Arrivi in studio il lunedì mattina, accendi il computer e non riesci ad aprire nessun documento. Al posto dei file c’è un messaggio: “I vostri dati sono stati cifrati. Pagate entro 72 ore”. È lo scenario tipico di un attacco ransomware a uno studio professionale, ed è uno dei più temuti perché ferma il lavoro di colpo.
Cos’è il ransomware?
Il ransomware è un tipo di software malevolo che rende inutilizzabili i file o i sistemi di una vittima, di solito cifrandoli, e chiede un riscatto (in inglese ransom) per renderli di nuovo accessibili. Il pagamento è richiesto quasi sempre in criptovaluta.
Negli ultimi anni si è diffusa la doppia estorsione: prima di cifrare i file, i criminali li copiano. Così, anche se la vittima ha un backup, la minaccia diventa: “Paga, o pubblichiamo i dati dei tuoi clienti”.
Come entra il ransomware in uno studio?
Le vie d’ingresso più comuni sono poche e ben note:
- Email di phishing con un allegato o un link che installa il programma (vedi come riconoscere il phishing).
- Password rubate o deboli, soprattutto se usate senza autenticazione a due fattori.
- Accesso remoto esposto: programmi di controllo remoto o porte aperte sul router per lavorare da casa.
- Programmi non aggiornati con vulnerabilità note: nel DBIR 2025 lo sfruttamento di vulnerabilità è il punto d’ingresso nel 20% delle violazioni.
- Fornitori compromessi: secondo lo stesso rapporto, il coinvolgimento di terze parti è raddoppiato, arrivando al 30% delle violazioni.
Una volta dentro, l’attaccante spesso non agisce subito: esplora la rete, cerca i backup per cancellarli, copia i dati. Possono passare giorni. È in questa finestra che accorgersi di un comportamento anomalo fa la differenza.
Perché gli studi professionali sono un bersaglio?
- Custodiscono dati riservati (contratti, cause, bilanci, dichiarazioni, progetti) che valgono molto per il cliente e quindi anche per un ricattatore.
- Lavorano con scadenze: un fermo di pochi giorni durante una scadenza fiscale o processuale è un danno enorme, e il criminale lo sa.
- Hanno spesso poche difese: nessun tecnico interno, router dell’operatore, backup su un disco sempre collegato.
I numeri lo confermano. Secondo il Verizon Data Breach Investigations Report 2025, il ransomware è presente nel 44% delle violazioni analizzate, ma nell’88% di quelle che hanno colpito piccole e medie organizzazioni, contro il 39% delle grandi.
Conviene pagare il riscatto?
La risposta delle autorità è chiara: no. E non solo per principio.
- Non c’è garanzia di riavere i file, né che la chiave funzioni su tutti.
- Non c’è garanzia che i dati rubati vengano cancellati.
- Chi paga diventa un bersaglio noto e può essere attaccato di nuovo.
- Si finanzia l’organizzazione criminale.
Sempre più vittime scelgono di non pagare: secondo il DBIR 2025, il 64% non ha pagato il riscatto (erano il 50% due anni prima) e il riscatto mediano pagato è sceso a 115.000 dollari. La scelta di non pagare, però, è sostenibile solo se esiste un backup da cui ripartire.
Le 6 difese che funzionano davvero
- Backup scollegato, cifrato e provato. Almeno una copia deve stare fuori dalla portata della rete dello studio (scollegata o immutabile) e il ripristino va provato periodicamente. È esattamente ciò che raccomanda la guida #StopRansomware della CISA. → La regola del backup 3-2-1
- Autenticazione a due fattori su posta, cloud e accessi remoti. → Password, MFA e passkey
- Aggiornamenti automatici di sistema operativo, programmi, router, NAS.
- Accesso remoto solo tramite VPN, mai con porte aperte o programmi di controllo remoto sempre attivi. → VPN e lavoro da remoto
- Un firewall che chiude ciò che non serve e osserva il traffico: un PC che contatta un server malevolo o trasferisce grandi quantità di dati verso l’esterno è un segnale da non ignorare. → Perché il router non basta
- Persone allenate a riconoscere le truffe e a segnalare subito un clic sbagliato.
Cosa fare se il ransomware ha già colpito
In sintesi: isolare, non pagare d’impulso, chiamare il tecnico, valutare gli obblighi.
- Scollega dalla rete i computer colpiti (cavo e Wi-Fi), senza spegnerli.
- Non cancellare nulla e fotografa il messaggio di riscatto.
- Chiama il tecnico e, se c’è, l’assicurazione cyber.
- Verifica i backup prima di qualunque ripristino: devono essere integri e non infetti.
- Denuncia alla Polizia Postale.
- Se sono coinvolti dati personali, valuta la notifica al Garante entro 72 ore (vedi GDPR e data breach).
La procedura completa è nella guida attacco informatico: cosa fare subito.
Come Strega Defence aiuta contro il ransomware
Nessun prodotto può promettere di fermare ogni attacco. Quello che si può fare è ridurre le porte d’ingresso e accorgersi presto. Strega Defence chiude per impostazione ciò che non serve, blocca i collegamenti verso indirizzi noti per essere malevoli e avvisa il titolare sul telefono, in italiano semplice, quando nota qualcosa che conta. Se un dispositivo si comporta in modo sospetto lo isola da solo dal resto della rete, finché il tecnico non lo controlla. Scopri Strega Defence.
Domande frequenti
Il ransomware si può rimuovere con un antivirus?
L’antivirus può rimuovere il programma malevolo, ma non può restituire i file già cifrati. Per recuperarli serve un backup integro oppure, in rari casi, uno strumento di decifratura pubblicato per quella specifica famiglia di ransomware.
Se pago il riscatto riavrò sicuramente i miei file?
No. Non c’è alcuna garanzia che la chiave venga consegnata o che funzioni su tutti i file, né che i dati rubati vengano cancellati. Le autorità sconsigliano di pagare, e chi paga rischia di essere preso di mira di nuovo.
Il backup su un disco esterno sempre collegato è sufficiente?
No. Un disco sempre collegato al computer o alla rete viene cifrato insieme al resto. Almeno una copia deve essere scollegata, oppure immutabile, cioè non modificabile per un periodo stabilito.
Un attacco ransomware è un data breach ai fini del GDPR?
Molto spesso sì: anche la sola indisponibilità dei dati personali è una violazione. Va valutato se c’è un rischio per le persone interessate; in quel caso bisogna notificare il Garante entro 72 ore dalla scoperta e, se il rischio è elevato, avvisare anche gli interessati.
Il ransomware colpisce anche i Mac e i NAS?
Sì. Esistono ransomware per macOS, Linux e per i NAS, i dispositivi di archiviazione di rete molto diffusi negli studi. Nessun sistema è immune: contano aggiornamenti, accessi protetti e backup.
Quanto tempo serve per ripartire dopo un attacco ransomware?
Dipende soprattutto dalla qualità dei backup e dalla preparazione. Con backup recenti e una procedura provata si può ripartire in uno o due giorni; senza, il fermo può durare settimane e alcuni dati possono andare persi per sempre.
Fonti e approfondimenti
- Data Breach Investigations Report — Verizon, edizione 2025.
- Verizon 2025 DBIR: sintesi dei risultati — Help Net Security, 23 aprile 2025.
- #StopRansomware Guide — CISA, MS-ISAC, NSA, FBI.
- ENISA Threat Landscape 2025 — ENISA.
- Data breach: notifica al Garante — Garante privacy.
- Denuncia per reati telematici — Polizia Postale, Commissariato di PS Online.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
