Il ransomware continua a rappresentare una delle minacce informatiche
più concrete per aziende, professionisti e organizzazioni italiane.

Secondo il monitoraggio di ransomNews, nel mese di agosto 2026 risultano 50 rivendicazioni ransomware relative a organizzazioni italiane, mentre dall’inizio dell’anno le rivendicazioni salgono a 214. Il settore manifatturiero resta il più rappresentato nel database complessivo, seguito da servizi professionali e commercio. Tra le regioni maggiormente presenti figurano Lombardia ed Emilia-Romagna.

È importante però fare una precisazione: una rivendicazione pubblicata sul sito di un gruppo ransomware non equivale automaticamente alla conferma definitiva di un incidente. I dati dei leak site devono
sempre essere verificati e contestualizzati.

La tendenza, tuttavia, è chiara: il ransomware continua a essere un rischio concreto anche per le piccole e medie imprese italiane.

E una delle convinzioni più pericolose rimane questa:

“Abbiamo il backup, quindi siamo protetti.”

Purtroppo non è così.

Cos’è realmente un attacco ransomware

Un ransomware è un malware progettato per impedire l’accesso ai dati o ai sistemi informatici della vittima.

Nelle forme più semplici, i criminali cifrano file, server e dispositivi e chiedono un riscatto per ottenere una chiave di decifratura.

Gli attacchi moderni sono però spesso molto più complessi.

Prima di cifrare i sistemi, l’attaccante può trascorrere giorni o settimane all’interno della rete cercando di:

• individuare server e dispositivi;
• sottrarre credenziali amministrative;
• accedere ai sistemi di backup;
• copiare documenti e database;
• disattivare antivirus ed EDR;
• muoversi lateralmente tra più computer;
• individuare dati particolarmente sensibili.

Solo successivamente può partire la fase di cifratura.

In molti casi viene inoltre applicata la cosiddetta doppia estorsione: i dati vengono prima sottratti e successivamente cifrati.

Se la vittima non paga, i criminali minacciano di pubblicare leinformazioni rubate.

Perché il backup è uno degli obiettivi dell’attaccante

Gli operatori ransomware conoscono perfettamente l’importanza dei backup.

Per questo, una volta ottenuto l’accesso alla rete, cercano spesso proprio:

• NAS;
• server di backup;
• repository;
• snapshot;
• cartelle condivise;
• credenziali utilizzate dal software di backup.

Se il backup è sempre raggiungibile dalla stessa infrastruttura compromessa, potrebbe essere cancellato o cifrato insieme ai dati originali.

È qui che nasce il problema.

Avere una copia dei dati non significa necessariamente avere un backup realmente utilizzabile durante un attacco ransomware.

Backup collegato permanentemente: il rischio

Immaginiamo una piccola azienda con:

• un server;
• dieci PC;
• un NAS;
• un software che ogni notte esegue automaticamente il backup sul NAS.

Apparentemente la situazione sembra buona.

Ma se il NAS rimane continuamente accessibile dalla rete e l’attaccante ottiene credenziali sufficienti, potrebbe raggiungere anche le copie di sicurezza.

Il risultato potrebbe essere:

file originali cifrati + backup cifrati o cancellati.

Per questo un sistema di backup progettato contro il ransomware deve prevedere almeno una copia che l’infrastruttura ordinaria non possa modificare liberamente.

La regola 3-2-1-1-0

Una strategia molto utilizzata per progettare backup resilienti è la regola 3-2-1-1-0.

3 copie dei dati

Bisogna disporre del dato originale e di almeno due copie.

2 supporti differenti

Le copie non dovrebbero dipendere tutte dalla stessa tecnologia o
dallo stesso dispositivo.

Ad esempio:

• server principale;
• NAS;
• storage cloud.

1 copia fuori sede

Almeno una copia dovrebbe essere conservata fisicamente o logicamente in un luogo differente.

Questo protegge anche da incendi, furti, guasti e altri eventi che coinvolgono la sede.

1 copia offline o immutabile

È il punto fondamentale contro il ransomware.

Una copia dovrebbe essere:

• offline;
• isolata;
• oppure su storage immutabile.

Un backup immutabile non può essere modificato o cancellato durante il periodo di conservazione previsto, anche utilizzando normali credenziali amministrative.

0 errori

Il backup deve essere verificato.

La presenza di un messaggio:

“Backup completato con successo”

non dimostra automaticamente che i dati siano realmente recuperabili.

Occorre eseguire test periodici di ripristino.

Il test di restore: il controllo che spesso manca

Molte aziende verificano quotidianamente che il backup venga eseguito.

Molte meno verificano che possa essere ripristinato.

È una differenza fondamentale.

Un backup può risultare completato ma contenere:

• file corrotti;
• database incompleti;
• configurazioni mancanti;
• copie troppo vecchie;
• errori non rilevati;
• dati crittografati già prima dell’esecuzione.

Il vero test consiste nel prendere una copia e provare concretamente a recuperare:

• un file;
• una cartella;
• un database;
• una macchina virtuale;
• eventualmente un intero server.

In altre parole:

un backup non testato è soltanto una promessa di ripristino.

Quanto tempo serve per ripartire?

Un altro aspetto spesso sottovalutato riguarda il tempo necessario per tornare operativi.

Un’azienda può avere tutti i dati disponibili ma impiegare comunque diversi giorni per ricostruire l’ambiente.

È quindi utile definire due parametri.

RPO – Recovery Point Objective

Indica quanti dati possiamo permetterci di perdere.

Se il backup viene eseguito ogni 24 ore, nel peggiore dei casi potremmo perdere quasi una giornata di lavoro.

RTO – Recovery Time Objective

Indica quanto tempo possiamo permetterci di restare fermi.

Un negozio online potrebbe avere esigenze differenti rispetto a uno studio professionale o a un’azienda manifatturiera.

Backup e disaster recovery devono essere progettati considerando entrambi.

MFA: una delle difese più importanti

Molti attacchi ransomware iniziano da una credenziale compromessa.

Può trattarsi di:

• posta elettronica;
• VPN;
• Remote Desktop;
• pannello cloud;
• account amministrativo.

L’autenticazione multifattore, o MFA, riduce significativamente il rischio che una password rubata sia sufficiente per entrare.

Va utilizzata soprattutto per:

• account Microsoft 365;
• Google Workspace;
• VPN;
• servizi cloud;
• pannelli amministrativi;
• sistemi di backup;
• account con privilegi elevati.

Dove possibile, è preferibile utilizzare metodi MFA resistenti al phishing.

Attenzione a VPN e Remote Desktop

I servizi di accesso remoto sono particolarmente interessanti per gli attaccanti.

Un server RDP esposto direttamente su Internet oppure una VPN non aggiornata possono diventare una porta d’ingresso nella rete aziendale.

Le verifiche essenziali sono:

• RDP non esposto direttamente su Internet;
• VPN aggiornata;
• MFA sugli accessi remoti;
• account inutilizzati disabilitati;
• password uniche;
• logging degli accessi;
• blocco dei tentativi ripetuti.

Account amministrativi separati

Utilizzare ogni giorno un account con privilegi amministrativi aumenta inutilmente il rischio.

È preferibile distinguere:

account normale per posta elettronica, navigazione e attività quotidiane;

account amministrativo utilizzato esclusivamente quando realmente necessario.

Se una workstation viene compromessa durante la normale navigazione, l’attaccante avrà così maggiori difficoltà a ottenere immediatamente
privilegi elevati.

Patch management: aggiornare prima ciò che è esposto

Non tutte le vulnerabilità hanno la stessa priorità.

Un’applicazione interna non raggiungibile dall’esterno presenta uno scenario diverso rispetto a:

• firewall;
• VPN;
• router;
• server web;
• gateway;
• pannelli amministrativi.

Quando viene pubblicata una vulnerabilità critica, la prima domanda dovrebbe essere:

“Questo prodotto è presente nella nostra infrastruttura?”

La seconda:

“È esposto a Internet?”

Per poter rispondere rapidamente serve un inventario aggiornato di hardware, software e versioni installate.

Proteggere anche gli accessi dei fornitori IT

Un elemento spesso dimenticato riguarda i tecnici e i fornitori esterni.

Un manutentore può avere accesso a:

• server;
• NAS;
• firewall;
• hypervisor;
• sistemi di backup;
• desktop remoto.

Questi account devono essere protetti esattamente come quelli interni.

È opportuno utilizzare:

• credenziali personali, non condivise;
• MFA;
• privilegi minimi;
• accessi temporanei quando possibile;
• logging;
• revoca degli account non più necessari.

La sicurezza della rete dipende anche dalla sicurezza dei soggetti che possono amministrarla.

Segmentare la rete

Un ransomware può diventare particolarmente distruttivo quando una workstation compromessa può raggiungere indistintamente tutta l’infrastruttura.

La segmentazione serve a limitare questi movimenti.

Ad esempio, può essere opportuno separare:

• PC degli utenti;
• server;
• backup;
• dispositivi IoT;
• videosorveglianza;
• sistemi industriali;
• rete ospiti;
• infrastruttura di amministrazione.

L’obiettivo non è rendere impossibile qualsiasi compromissione, ma impedire che una singola macchina compromessa diventi automaticamente la compromissione dell’intera azienda.

Il ransomware negli ambienti industriali

Il problema è ancora più delicato quando l’attacco riguarda ambienti produttivi.

Il rapporto Kaspersky ICS CERT relativo al secondo trimestre 2026 mostra che il ransomware è stato bloccato sullo 0,16% dei computer ICS osservati a livello globale, in aumento rispetto al trimestre precedente. Il rapporto evidenzia inoltre una presenza significativa di minacce veicolate tramite email e documenti malevoli in Europa meridionale.

In un ambiente industriale l’impatto non riguarda soltanto documenti e database.

Può coinvolgere:

• produzione;
• supervisione;
• logistica;
• sistemi HMI;
• server SCADA;
• configurazioni PLC;
• disponibilità degli impianti.

Per questo le reti OT devono essere adeguatamente separate dalla rete informatica aziendale e gli accessi dei manutentori devono essere attentamente controllati.

Cosa dovrebbe fare concretamente una PMI

Una piccola azienda non ha necessariamente bisogno di un SOC operativo 24 ore su 24.

Può però implementare alcune misure fondamentali.

1. Verificare i backup

Controllare:

• frequenza;
• conservazione;
• cifratura;
• presenza di copia offsite;
• presenza di copia immutabile/offline.

2. Provare un ripristino

Scegliere periodicamente alcuni dati e recuperarli davvero.

3. Attivare MFA

Priorità a email, VPN, cloud, amministrazione e backup.

4. Controllare gli accessi
remoti

Eliminare servizi inutilmente esposti.

5. Aggiornare sistemi e appliance

Partendo dai dispositivi raggiungibili da Internet.

6. Separare gli account amministrativi

L’amministratore non deve essere l’account utilizzato quotidianamente.

7. Proteggere la posta elettronica

Phishing e allegati malevoli restano uno dei principali punti d’ingresso.

8. Formare gli utenti

Un dipendente deve sapere riconoscere almeno:

• richieste urgenti;
• cambio IBAN;
• allegati inattesi;
• falsi preventivi;
• falsi ordini;
• richieste di credenziali.

9. Definire cosa fare durante un incidente

È utile sapere in anticipo:

• chi chiamare;
• chi può spegnere i sistemi;
• dove sono i backup;
• quali servizi hanno priorità;
• quali clienti o autorità devono eventualmente essere informati.

Pagare il riscatto risolve il problema?

Non necessariamente.

Il pagamento non garantisce:

• che venga fornita una chiave funzionante;
• che tutti i dati possano essere recuperati;
• che le informazioni rubate vengano realmente cancellate;
• che l’organizzazione non venga attaccata nuovamente.

Inoltre può finanziare direttamente l’attività criminale.

La strategia migliore rimane quindi ridurre preventivamente la probabilità dell’incidente e soprattutto essere in grado di ripartire senza dipendere dall’attaccante.

Il vero obiettivo: resilienza

È impossibile promettere che un’azienda non subirà mai un incidente informatico.

Una strategia di cybersecurity efficace deve quindi porsi anche una seconda domanda:

“Se domani venissimo colpiti, saremmo in grado di continuare a lavorare?”

È qui che backup, disaster recovery, segmentazione, MFA e procedure di incident response diventano fondamentali.

Il ransomware non deve essere affrontato pensando soltanto a come impedirne l’ingresso.

Bisogna prepararsi anche alla possibilità che qualcosa riesca comunque a superare le difese.

Conclusioni

Le 50 rivendicazioni ransomware registrate in Italia nel solo agosto 2026 mostrano che il problema rimane concreto. Il manifatturiero continua inoltre a essere il settore più rappresentato nel monitoraggio italiano di ransomNews.

La risposta non può però essere semplicemente:

“Facciamo il backup.”

Un’infrastruttura realmente resiliente richiede:

• backup multipli;
• almeno una copia isolata o immutabile;
• test di ripristino;
• MFA;
• sistemi aggiornati;
• protezione degli accessi remoti;
• account amministrativi separati;
• segmentazione della rete;
• procedure di risposta agli incidenti.

Il principio da ricordare è semplice:

il backup non serve a dimostrare che abbiamo copiato i dati. Serve a dimostrare che possiamo ripartire quando quei dati non saranno più disponibili.

Informanet – Info&Tricks Tecnologia più
semplice, utile e sicura.