magazzino che non può evadere ordini, un servizio clienti che perde l’accesso agli archivi generano perdite che crescono ogni giorno. Ai mancati ricavi si sommano i costi diretti della gestione dell’emergenza, cioè analisi forense, ripristino dei sistemi, ricostruzione dei dati mancanti, ore di straordinario e consulenze specialistiche. Il ritorno alla piena normalità richiede in molti casi settimane, non giorni.

La dimensione del fenomeno in Italia è documentata. Secondo il Rapporto Clusit 2026, presentato al Security Summit di marzo 2026, nel 2025 sono stati censiti 5.265 incidenti gravi a livello globale, con una crescita del 49 per cento rispetto all’anno precedente. In Italia gli attacchi gravi rilevati sono stati 507, in aumento del 42 per cento, pari al 9,6 per cento del totale mondiale. Sono numeri che raccontano una pressione strutturale, non una serie di casi isolati, e che rendono la preparazione una scelta di gestione del rischio più che una questione tecnica.

danno reputazionale e conseguenze contrattuali sulla filiera.

Un attacco che comporta la sottrazione di dati personali fa scattare gli obblighi previsti dal Regolamento europeo sulla protezione dei dati. L’articolo 33 del GDPR impone di notificare la violazione all’autorità di controllo entro 72 ore da quando se ne viene a conoscenza, e in presenza di un rischio elevato per i diritti delle persone occorre informare anche gli interessati. Le notifiche rendono pubblico l’incidente e ne moltiplicano l’eco, con effetti diretti sulla fiducia di clienti, dipendenti e partner.

C’è poi un effetto che molte imprese scoprono solo quando si verifica, cioè la ricaduta sulla filiera. I contratti con grandi committenti contengono clausole sulla continuità del servizio, sulla sicurezza dei dati e sui tempi di notifica, e il mancato rispetto può portare a penali, audit straordinari o mancati rinnovi. Per le aziende che operano come fornitori, un incidente non gestito bene si traduce in una perdita di credibilità commerciale che dura ben oltre il ripristino tecnico dei sistemi. La sicurezza, in questo senso, è parte integrante del percorso di digitalizzazione aziendale e non un capitolo separato.

prevenzione: le misure che fanno davvero la differenza.

Non tutte le misure di sicurezza hanno lo stesso rendimento, e concentrare le risorse sulle poche che contano è più efficace di un piano ampio e disatteso. Vediamo quali presidi riducono concretamente la probabilità di un attacco e ne limitano la portata, partendo dalla fotografia delle debolezze che emerge da un vulnerability assessment periodico.

backup isolati, gestione delle patch e autenticazione a più fattori.

Il backup resta la misura singola con il miglior rapporto tra costo e beneficio, a due condizioni. La prima è che almeno una copia sia isolata dalla rete di produzione, in modo che un attaccante con privilegi amministrativi non possa raggiungerla e cancellarla. La seconda è che il ripristino venga provato periodicamente su dati reali. Un backup mai testato è una speranza, non una difesa, e molte organizzazioni scoprono che i tempi di ripristino effettivi sono molto più lunghi di quelli stimati proprio nel momento peggiore.

Accanto al backup contano due presidi elementari e spesso trascurati. La gestione tempestiva delle patch chiude le vulnerabilità note prima che vengano sfruttate, e richiede un inventario aggiornato di tutto ciò che è esposto su internet. L’autenticazione a più fattori rende inutili le credenziali rubate, ed è particolarmente critica su accessi remoti, posta elettronica e utenze amministrative. Sono misure poco appariscenti, ma intercettano la larga maggioranza degli accessi iniziali descritti nella sezione precedente.

segmentazione della rete e controllo degli accessi privilegiati.

La segmentazione della rete serve a contenere il danno quando la prevenzione fallisce. Separare gli ambienti, per esempio isolando la rete di produzione da quella d’ufficio e circoscrivendo i sistemi che trattano dati sensibili, rende molto più lento e rumoroso il movimento laterale. Un attaccante che entra da una postazione amministrativa e non riesce a raggiungere i server applicativi produce un incidente circoscritto invece di un blocco totale.

Il controllo degli accessi privilegiati agisce sullo stesso principio, applicato alle identità. Le utenze amministrative vanno ridotte al minimo indispensabile, assegnate a persone identificabili, protette con secondo fattore e monitorate. Vale anche il principio del privilegio minimo, per cui ogni utenza dispone solo dei permessi necessari al proprio ruolo. Quando questi controlli mancano, una singola credenziale compromessa apre l’intera infrastruttura, ed è esattamente lo scenario che gli attaccanti cercano.

il fattore umano: formazione e cultura della sicurezza.

La tecnologia da sola non basta, perché quasi tutti gli attacchi cominciano da un’azione compiuta da una persona in buona fede. In questa sezione vediamo perché accade con tanta regolarità e come costruire un percorso di sensibilizzazione che produca effetti reali sul comportamento quotidiano.

perché la maggior parte degli attacchi passa da un errore umano.

Le tre porte d’ingresso più frequenti hanno un elemento in comune, cioè una persona che compie un’azione apparentemente normale. Qualcuno apre un allegato che sembra una fattura, qualcuno reinserisce le proprie credenziali su una pagina identica a quella aziendale, qualcuno riutilizza la stessa password su un servizio esterno che poi viene violato. Non si tratta di disattenzione individuale, ma di messaggi costruiti per superare le difese cognitive di chi lavora sotto pressione e gestisce decine di comunicazioni al giorno.

Questo spiega perché un investimento solo tecnologico produce risultati parziali. Gli strumenti filtrano una parte delle minacce, ma la parte che passa arriva a una persona che deve decidere in pochi secondi. Rendere quella decisione più informata è una leva organizzativa, e riguarda la funzione HR quanto la funzione IT. È anche il motivo per cui la sicurezza sta entrando stabilmente nei piani di formazione aziendale come contenuto ricorrente e non come intervento una tantum.

come costruire un programma di security awareness che funzioni.

Un programma efficace ha tre caratteristiche. È continuativo, perché una sessione annuale non modifica comportamenti quotidiani. È pratico, perché si basa su simulazioni di phishing e su casi realistici invece che su definizioni teoriche. È differenziato, perché un addetto amministrativo, un responsabile finance e un tecnico di stabilimento sono esposti a rischi diversi e hanno bisogno di indicazioni diverse. Gli obiettivi vanno misurati nel tempo, per esempio osservando come cambia il tasso di segnalazione dei messaggi sospetti.

Il punto più delicato è il clima. Se chi cade in una simulazione viene esposto o sanzionato, le persone smettono di segnalare gli errori reali, e l’azienda perde il suo sistema di allerta più rapido. Il messaggio da costruire è opposto, cioè segnalare subito è la cosa giusta da fare, sempre, anche quando si sospetta di avere sbagliato. Una cultura della sicurezza matura si riconosce da quanto velocemente arriva la prima segnalazione, non da quanti errori vengono evitati sulla carta.

cosa fare durante e dopo un attacco.

Le decisioni prese nelle prime ore pesano sull’esito più di qualunque scelta successiva. Vediamo come organizzare la risposta, chi deve essere avvisato e quali obblighi normativi scattano, in una logica di resilienza aziendale che tiene insieme continuità operativa e adempimenti.

piano di risposta agli incidenti e catena di escalation.

Le prime ore determinano gran parte dell’esito. Il piano di risposta agli incidenti deve indicare in modo esplicito chi fa cosa, con quali priorità e con quali poteri decisionali. Le azioni immediate riguardano l’isolamento dei sistemi coinvolti, la conservazione delle evidenze per l’analisi forense, la verifica dello stato dei backup e l’attivazione dei canali di comunicazione alternativi, dato che posta e telefonia aziendale potrebbero non essere disponibili. Prendere queste decisioni mentre l’attacco è in corso, senza un piano scritto, porta a errori difficili da recuperare.

Il piano va provato. Un’esercitazione periodica, anche solo come simulazione a tavolino con i responsabili delle funzioni coinvolte, fa emergere i punti deboli reali, come un recapito non aggiornato, un fornitore non raggiungibile fuori orario, un’ambiguità su chi autorizza lo spegnimento di un impianto. La catena di escalation deve arrivare fino alla direzione, perché le decisioni su fermo produttivo, comunicazione esterna e rapporti con le autorità non sono decisioni tecniche.

obblighi di notifica e rapporto con le autorità competenti.

Sul piano degli obblighi, in Italia il punto di riferimento è l’Agenzia per la Cybersicurezza Nazionale, che ospita il CSIRT Italia e raccoglie le segnalazioni di incidente. Per i soggetti che rientrano nel perimetro della direttiva NIS2 il regime è stringente, con una prima segnalazione entro 24 ore dalla conoscenza dell’incidente significativo, una notifica più completa entro 72 ore e una relazione finale entro un mese. In parallelo, se sono coinvolti dati personali, restano validi gli obblighi previsti dal GDPR verso il Garante per la protezione dei dati personali.

A questo quadro si aggiunge il Cyber Resilience Act, che dall’11 settembre 2026 introduce obblighi di segnalazione specifici per chi fabbrica, importa o distribuisce prodotti con elementi digitali, con finestre temporali ancora più strette. Sul pagamento del riscatto la posizione delle autorità europee e nazionali è costante, cioè pagare è fortemente sconsigliato. Il pagamento non garantisce la restituzione dei dati né la loro effettiva cancellazione dagli archivi degli attaccanti, espone a un secondo tentativo di estorsione e finanzia il modello criminale. La decisione, quando si presenta, va presa con il supporto di consulenti legali e con le autorità già informate, non nella concitazione delle prime ore.

competenze e partner: come coprire il fabbisogno di sicurezza.

Presidiare la sicurezza richiede figure che sul mercato italiano sono contese e difficili da inserire in tempi brevi. Vediamo quali profili servono davvero, come capire quali mancano in azienda e in quali casi conviene affidarsi a un partner esterno invece di costruire tutto internamente.

i profili cyber più richiesti e la difficoltà di reperirli.

La domanda di competenze di sicurezza cresce più rapidamente dell’offerta disponibile sul mercato. I profili più richiesti vanno dall’analista SOC, che presidia il monitoraggio e la prima risposta, al cyber security expert con responsabilità di architettura e governo del rischio, fino alle figure di compliance che traducono gli obblighi normativi in procedure operative. Sono ruoli con tempi di copertura lunghi e forte concorrenza tra aziende, anche perché le competenze richieste combinano solide basi tecniche e capacità di dialogo con il business.

Per le imprese di media dimensione la difficoltà non è solo trovare queste persone, ma anche giustificare un organico interno dedicato a tempo pieno. La strada praticabile passa spesso da una combinazione di leve, cioè inserire una figura di riferimento interna, far crescere competenze già presenti nel team IT attraverso percorsi mirati e affidare all’esterno il presidio continuativo. La scelta dipende dalla dimensione dell’azienda, dal livello di rischio del settore e dagli obblighi normativi applicabili.

quando conviene affidarsi a un partner esterno.

Affidarsi a un partner esterno conviene quando servono presidio continuo, strumenti specialistici e competenze difficili da mantenere internamente. Il monitoraggio ventiquattro ore su ventiquattro, la gestione delle vulnerabilità e la risposta agli incidenti richiedono turni, tecnologie e aggiornamento costante che poche organizzazioni possono sostenere da sole. È la ragione per cui il modello del fornitore di servizi gestiti si è diffuso anche tra le aziende che mantengono un proprio reparto IT.

Noi di Randstad affianchiamo le imprese su entrambi i fronti. Da un lato con la ricerca e la selezione dei profili di sicurezza e con i percorsi di sviluppo delle competenze per i team già presenti. Dall’altro con i servizi di consulenza e le soluzioni gestite di Randstad Digital, che coprono progetti e presidio operativo quando l’organico interno non basta. L’obiettivo è costruire una capacità di difesa sostenibile nel tempo, dimensionata sul rischio reale della tua organizzazione.