Attacco ransomware in corso: cosa fare nelle prime 4 ore (e cosa NON fare)

Un ransomware moderno si propaga in meno di 30 minuti. Le decisioni prese nelle prime quattro ore decidono se l’incidente sarà contenibile o catastrofico.

Sono le sei del mattino quando il responsabile IT riceve la chiamata. Tre file server non rispondono, gli utenti del primo turno trovano sui propri desktop una nota di riscatto in inglese e i log di backup della notte mostrano scritture massive verso cartelle che non avrebbero dovuto essere toccate. L’azienda è sotto attacco ransomware. Da quel momento in poi ogni minuto conta più del precedente.

1. Le prime ore di un attacco ransomware
2. La timeline operativa delle prime 4 ore
3. Cosa NON fare durante un attacco ransomware

Il CrowdStrike 2026 Global Threat Report ha calcolato che gli attaccanti odierni impiegano in media 29 minuti dall’accesso iniziale al movimento laterale verso altri sistemi. Il tempo per accorgersi dell’attacco coincide spesso con il momento in cui è già troppo tardi per fermarlo. Le decisioni prese nelle prime quattro ore, però, determinano la portata del danno, la possibilità di ripristino e l’esposizione legale dell’azienda.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Le prime ore di un attacco ransomware

Le prime quattro ore di un attacco ransomware sono la finestra in cui un incidente può ancora essere contenuto. Dopo, i margini di manovra si chiudono in fretta. La cifratura prosegue, i backup raggiunti dagli attaccanti vengono distrutti, i dati esfiltrati finiscono caricati sui leak site di doppia estorsione e le notifiche obbligatorie al CSIRT Italia entrano in scadenza.

Dal gennaio 2026 la Determinazione ACN n. 379907/2025 ha reso operativi gli obblighi della NIS2 per i soggetti rientranti nel perimetro: pre-notifica entro 24 ore, notifica completa entro 72 ore e relazione finale entro un mese. Il mancato rispetto dei tempi configura una violazione autonoma e può comportare sanzioni significative, anche quando l’incidente viene gestito correttamente sul piano tecnico. Sapere cosa fare nelle prime ore non è solo una questione di sopravvivenza tecnica, è anche conformità normativa.

Vediamo cosa fare ora per ora.

La timeline operativa delle prime 4 ore

Ora 0-1: identificazione e contenimento

Il primo riconoscimento dell’attacco arriva quasi sempre da un sintomo evidente. File rinominati con estensioni anomale, condivisioni di rete che non rispondono, processi di sicurezza terminati senza ragione e una ransom note in più directory. Quando questi segnali sono visibili, significa che la criptazione dei dati è già iniziata e l’unica azione utile è interromperne la propagazione.

L’isolamento si fa subito e in modo radicale. Si scollegano i cavi di rete dei sistemi colpiti, si disattiva il Wi-Fi aziendale e si chiudono gli accessi VPN attivi. In ambienti più articolati l’isolamento avviene al livello di switch oppure spegnendo interi segmenti di rete. Per gli ambienti cloud o SaaS vanno revocati i token e le sessioni attive degli account compromessi.

Mentre il personale tecnico contiene la diffusione va attivata in parallelo la catena di comando. Direzione, ufficio legale, responsabile della sicurezza, eventuali fornitori di Incident Response esterni e cyber insurance devono essere informati nei primi minuti. Senza un coordinamento chiaro le azioni successive rischiano di duplicarsi o contraddirsi.

Ora 1-2: triage tecnico e preservazione delle evidenze

Una volta arrestata la propagazione, la seconda ora serve a capire l’estensione reale del danno. Quanti endpoint sono coinvolti, quali server, quali controller di dominio e quali ambienti cloud. Il primo posto dove guardare sono i log degli accessi RDP e VPN, vettori che restano tra i più sfruttati dai gruppi ransomware nel 2026.

Parallelamente al triage va eseguita la preservazione delle evidenze digitali. È un passaggio che molte aziende sottovalutano nel momento del panico e che invece risulta decisivo nei mesi successivi. Sui sistemi più critici vanno acquisiti dump della memoria, immagini forensi dei dischi e copie dei log di sistema, sicurezza e rete. Questi materiali serviranno alle forze dell’ordine, all’assicurazione e a qualsiasi eventuale contenzioso.

Va eseguito anche un controllo separato sullo stato dei backup. Devono essere offline, immutabili e soprattutto recenti. Se sono accessibili dalla rete principale è altamente probabile che gli attaccanti li abbiano già toccati o cancellati durante la fase di ricognizione precedente alla cifratura. In questa fase va verificata anche la presenza di esfiltrazione dati. La doppia estorsione è oggi lo standard del settore: gli attaccanti copiano i file prima di cifrarli e minacciano la pubblicazione sui propri leak site se il riscatto non viene pagato. I segnali tipici sono trasferimenti anomali su porte 443 o 22 verso provider cloud non aziendali.

Ora 2-3: escalation e obblighi normativi

La terza ora è quella in cui l’incidente esce dal perimetro IT e diventa un fatto giuridico. Le scadenze imposte dalla Determinazione ACN sono strette e vanno rispettate.

Entro 24 ore dalla conoscenza dell’incidente significativo va inviata al CSIRT Italia una pre-notifica che indichi, dove possibile, se l’evento appare riconducibile a un’azione malevola e se può avere impatto transfrontaliero. Entro 72 ore va trasmessa la notifica completa con la valutazione di gravità e gli indicatori di compromissione disponibili. Entro un mese dalla notifica iniziale è prevista la relazione finale.

Se l’incidente coinvolge dati personali si attiva anche l’articolo 33 del GDPR: notifica al Garante per la protezione dei dati personali entro 72 ore. È inoltre buona prassi presentare denuncia alla Polizia Postale e delle Comunicazioni, che apre il fascicolo investigativo necessario in molti casi per il riconoscimento del sinistro da parte della cyber insurance.

L’attivazione della polizza assicurativa, se presente, va fatta in queste ore: le clausole di tempestività delle polizze cyber escludono spesso la copertura per ritardi nella notifica al broker o all’assicuratore.

Ora 3-4: stabilizzazione e prima pianificazione

A quattro ore dall’inizio la fase di emergenza acuta si chiude. L’attacco è contenuto, le evidenze sono preservate, le notifiche obbligatorie sono state avviate. Quello che serve adesso è documentare, comunicare e pianificare.

Va aperto un registro cronologico in cui annotare ogni decisione presa, ogni azione eseguita e ogni interlocuzione, con orari precisi e responsabili. Serve sia per la relazione finale al CSIRT Italia sia per ogni eventuale contenzioso successivo. La regola è semplice: se non è documentato, non è successo. Se l’azienda non dispone internamente di competenze DFIR (Digital Forensics and Incident Response) è il momento di attivare un fornitore esterno specializzato. Un team DFIR esperto arriva con strumenti dedicati, conosce le varianti di ransomware in circolazione e sa interagire con forze dell’ordine ed eventuali negoziatori.

Va impostata anche la comunicazione interna verso i dipendenti. Lasciarli all’oscuro genera panico e comportamenti rischiosi. Una nota sintetica della direzione che spieghi la situazione e fornisca istruzioni operative (non collegare dispositivi alla rete aziendale, non parlare con clienti o stampa) è il modo più efficace per mantenere il controllo. La comunicazione esterna invece va preparata in coordinamento tra ufficio legale, comunicazione e direzione; va diffusa solo quando il quadro è consolidato.

Cosa NON fare durante un attacco ransomware

Gli errori commessi nelle prime ore amplificano l’attacco molto più di quanto si pensi. Questi sono i cinque più frequenti e più dannosi.

• Non spegnere e non riavviare le macchine compromesse.
  La memoria volatile contiene processi attivi del malware, indicatori di compromissione e in alcuni casi le chiavi di cifratura. Spegnere distrugge queste evidenze, riavviare può portare il ransomware a completare la cifratura o a danneggiare i file già parzialmente toccati.
• Non cancellare file, log o note di riscatto.
  Sembra un riflesso di pulizia ma equivale a manomettere la scena del crimine. Compromette le indagini delle forze dell’ordine, la copertura assicurativa e la possibilità stessa di ricostruire l’attacco.
• Non comunicare all’esterno senza coordinamento.
  Una dichiarazione affrettata e basata su dati incompleti produce danni reputazionali superiori al silenzio temporaneo. Le comunicazioni a clienti, partner e stampa vanno preparate e validate dall’ufficio legale.
• Non pagare il riscatto in autonomia.
  Pagare non garantisce il recupero dei dati, alimenta l’economia criminale e in alcuni casi può configurare violazioni di sanzioni internazionali. Qualsiasi valutazione sul pagamento va fatta con consulenti legali, assicurazione, team DFIR e, dove necessario, negoziatore professionista.
• Non gestire l’incidente da soli.
  La mancanza di competenze interne è il primo fattore organizzativo nell’esito negativo degli attacchi. Un team DFIR esterno, anche solo come consulenza nelle prime ore, cambia radicalmente le probabilità di recupero.

In conclusione

Un attacco ransomware non si vince nelle prime quattro ore. Si può però perdere in modo definitivo proprio lì. Le decisioni prese in questa finestra determinano la portata del danno, la capacità di ripristino e le conseguenze legali.

La differenza tra le aziende che recuperano in modo ordinato e quelle che vivono settimane di paralisi non sta negli strumenti, sta nella preparazione: piano di Incident Response scritto e testato, backup offline verificati periodicamente, ruoli definiti, contratti DFIR già attivi. Quello che non si fa nelle prime quattro ore di un attacco va fatto, necessariamente, nei mesi che lo precedono.