Malware in azienda: 10 misure concrete per prevenirlo e cosa fare nelle prime 24 ore

Un malware è un programma scritto per fare danni o rubare dati: il ransomware che cifra i file e chiede un riscatto, il trojan che intercetta i dati bancari, l'infostealer che copia le password salvate nel browser. In una PMI o in uno studio professionale entra quasi sempre da tre porte: un allegato o un link arrivato via email, un servizio esposto su Internet senza aggiornamenti, oppure credenziali rubate altrove e riutilizzate. Le misure che contano davvero sono poche e si possono controllare in un pomeriggio: backup scollegati e provati, aggiornamenti regolari, autenticazione a due fattori, utenti senza privilegi di amministratore, rete divisa a zone e un piano scritto per le prime ore. Qui sotto le spiego una per una, con il modo per verificare se nella tua azienda sono applicate sul serio e non solo scritte su un preventivo.

Come entra un malware in una PMI

Prima di difendersi conviene sapere da dove arriva il problema. Nei casi che ho seguito le vie d'ingresso si ripetono.

• Email. Una finta fattura, un ordine, un avviso di spedizione. L'allegato è un file Office con macro, un PDF con un link, oppure un archivio zip protetto da password proprio per non farlo analizzare dall'antivirus. Chi lavora in amministrazione apre decine di allegati al giorno e prima o poi ne apre uno sbagliato.
• Servizi esposti su Internet. Desktop remoto (RDP) raggiungibile da fuori, VPN con firmware vecchio di anni, NAS con pannello web pubblico, gestionali pubblicati senza protezione. Vengono trovati da scansioni automatiche in poche ore, non servono attaccanti mirati.
• Credenziali rubate. Un infostealer sul PC di casa di un dipendente copia le password salvate nel browser, compresa quella della posta aziendale. Se la stessa password è usata anche per la VPN, l'attaccante entra dalla porta principale.
• Software pirata e chiavette. I crack e gli attivatori scaricati da forum sono uno dei canali più comuni per i trojan. Le chiavette USB passate tra clienti e fornitori fanno il resto.

Il malware da solo raramente fa il danno finale. Spesso è solo il primo passo: apre un accesso, qualcuno lo usa per muoversi nella rete, cancella i backup raggiungibili e solo dopo giorni avvia la cifratura.

Le 10 misure che contano davvero

1. Backup con una copia scollegata. Tre copie, su due supporti diversi, di cui una fuori sede o offline. Un NAS sempre collegato alla rete non è un backup contro il ransomware: viene cifrato insieme al resto. Serve una copia immutabile nel cloud o un disco a rotazione che resta nel cassetto.
2. Test di ripristino periodico. Un backup non provato è una speranza. Ogni mese si ripristina almeno un file e ogni trimestre un intero server su una macchina di prova. Ne ho scritto nell'articolo sul disaster recovery per PMI.
3. Aggiornamenti entro pochi giorni. Sistema operativo, browser, Office, ma soprattutto firmware di firewall, router, VPN e NAS. Sono questi i dispositivi che restano anni senza patch perché nessuno li vede.
4. Autenticazione a due fattori su posta, VPN, gestionale cloud, pannelli di amministrazione e account dei fornitori IT. Una password rubata senza secondo fattore è un accesso completo.
5. Nessuno lavora come amministratore. L'utente quotidiano è un utente standard. Il malware eseguito da un utente senza privilegi fa molti meno danni e spesso non riesce nemmeno a installarsi.
6. Antivirus gestito centralmente, con avvisi che arrivano a una persona che li legge. Un antivirus gratuito installato a mano su ogni PC, senza console, non dice a nessuno quando qualcosa va storto.
7. Niente desktop remoto esposto. L'accesso da fuori passa solo da una VPN aggiornata con due fattori. La porta 3389 aperta su Internet è il modo più rapido per prendersi un ransomware.
8. Rete divisa a zone. Uffici, server, Wi-Fi ospiti, stampanti e telecamere su reti separate con regole tra loro. Se un portatile si infetta, non deve vedere direttamente il server.
9. Filtro sulla posta e blocco delle macro. Le macro nei file arrivati da Internet vanno disabilitate con una policy, non lasciate alla scelta dell'utente. Il filtro antispam deve mettere in quarantena gli allegati eseguibili e gli archivi protetti.
10. Formazione pratica e un piano scritto. Mezz'ora ogni sei mesi con esempi reali di email ricevute dall'azienda, più una pagina che dice chi chiamare, cosa staccare e dove sono i backup. Nel panico nessuno improvvisa bene.

Come verificare che siano applicate davvero

Molti titolari pensano di avere queste protezioni perché il fornitore IT le ha nominate. Si può controllare senza competenze tecniche.

• Chiedi di ripristinare una fattura di un mese fa e cronometra. Se ci vogliono giorni o non si trova, il backup non funziona.
• Apri la webmail da un browser mai usato prima. Se entri con la sola password, il secondo fattore non c'è.
• Sul tuo PC guarda le proprietà del tuo utente: se compare nel gruppo Administrators, lavori come amministratore.
• Chiedi la data dell'ultimo aggiornamento firmware del firewall e della VPN. Se nessuno la sa, non viene fatto.
• Fai fare una scansione esterna del tuo indirizzo IP pubblico. Ogni porta che risponde è un servizio esposto e deve avere un motivo.
• Chiedi un report mensile degli avvisi antivirus. Se la risposta è "non ne sono arrivati", quasi certamente nessuno li guarda.

Questi controlli sono la base di un audit di sicurezza. Quando lo faccio io, aggiungo un vulnerability assessment sulla rete e sui servizi esposti e consegno un elenco di interventi in ordine di priorità, non un documento di cento pagine.

I segnali che un malware è già dentro

Un'infezione raramente è silenziosa fino alla fine. Alcuni sintomi da non ignorare:

• l'antivirus risulta disattivato e non si riattiva;
• file con estensioni sconosciute e un documento di testo con istruzioni per il pagamento in una cartella condivisa;
• colleghi o clienti che ricevono email dal tuo indirizzo che non hai scritto;
• regole di inoltro automatico nella casella di posta che nessuno ha creato;
• richieste di conferma a due fattori sul telefono senza che tu stia facendo l'accesso;
• accessi alla VPN o al server in orari notturni o da paesi dove non hai sedi;
• il PC che diventa lento di colpo con il disco sempre in attività.

Cosa fare nelle prime 24 ore

L'ordine delle operazioni conta più della velocità. Un errore nelle prime ore può distruggere le prove e compromettere il ripristino.

1. Isola, non spegnere. Stacca il cavo di rete e il Wi-Fi delle macchine sospette. Se la cifratura è in corso e visibile, spegnere può limitare il danno, ma in tutti gli altri casi la memoria del computer acceso contiene informazioni utili all'analisi.
2. Blocca gli accessi remoti. Disattiva temporaneamente VPN e desktop remoto, sospendi gli account sospetti.
3. Cambia le password da un dispositivo pulito. Partendo da posta e account amministrativi. Farlo dal PC infetto serve a poco.
4. Metti al sicuro i backup. Verifica che esistano e che siano integri, senza collegarli alla rete compromessa.
5. Conserva le prove. Prima di formattare qualsiasi cosa, serve una copia forense delle macchine coinvolte e dei log di firewall e server. Serve per capire da dove sono entrati, per la denuncia e per l'assicurazione.
6. Valuta gli obblighi. Se sono coinvolti dati personali, il GDPR all'articolo 33 prevede la notifica al Garante entro 72 ore dalla scoperta. Le 72 ore passano in fretta mentre si cerca di far ripartire i sistemi.
7. Non pagare d'istinto. Il pagamento non garantisce nulla e va valutato solo dopo aver capito cosa è stato cifrato e cosa si può ripristinare.

Un caso concreto

Uno studio di commercialisti con otto postazioni mi ha contattato un lunedì mattina: tutti i file sul server erano illeggibili e in ogni cartella c'era la richiesta di riscatto. Il NAS di backup, collegato in rete con le stesse credenziali, era cifrato anche lui.

L'analisi ha mostrato l'ingresso dal desktop remoto del server, esposto su Internet per permettere il lavoro da casa, con una password trovata per tentativi. L'attaccante era dentro da nove giorni prima di avviare la cifratura. La fortuna dello studio è stata un disco USB che il titolare portava a casa ogni venerdì: l'ultima copia aveva sei giorni.

Abbiamo isolato il server, eseguito la copia forense per la denuncia e per la pratica assicurativa, reinstallato da zero e ripristinato dal disco USB. Lo studio ha perso sei giorni di registrazioni, reinserite a mano dalle fatture cartacee. Dopo il ripristino: desktop remoto chiuso, VPN con due fattori, utenti senza privilegi, backup giornaliero su spazio cloud immutabile oltre al disco a rotazione, test di ripristino ogni trimestre. Il costo di queste misure, fatte prima, sarebbe stato una frazione delle giornate perse.

Errori da evitare

• Formattare subito e ripartire. Si perde ogni traccia di come sono entrati e spesso si lascia aperta la stessa porta.
• Collegare il backup alla rete infetta per controllarlo. Se il malware è ancora attivo, cifra anche quello.
• Fidarsi del solo antivirus. Rileva una parte delle minacce note. Senza backup e senza controllo dei privilegi non basta.
• Ignorare dispositivi e servizi vecchi. Il server dismesso lasciato acceso, il NAS con firmware del 2018, la stampante con il pannello web esposto.
• Usare la stessa password per più servizi, soprattutto tra account personali e aziendali.
• Non avere un referente. Quando il fornitore IT non risponde nel weekend e nessuno sa dove sono i backup, le ore passano.

Quanto costa proteggersi e quanto costa intervenire

Lavoro a preventivo fisso e non rivendo hardware né licenze: consiglio quello che serve e il cliente resta proprietario di tutto. Prezzi indicativi, IVA esclusa:

• Consulenza IT: da 500 a 2.500 €. Analisi dell'infrastruttura, verifica dei backup, piano degli interventi in ordine di priorità.
• Cybersecurity: da 2.000 a 8.000 €. Audit di sicurezza, vulnerability assessment, hardening di server e rete, segmentazione, formazione del personale contro il phishing.
• Incident response: da 1.500 a 6.000 €. Contenimento, analisi dell'intrusione, supporto al ripristino e agli adempimenti.
• Copia forense delle macchine coinvolte: da 800 a 3.000 €, quando serve per denuncia, assicurazione o contenzioso.

Per le urgenze applico una maggiorazione del 50%. Un'acquisizione forense si fa in giornata. Il confronto da fare è con il costo di una settimana ferma, non con il prezzo di un antivirus.

Domande frequenti

L'antivirus a pagamento basta contro i malware?

No. Riduce il rischio ma non copre credenziali rubate, servizi esposti e backup raggiungibili. Senza backup scollegato e senza due fattori resta una protezione parziale.

Devo denunciare un attacco ransomware?

La denuncia alla Polizia Postale è consigliata e spesso richiesta dall'assicurazione. Se sono coinvolti dati personali, il GDPR prevede la notifica al Garante entro 72 ore. Per entrambe serve conservare le prove con una copia forense.

Conviene pagare il riscatto?

Di regola no. Non c'è garanzia di ricevere una chiave funzionante e si finanzia chi ha attaccato. La decisione va presa solo dopo aver verificato cosa si può ripristinare dai backup.

Un Mac o un gestionale in cloud mi mettono al riparo?

Riducono alcuni rischi ma non li eliminano. Esistono malware per macOS e gli account cloud vengono violati con credenziali rubate. Le misure elencate valgono anche in quei casi.

Quanto tempo serve per mettere in sicurezza una piccola azienda?

Per una realtà con una decina di postazioni, l'audit e gli interventi principali si completano di solito in poche settimane. Gli aggiornamenti e i test di ripristino restano poi un'attività continua.

Se vuoi sapere quali di queste dieci misure mancano nella tua azienda, o se sospetti di avere già un'infezione in corso, scrivimi dalla pagina contatti oppure richiedi un preventivo gratuito: rispondo entro 24 ore. Ricevo di persona a Varese, Como, Milano e nel Nord Lombardia, altrove in videochiamata.