Dopo un attacco ransomware è spesso possibile recuperare i dati senza pagare il riscatto, perché un ransomware cifra i file, non li cancella: restano sul disco, illeggibili senza la chiave. Prima di quella del pagamento si aprono allora diverse porte: backup che credevate perduti, le copie shadow del sistema, file cifrati solo parzialmente, o volumi che i pirati hanno cancellato senza riscrivere i dati. Un laboratorio di recupero può spesso salvarne una parte, a volte la totalità, senza mai contattare i criminali. La decifratura diretta di una variante recente, invece, è matematicamente fuori portata finché le chiavi non sono trapelate.

Il primo gesto non si discute: appena constatate che dei file vengono cifrati, spegnete la macchina immediatamente, anche staccando la spina. Il seguito spiega ciò che è recuperabile, ciò che non lo è, e come non aggravare la situazione.

Che cosa fa davvero un ransomware

Un ransomware è un software malevolo che cifra i file di un sistema per renderli inaccessibili, poi reclama un riscatto in cambio della chiave di decifratura. Tutto comincia con un'intrusione, il più delle volte un'e-mail di phishing il cui allegato installa il programma. Non si manifesta subito: gira discretamente in background e cifra, uno per uno, il contenuto dei vostri file importanti, quelli che hanno valore per voi come per un ricattatore. Documenti PDF e Word, database, caselle di posta: tutto ci passa.

Prima o durante la cifratura, il programma compie una tappa decisiva. Identifica la macchina come un nuovo bersaglio e genera dei codici, dei token, che invia a un server remoto. Questi token contengono in particolare le chiavi, e costituiscono un identificatore unico dell'attacco. È questo identificatore che i pirati reclameranno se li contattate: senza di esso, non sanno quale chiave vi corrisponde. Abbiamo già visto una stessa macchina portare più identificatori e più chiavi, fino a tre: bisogna allora negoziare ogni chiave separatamente per sperare di decifrare tutto.

Per rendere l'attacco visibile e dare le sue istruzioni, il programma deposita infine dei file accessori, la famosa nota di riscatto. Questi file non sono banali per uno specialista: sono firme note, che permettono di identificare con precisione la variante di ransomware utilizzata, e che contengono l'identificatore dell'attacco.

Tecnicamente, la cifratura si basa quasi sempre su una combinazione collaudata: un algoritmo simmetrico veloce come AES (spesso a 256 bit) per confondere i file, e un algoritmo asimmetrico come RSA (2048 bit o più) per proteggere la chiave AES. È questo connubio che rende l'attacco così difficile da disfare.

Si può decifrare senza pagare?

Ecco la domanda che tutti pongono, e la risposta onesta si riassume in tre casi.

Situazione	Decifratura diretta?
Ransomware recente, ben concepito	No: chiavi troppo grandi, decenni di calcolo in forza bruta
Ransomware datato (chiavi comuni, falla di implementazione)	Talvolta: esistono dei decifratori
Chiavi sequestrate dalla polizia o pubblicate da pirati pentiti	Sì: decifratori gratuiti (progetto No More Ransom)

Con la forza bruta: no. Su un ransomware recente concepito correttamente, tentare di indovinare la chiave è illusorio. Le chiavi sono così grandi che occorrerebbero decine di anni di calcolo per trovarne una sola. La decifratura diretta non è un'opzione.

Su ransomware datati: talvolta. Le prime generazioni erano costruite diversamente, con chiavi a volte comuni a tutte le vittime o con implementazioni difettose. Per parecchi di essi, esistono soluzioni di decifratura.

Quando le chiavi sono state recuperate: sì. Capita che polizie federali sequestrino i server dei pirati, o che criminali pentiti pubblichino l'insieme delle loro chiavi. Alcuni organismi, tra cui il progetto europeo No More Ransom, recuperano allora queste chiavi e ne fanno software di decifratura gratuiti. È qui che i file accessori riacquistano tutto il loro interesse: contengono l'identificatore che permette di ritrovare la chiave giusta.

In sintesi, due finestre favorevoli: o la variante è datata ed esiste un decifratore, oppure l'attacco risale a un tempo sufficiente perché le chiavi siano state scoperte nel frattempo. Di fronte a un ransomware recente le cui chiavi non sono trapelate, la decifratura diretta resta fuori portata. Ma, ed è tutto l'oggetto del seguito, la decifratura non è l'unica via verso i vostri dati.

Ciò che un laboratorio recupera quando credete tutto perduto

Un'azienda di cybersicurezza che propone un «ripristino dopo ransomware» svolge, in realtà, un lavoro piuttosto limitato: si appoggia sui backup esistenti quando ce ne sono (un NAS di backup, un Veeam, dei nastri), li ripristina, e se nulla funziona, discute con il cliente per negoziare il riscatto. Un laboratorio di recupero dati va ben oltre.

Perché i pirati commettono spesso un errore sfruttabile. Per neutralizzare i backup, sopprimono i sistemi RAID, cancellano volumi, distruggono configurazioni, ma non riscrivono necessariamente tutti i dati al di sopra. Possiamo allora ricostruire il RAID cancellato e recuperare i backup che conteneva, un'operazione di recupero avanzata che non ha più nulla a che vedere con il semplice ripristino di un backup intatto.

Il nostro arsenale non si ferma qui. Sfruttiamo le copie shadow del sistema (le Shadow Copies di Windows) quando non sono state cancellate. Ritroviamo file temporanei, versioni intermedie, dati dimenticati su supporti che il ransomware non ha toccato.

C'è persino il caso dei file parzialmente cifrati. Cifrare un file intero richiede tempo, soprattutto se grande: un video, un file di posta PST di Outlook di parecchi gigabyte. Per andare veloce e colpire il massimo di file, certi ransomware cifrano solo l'inizio di ciascuno, per esempio i primi mille settori. Il file diventa inutilizzabile dal software che lo ha creato, ma tutto il resto è intatto. A seconda del formato, possiamo talvolta leggere questa parte non cifrata ed estrarne dati utilizzabili per il cliente, pur avendo perso l'inizio. È caso per caso, ma è spesso una pista reale.

Gli errori che aggravano, e i gesti che salvano

L'errore più frequente, lo vediamo ripresentarsi di continuo: ripristinare i backup direttamente sul server colpito. Si reinstalla il server da capo, ci si rispinge sopra il backup, e il gioco sembra fatto. Solo che questo riscrive i dischi d'origine. Se il backup si rivela difettoso, incompleto, o esso stesso cifrato, si sono appena sovrascritti dati che erano forse ancora recuperabili. Si è distrutta la propria ultima possibilità senza saperlo.

Ecco perché la regola, come per ogni recupero, è congelare lo stato prima di agire. Ecco come procedere:

1. Spegnete la macchina immediatamente. La cifratura gira in background; ogni minuto in più significa altri file che ci passano. Non esitate a staccare la spina per fare più in fretta. Isolate anche la macchina dalla rete per evitare la propagazione.
2. Non reinstallate nulla, non ripristinate nulla sui dischi d'origine.
3. Rivolgetevi a un laboratorio specializzato. Cominciamo sistematicamente con una copia bit a bit di sicurezza, poi lavoriamo in sola lettura, sulle copie: il ransomware non gira più, e nulla viene riscritto sui vostri dischi originali. È solo a partire da lì che si cerca di recuperare.

Pagare o no: la decisione onesta

La nostra posizione è chiara: raccomandiamo di non pagare. Pagare finanzia direttamente la criminalità, e non offre alcuna garanzia di recuperare alcunché. Ma siamo lucidi. Quando in gioco c'è la sopravvivenza di un'azienda e dei posti di lavoro, bisogna fare le dovute distinzioni. È un po' come una rapina in banca: non si chiede al personale di rifiutarsi di consegnare il denaro a costo della propria vita. Si cede, e così facendo, si finanzia indirettamente il crimine. Ciascuno decide a seconda della propria situazione.

Se la negoziazione diventa inevitabile, due principi riducono i rischi.

Innanzitutto, non negoziate mai voi stessi. Non appena un'azienda attaccata entra in contatto con i pirati, questi indagano su di essa, fanno OSINT (raccolta di informazioni da fonti aperte), ne valutano le dimensioni e i mezzi finanziari, e adeguano di conseguenza il riscatto. Affidate piuttosto la trattativa a una società terza specializzata. Sembra paradossale, ma un intermediario che negozia regolarmente ottiene spesso un'intesa migliore: i pirati fanno affari e tengono alla loro reputazione, perché un cliente scontento è un cliente che non pagherà mai più.

Poi, esigete una prova. Prima di ogni versamento, chiedete la decifratura di qualche file per verificare che i pirati possiedano davvero la chiave. Scegliete file senza valore per nessuno, né per voi né per loro: soprattutto non il budget dell'anno o la contabilità, ma documenti insignificanti. Se ve li rimandano decifrati, avete la prova che detengono la chiave. Perché capita che l'abbiano persa, in particolare dopo la chiusura dei loro server. Non pagate mai senza questa garanzia.

Il ricatto alla divulgazione: il ransomware ha cambiato volto

Bloccare l'accesso ai dati non è più l'unica leva. Il ransomware moderno gioca su tre assi.

Il primo resta il blocco tramite cifratura, quello che tutti conoscono. Ma un secondo si è imposto: l'esfiltrazione dei dati abbinata a una minaccia di divulgazione. I pirati copiano i vostri dati sui loro server e minacciano di pubblicarli se non pagate. Non è più «non potete più accedere ai vostri dati», ma «renderemo pubblici i vostri dati». Questa evoluzione ha una causa precisa: man mano che le aziende si sono dotate di backup esternalizzati e scollegati, non avevano più bisogno di pagare per recuperare i loro file. I pirati hanno quindi cambiato arma.

Il terzo asse va ancora oltre, presso certi gruppi che si prendono il tempo di analizzare ciò che hanno rubato: la minaccia di vendere o divulgare informazioni riservate a concorrenti, o addirittura alle autorità fiscali. Sempre la stessa logica di ricatto, spinta all'estremo.

Una parola sull'importo, perché non è fissato a caso. I pirati cercano le vostre informazioni bancarie nei file rubati (bilanci, PDF contabili) e calibrano il riscatto sulla vostra liquidità, spesso intorno al 30-50% del cash flow. L'obiettivo non è affondarvi, ma estrarvi il massimo senza spingervi alla chiusura, perché un'azienda morta non paga.

I vostri obblighi legali in Svizzera

Al di là della tecnica, un incidente ransomware comporta degli obblighi, e questi differiscono a seconda del vostro profilo.

Se siete un gestore di infrastrutture critiche (energia, acqua potabile, trasporti, alcune autorità cantonali o comunali), dovete segnalare il cyberattacco all'Ufficio federale della cybersicurezza (UFCS) entro 24 ore dalla sua rilevazione, con 14 giorni per completare il dossier. Questo obbligo è in vigore dal 1° aprile 2025 e riguarda in particolare gli attacchi che minacciano il funzionamento dell'infrastruttura, provocano una fuga di dati o si accompagnano a un'estorsione.

Per un'azienda ordinaria che detiene dati personali, si applica la nuova legge sulla protezione dei dati (nLPD). Il suo articolo 24 impone di annunciare all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), nel più breve tempo possibile, ogni violazione che presenti un rischio elevato per le persone interessate. Non c'è un termine fisso come le 72 ore del GDPR, ma l'omissione intenzionale può costare fino a 250 000 franchi di multa. Se i dati dei vostri clienti sono stati esfiltrati e minacciati di divulgazione, dovrete in genere informarli.

In ogni caso, sporgete denuncia, e verificate se la vostra assicurazione comprende una copertura cyber: sempre più contratti la propongono.

L'unico baluardo che tiene: il backup offline

Nessun laboratorio, per quanto ben attrezzato, sostituisce un buon backup. E anche qui, c'è backup e backup. Un RAID o un NAS collegato alla rete non è al sicuro: è precisamente ciò che i pirati si adoperano a distruggere per primo. L'unica protezione davvero affidabile è un backup offline, immutabile e delocalizzato, fisicamente scollegato dal sistema che protegge. È esso, e esso solo, a trasformare un attacco ransomware in un semplice contrattempo piuttosto che in una catastrofe.

Domande frequenti

Un ransomware cancella i dati?

No. Un ransomware cifra i file per renderli illeggibili, ma i dati restano fisicamente presenti sul disco. È ciò che lascia possibilità di recupero: backup, copie shadow, file parzialmente cifrati o volumi cancellati ma non riscritti.

Si può decifrare un ransomware senza pagare il riscatto?

Direttamente, solo in certi casi: ransomware datati e vulnerabili, o varianti le cui chiavi sono state sequestrate dalla polizia o pubblicate (progetto No More Ransom). Su un ransomware recente ben concepito, la forza bruta è impossibile. Per contro, si possono spesso recuperare i dati per altre vie, senza decifrare.

Cosa fare immediatamente in caso di attacco ransomware?

Spegnete la macchina all'istante, se necessario staccando la spina, e isolatela dalla rete: la cifratura gira in background e ogni minuto aggrava i danni. Non reinstallate nulla, non ripristinate alcun backup sui dischi colpiti, e affidate il supporto a un laboratorio specializzato.

Bisogna pagare il riscatto?

Raccomandiamo di non pagare: finanzia il crimine e non offre alcuna garanzia. Se la sopravvivenza dell'azienda lo impone, non negoziate mai voi stessi (i pirati indagano su di voi per adeguare il riscatto), passate per un terzo specializzato, ed esigete una prova di decifratura su file senza valore prima di ogni versamento.

Un laboratorio può recuperare i miei dati dopo un ransomware?

Spesso sì, senza passare per i pirati: ricostruzione di RAID cancellati ma non riscritti, copie shadow (Shadow Copies), file temporanei, backup dimenticati, file cifrati solo parzialmente. Il laboratorio lavora su una copia bit a bit in sola lettura, senza mai sovrascrivere i dischi d'origine.

Quali sono gli obblighi legali in Svizzera dopo un cyberattacco?

I gestori di infrastrutture critiche devono segnalare l'attacco all'Ufficio federale della cybersicurezza (UFCS) entro 24 ore, dal 1° aprile 2025. Le altre aziende che detengono dati personali devono, secondo la nLPD, annunciare all'IFPDT nel più breve tempo possibile ogni violazione a rischio elevato, e informare le persone interessate se i loro dati sono stati esfiltrati.