Cos'è un ransomware e come si viene infettati

I ransomware sono programmi malevoli che bloccano l'accesso ai dati del computer, di solito cifrando i file, e poi chiedono un riscatto per restituirli. È a tutti gli effetti un ricatto, e il pagamento è chiesto quasi sempre in criptovalute.

Vediamo come funzionano, come si viene infettati e soprattutto come proteggersi.

Come funziona un ransomware

Una volta entrato nel computer, il ransomware cifra documenti, foto, archivi e database, rendendoli illeggibili, e mostra un messaggio con le istruzioni per pagare. Le varianti più recenti cercano anche le altre macchine della rete aziendale e i backup collegati, per bloccare anche quelli. Spesso, prima di cifrare, copiano i dati e minacciano di pubblicarli: è la cosiddetta doppia estorsione.

Uno dei primi ransomware a diffondersi in modo massiccio fu CryptoLocker, comparso nel 2013 e fermato nel 2014 da un'operazione internazionale delle forze dell'ordine. Da allora ne sono comparsi moltissimi altri: nel 2017 WannaCry colpì in pochi giorni centinaia di migliaia di computer in tutto il mondo sfruttando una falla di Windows per la quale l'aggiornamento correttivo era disponibile già da circa due mesi.

Pagare non garantisce di riavere i dati: molte vittime hanno pagato senza ricevere nulla o hanno ricevuto chiavi che funzionavano solo in parte. Per questo le autorità sconsigliano di farlo.

Come si viene infettati

• Email con allegati o link. È il modo più comune: una falsa fattura, un avviso del corriere, un documento che chiede di «abilitare il contenuto». Ne parliamo nell'articolo sul phishing.
• Programmi e sistemi non aggiornati. I criminali sfruttano falle già note. Nel 2019, per esempio, il ransomware Maze si diffondeva attraverso siti compromessi che sfruttavano una falla di Adobe Flash Player. Flash oggi non esiste più, ma il principio è lo stesso: un programma non aggiornato è una porta aperta.
• Accessi remoti esposti. Desktop remoto e VPN con password deboli o senza autenticazione a due fattori sono tra i bersagli preferiti negli attacchi alle aziende.
• Programmi scaricati da fonti non ufficiali. Software «craccati», film e musica pirata possono contenere malware.

Un caso che ha fatto storia

Il malware non arriva solo dai criminali. Nel 2005 scoppiò lo scandalo del rootkit Sony BMG: alcuni CD musicali, inseriti nel computer, installavano di nascosto un software anticopia che si nascondeva nel sistema e lo rendeva più vulnerabile. Lo strumento di rimozione distribuito in un primo momento creava a sua volta nuovi problemi di sicurezza. Ne seguirono il ritiro dei CD e diverse cause legali negli Stati Uniti.

Come proteggersi

• Aggiornamenti. Sistema operativo, browser e programmi sempre aggiornati: è la difesa più semplice e più efficace.
• Antivirus e firewall attivi. Microsoft Defender e il firewall di Windows vanno lasciati accesi.
• Attenzione alle email. Non aprire allegati inattesi e non cliccare sui link di cui non conosci la provenienza.
• Autenticazione a due fattori su posta, accessi remoti e servizi cloud.
• Backup scollegati. È la difesa più importante: con una copia recente su un disco scollegato o su un servizio con versioni non modificabili, anche dopo un attacco si riparte. Segui la regola 3-2-1: tre copie, su due supporti diversi, una fuori sede.
• Affidarsi a un esperto. Se non sei pratico, un controllo periodico dei sistemi e dei backup costa molto meno di un fermo dell'attività.

Se succede

Scollega subito il computer dalla rete, non spegnere i server senza sentire un tecnico, non pagare e avvisa chi si occupa dell'informatica. Si può presentare denuncia alla Polizia Postale e, se sono coinvolti dati personali, potrebbe essere necessario notificare la violazione al Garante entro 72 ore.