Schermate di riscatto, email inviate a tutti i clienti dalla tua casella, file che non si aprono, un bonifico partito verso un IBAN sconosciuto: quando un attacco informatico colpisce uno studio, il primo istinto è spegnere tutto o provare a sistemare da soli. Sono quasi sempre le mosse sbagliate. Questa guida spiega cosa fare dopo un attacco informatico, in ordine, ed è pensata per essere stampata e tenuta a portata di mano.
Cos’è un incidente informatico?
Un incidente informatico è un evento che compromette la riservatezza, l’integrità o la disponibilità di dati o sistemi: un ransomware, un account di posta violato, un furto di dati, un computer infetto, una truffa del bonifico, ma anche un portatile rubato. Non tutti gli incidenti sono gravi, ma tutti vanno gestiti con metodo.
Non sei solo: nel 2025 la Polizia Postale ha trattato oltre 51.000 casi e registrato più di 9.000 attacchi contro infrastrutture, enti, aziende e privati; il Rapporto Clusit 2026 conta 507 incidenti gravi in Italia nello stesso anno.
La prima ora: cosa fare subito
- Mantieni la calma e annota l’ora. Da questo momento scrivi tutto: cosa vedi, cosa fai, chi chiami.
- Isola i dispositivi colpiti. Stacca il cavo di rete e disattiva il Wi-Fi. Non spegnere i computer: in memoria ci sono informazioni utili per capire cosa è successo. Se l’attacco si sta diffondendo, scollega anche il NAS e i dischi di backup.
- Non cancellare nulla e non reinstallare. Fotografa con il telefono i messaggi sullo schermo (richiesta di riscatto, errori, email sospette).
- Chiama il tecnico di fiducia. Spiega cosa vedi; segui le sue indicazioni prima di fare altro.
- Avvisa l’assicurazione cyber, se ne hai una: spesso prevede un numero d’emergenza e regole precise da rispettare.
- Cambia le password critiche da un dispositivo pulito: posta, home banking, gestionale, VPN. Attiva l’autenticazione a due fattori se mancava (→ guida a password e MFA).
- Se ci sono soldi in gioco, per esempio un bonifico fraudolento, chiama subito la banca per tentare il richiamo (→ truffa del bonifico e del CEO).
Cosa NON fare
- Non pagare il riscatto d’impulso: non c’è garanzia di riavere i dati e si diventa un bersaglio noto (→ ransomware negli studi).
- Non ripristinare subito i backup: prima bisogna essere sicuri che l’attaccante sia fuori e che i backup non siano compromessi.
- Non usare la posta potenzialmente violata per comunicare sull’incidente.
- Non tenere nascosto l’accaduto a colleghi e titolare: chi ha cliccato deve poterlo dire senza paura.
- Non contattare i criminali di tua iniziativa.
Le prime 24-72 ore: denunciare e valutare gli obblighi
Denuncia alla Polizia Postale
L’attacco informatico è un reato. La denuncia si può presentare presso un ufficio della Polizia di Stato o avviare online tramite il Commissariato di PS Online, il portale della Polizia Postale. Porta con te le annotazioni, le foto e le informazioni raccolte. La denuncia serve anche per l’assicurazione e per eventuali contestazioni.
Data breach e Garante privacy
Se sono coinvolti dati personali (di clienti, dipendenti, fornitori), è probabile che si tratti di un data breach. Il GDPR prevede che il titolare notifichi il Garante entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile un rischio per le persone, e che informi gli interessati se il rischio è elevato. La notifica si fa con la procedura telematica sul sito del Garante. In ogni caso la violazione va annotata nel registro interno. Approfondimento: misure di sicurezza GDPR e data breach.
CSIRT Italia
Il CSIRT Italia, presso l’Agenzia per la Cybersicurezza Nazionale, riceve le notifiche obbligatorie dei soggetti NIS2 (preallarme entro 24 ore, notifica entro 72 ore) e ha pubblicato una guida alla notifica degli incidenti. Se lo studio lavora come fornitore di un soggetto NIS2, verifica anche gli obblighi contrattuali di avvisarlo in tempi brevi (→ NIS2 per i fornitori).
Clienti e fornitori
Se dalla tua casella sono partite email truffa o se dati dei clienti sono stati esposti, avvisa le persone coinvolte con un canale sicuro, spiegando cosa è successo e cosa devono fare (per esempio, ignorare richieste di pagamento ricevute a tuo nome).
Dopo l’emergenza: ripartire e imparare
- Bonifica: il tecnico verifica che l’attaccante non abbia lasciato accessi nascosti.
- Ripristino dai backup verificati, partendo dai sistemi più critici (→ la regola del backup 3-2-1).
- Analisi delle cause: da dove è entrato? Quale misura avrebbe fermato l’attacco?
- Interventi correttivi: due fattori, aggiornamenti, segmentazione, formazione.
- Aggiorna il registro delle violazioni e la procedura per gli incidenti.
Prepararsi prima: il foglio d’emergenza
Il momento migliore per leggere questa guida è prima di averne bisogno. Prepara un foglio, stampato e anche salvato fuori dalla rete dello studio, con:
- nome e cellulare del tecnico di fiducia;
- nome e contatti del consulente privacy o DPO;
- numero d’emergenza dell’assicurazione cyber, se presente;
- numero della banca per bloccare operazioni;
- indirizzo del Commissariato di PS Online e del sito del Garante;
- chi in studio decide e chi comunica con i clienti;
- dove si trovano i backup scollegati e chi sa ripristinarli.
E ricorda: prima ci si accorge di un attacco, minori sono i danni. Molti incidenti vengono scoperti dopo giorni o settimane. Strega Defence nasce proprio per ridurre questo tempo: osserva la rete dello studio, blocca i collegamenti sospetti e avvisa subito il titolare sul telefono, in italiano semplice, con cosa è successo, quanto è grave e cosa fare, tenendo un Registro utile per ricostruire i fatti e per le eventuali notifiche. Scopri Strega Defence.
Per valutare quanto è preparato il tuo studio, fai la checklist in 10 domande.
Questo articolo ha scopo divulgativo e non costituisce consulenza legale o tecnica specifica. In caso di incidente segui le indicazioni del tuo tecnico, del consulente privacy e delle autorità.
Domande frequenti
Devo spegnere il computer se penso di aver subito un attacco?
No, di regola conviene scollegarlo dalla rete (cavo e Wi-Fi) ma lasciarlo acceso, perché la memoria contiene informazioni utili per l’analisi. Fanno eccezione le indicazioni diverse del tuo tecnico o il caso in cui la cifratura dei file sia visibilmente in corso e non sia possibile isolare il dispositivo.
Come si denuncia un attacco informatico?
Presentando denuncia a un ufficio della Polizia di Stato, anche avviandola online tramite il portale Commissariato di PS Online della Polizia Postale. Conviene portare annotazioni, fotografie dei messaggi, email sospette e ogni informazione raccolta.
Entro quanto devo avvisare il Garante privacy?
Se l’attacco ha coinvolto dati personali e c’è un rischio per le persone, la notifica va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando lo studio ne è venuto a conoscenza, tramite la procedura telematica del Garante.
Devo avvisare i miei clienti dopo un attacco?
Sì, se i loro dati personali sono stati esposti con un rischio elevato, come prevede il GDPR, e comunque è opportuno farlo se dalla tua casella sono partite email truffa a loro nome. Usa un canale sicuro e spiega cosa devono fare.
Posso ripristinare subito i file dal backup?
Meglio aspettare l’indicazione del tecnico. Prima bisogna essere certi che l’attaccante non abbia più accesso alla rete e che i backup non siano stati compromessi, altrimenti si rischia di essere colpiti di nuovo.
Serve un’assicurazione cyber?
Può essere utile per coprire costi di ripristino, consulenze e responsabilità verso terzi, e spesso include un servizio di assistenza d’emergenza. Non sostituisce le misure di sicurezza e di solito richiede di averne adottate alcune per essere valida.
Fonti e approfondimenti
- Commissariato di PS Online – segnalazioni — Polizia Postale.
- Denuncia per reati telematici — Polizia Postale.
- Data breach: notifica al Garante — Garante per la protezione dei dati personali.
- Guida alla notifica degli incidenti informatici (PDF) — Agenzia per la Cybersicurezza Nazionale.
- Report annuale Polizia Postale 2025 — Cybersecurity360.
- Rapporto Clusit 2026 – dati principali — Clusit.
- #StopRansomware Guide — CISA.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
