Negoziare con un gruppo ransomware: cosa succede davvero (e perché non dovresti farlo da solo)

Dietro la negoziazione ransomware si nasconde un processo commerciale gestito da organizzazioni criminali esperte. Cosa accade davvero quando si tratta con un gruppo ransomware e perché conviene non affrontare la trattativa da soli.

Dopo un attacco ransomware andato a segno, prima o poi compare un messaggio. A volte è un file di testo lasciato sul desktop dei computer cifrati, altre volte un indirizzo che rimanda a un portale nel dark web con un conto alla rovescia già avviato. Da quel momento l’azienda colpita si trova davanti a una trattativa che non ha scelto e per cui quasi mai è preparata.

1. Cosa vuole davvero un gruppo ransomware
2. Come si svolge una trattativa
3. Gli errori che si pagano cari
4. Perché non conviene gestire da soli la negoziazione ransomware
5. Cosa dice la legge in Italia

Nell’immaginario comune la negoziazione ransomware somiglia a un duello tra un tecnico e un hacker isolato. Chi ci è passato racconta qualcosa di molto diverso. Dall’altra parte opera spesso un’organizzazione che gestisce decine di estorsioni al mese, con personale dedicato alla trattativa e un metodo collaudato per portare la vittima a pagare il più in fretta possibile. Capire questa asimmetria è il primo motivo per cui conviene non improvvisare.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cosa vuole davvero un gruppo ransomware

Un gruppo ransomware non agisce per vendetta o per dimostrare una superiorità tecnica. Insegue un guadagno economico e organizza ogni fase dell’attacco intorno a questo obiettivo. I gruppi più attivi degli ultimi anni, da LockBit ad Akira fino a RansomHub, funzionano come vere aziende, con squadre dedicate alla trattativa, listini calibrati sulla dimensione della vittima e perfino un servizio di assistenza per guidare chi paga attraverso i passaggi tecnici.

La leva su cui contano è cambiata nel tempo. Fino a qualche anno fa l’arma era la sola cifratura dei dati, che bloccava l’operatività finché la vittima non otteneva la chiave. Oggi prevale la doppia estorsione. Prima di cifrare i file, gli aggressori ne copiano una parte e minacciano di pubblicarli o di rivenderli se il riscatto non arriva. Alcuni gruppi hanno smesso del tutto di cifrare e puntano solo sulla sottrazione dei dati, perché la minaccia di diffusione si è rivelata più redditizia del blocco dei sistemi.

Questa evoluzione cambia la natura della posta in gioco. Il danno non si limita più al recupero dei file, ma coinvolge la riservatezza delle informazioni sottratte: dai dati dei clienti ai documenti finanziari. Per un’azienda significa che il ripristino dei backup, da solo, non chiude più la partita.

Come si svolge una trattativa

Il primo contatto avviene quasi sempre su un canale scelto dagli aggressori. Di solito si tratta di una chat ospitata su un portale nel dark web raggiungibile con le credenziali indicate nella richiesta di riscatto. Il tono iniziale è freddo e professionale. Compare subito un conto alla rovescia, con la minaccia di aumentare la cifra o di pubblicare i dati allo scadere del termine.

Il conto alla rovescia è soprattutto uno strumento di pressione psicologica. Le trattative trapelate negli anni mostrano che i gruppi concedono proroghe con una certa regolarità, perché anche a loro interessa chiudere con un pagamento piuttosto che restare a mani vuote. Il tempo, contro ogni intuizione, tende a favorire la vittima, che lo può usare per valutare i danni reali, verificare lo stato dei backup e ricostruire cosa hanno davvero portato via.

Un passaggio decisivo riguarda le verifiche. Prima di considerare qualsiasi pagamento, una vittima esperta chiede una prova concreta che la decrittazione funzioni, di solito facendo decifrare due o tre file campione non sensibili. Lo stesso vale per la presunta sottrazione di dati. Gli aggressori tendono a gonfiare la quantità e l’importanza del materiale rubato, quindi è prassi pretendere elenchi di file o campioni che dimostrino cosa hanno davvero copiato. Senza queste prove, la minaccia resta una scommessa al buio.

Gli errori che si pagano cari

Nelle prime ore dopo la scoperta dell’attacco, il panico porta a decisioni che peggiorano la situazione. Alcuni errori ricorrono in quasi tutti i casi gestiti male.

• Spegnere i server di fretta.
  Staccare tutto sembra la reazione istintiva per fermare la cifratura. Spesso però distrugge le tracce forensi utili a capire come è avvenuta l’intrusione e in qualche caso rovina i dati ancora recuperabili in memoria. L’isolamento dalla rete va fatto con criterio, non con la spina tolta di colpo.
• Pagare subito per chiudere in fretta.
  La pressione spinge a versare la cifra richiesta pur di tornare operativi. Chi cede rapidamente conferma agli aggressori di avere di fronte un interlocutore disposto a tutto e rinuncia a ogni margine di trattativa.
• Rispondere d’impulso.
  Un’offerta troppo alta o un messaggio carico di emotività rafforzano la posizione del gruppo criminale, che ne ricava indicazioni sulla disponibilità economica e sullo stato d’animo della vittima.
• Non documentare nulla.
  Ogni scambio con gli aggressori andrebbe registrato e conservato, sia per le analisi successive sia per gli obblighi verso autorità e assicurazione. Una trattativa gestita a voce o cancellata lascia l’azienda senza appigli.
• Tenere tutto in casa.
  Affrontare l’attacco senza avvisare nessuno, per timore del danno reputazionale, priva l’azienda del supporto di chi gestisce questi casi ogni giorno e nasconde l’incidente proprio a chi potrebbe aiutare a contenerlo.

Perché non conviene gestire da soli la negoziazione ransomware

Chi gestisce la negoziazione ransomware per mestiere parte da un vantaggio che l’azienda colpita non ha: conosce il gruppo che si trova di fronte. Le società di incident response raccolgono dati su centinaia di casi e sanno se un determinato gruppo rispetta gli accordi, se consegna chiavi funzionanti, quanto è disposto a scendere rispetto alla richiesta iniziale. Questa conoscenza sposta gli equilibri della trattativa.

Il negoziatore professionista porta competenze che vanno oltre la contrattazione sul prezzo. Verifica che il gruppo non rientri tra i soggetti colpiti da sanzioni internazionali, perché in quella situazione il pagamento diventa di per sé illecito. Gestisce gli aspetti tecnici del versamento in criptovaluta e tiene in ordine la documentazione richiesta da assicurazione e legali, con un registro puntuale di ogni comunicazione. Il tutto restando a distanza emotiva da una vicenda che per l’azienda è invece sconvolgente.

Resta un punto che i professionisti seri chiariscono sempre: il negoziatore non decide al posto dell’azienda se pagare. Offre dati, scenari e una stima realistica delle probabilità ma la scelta finale spetta a chi guida l’impresa, possibilmente con il conforto dei legali e il coinvolgimento delle autorità. L’FBI stessa, pur non imponendo la presenza di un negoziatore esterno, raccomanda di contattare quanto prima chi ha esperienza di questi incidenti.

Cosa dice la legge in Italia

In Italia il pagamento di un riscatto non è vietato in assoluto per la generalità delle imprese. Il quadro normativo però si sta muovendo in fretta. La Legge 90/2024 ha rafforzato gli obblighi di notifica degli incidenti e introdotto nuove fattispecie penali in materia di reati informatici. Il disegno di legge 1441, presentato al Senato nel 2025, prevede il divieto di pagamento per i soggetti inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, con una sanzione amministrativa per chi lo viola.

Esistono, inoltre, profili penali da non sottovalutare. Alcuni giuristi ipotizzano che il pagamento possa configurare un favoreggiamento verso l’organizzazione criminale, a seconda delle circostanze. A questo si aggiunge il versante assicurativo, dato che molte polizze cyber vincolano l’indennizzo alla denuncia alle autorità e scoraggiano il pagamento diretto agli estorsori.

Sul fronte del supporto, l’ACN e il CSIRT Italia offrono assistenza alle vittime, dalla gestione iniziale dell’attacco fino alla valutazione delle alternative al riscatto. Avvisare le autorità non è soltanto un adempimento ma una mossa che apre l’accesso a competenze e strumenti altrimenti fuori portata per una singola azienda. Per questo la trattativa andrebbe sempre inserita in una cornice che coinvolge tecnici, legali e istituzioni.

In conclusione

La negoziazione con un gruppo ransomware è una situazione che nessuna azienda vorrebbe affrontare, eppure riguarda ogni anno migliaia di realtà italiane di ogni dimensione. Capire che dall’altra parte opera un’organizzazione rodata, che il conto alla rovescia è una leva psicologica e che il pagamento non garantisce il recupero dei dati aiuta a reagire con lucidità invece che con il panico.

Il momento per prepararsi arriva molto prima della richiesta di riscatto, quando si possono ancora costruire backup affidabili, piani di risposta provati e una rubrica di contatti da attivare in emergenza. Affrontare la trattativa da soli, senza informazioni sul gruppo né copertura legale, mette l’azienda nella posizione più debole possibile.