Come prevenire gli attacchi ransomware?

Il ransomware è un tipo di malware che i criminali informatici usano per rubare dati e tenerli in ostaggio. Rilasciano i dati solo dopo aver ricevuto un pagamento consistente. Le vostre informazioni personali, i dati finanziari e la proprietà intellettuale possono essere vulnerabili e finire alla loro mercé.

L'epidemia di WannaCry nel 2017 ha mostrato di cosa è capace il ransomware moderno. Da allora sono emerse decine di varianti ransomware, usate per lanciare diversi attacchi su larga scala in tutto il mondo. Anche la pandemia di COVID-19 ha accelerato la diffusione del ransomware e l'adozione del lavoro da remoto ha ampliato le lacune nelle difese informatiche.

I criminali informatici sfruttano appieno queste situazioni, quindi gli attacchi ransomware non si fermeranno.  Le perdite finanziarie medie ammontano a 4,35 milioni di USD per incidente.  A maggio 2025, l'FBI ha segnalato 900 casi riconducibili al gruppo ransomware Play. In questa guida esamineremo i diversi tipi di ransomware. Vi spiegheremo come funzionano gli attacchi ransomware e come prevenirli.

Perché la prevenzione del ransomware è essenziale?

La protezione dal ransomware deve essere discussa a livello di consiglio di amministrazione in ogni organizzazione. Non si tratta solo di perdite economiche o danni alla reputazione. La posta in gioco è alta per chiunque subisca il furto, il sequestro o il blocco dei propri dati da parte dei criminali informatici. Non potete portare avanti la vostra attività se siete ancora impegnati a capire chi sia entrato nei sistemi e cosa sia successo.

I vostri clienti vogliono risposte e gli attacchi ransomware possono compromettere le attività future della vostra azienda. Inoltre, segnalano ad altri criminali informatici che la vostra azienda è un bersaglio facile, esponendola a ulteriori attacchi informatici. Normative e obblighi di conformità prevedono sanzioni severe e multe elevate se non contrastate le minacce ransomware. Pagare il riscatto non garantisce il recupero dei dati, ricordatelo. Poiché i criminali informatici non mantengono sempre la parola, prevenire gli attacchi ransomware è importante. Quindi, la scelta migliore è prevenirli prima di arrivare a quel punto. La prevenzione del ransomware è essenziale per impedire che i vostri dati finiscano nelle mani sbagliate o che i criminali superino le difese e raggiungano il loro obiettivo.

Come funzionano gli attacchi ransomware?

Una volta entrato nei sistemi, il ransomware può crittografare segretamente i vostri file e infettare altri sistemi. È un software che può accedere senza autorizzazione ai vostri file,risorse e infrastrutture. Chi controlla il malware tiene così in ostaggio tutte le vostre risorse.

Se i vostri file sono stati crittografati, non potete decifrarli né visualizzarli finché non pagate il riscatto all'aggressore. La password di decifratura è nelle sue mani. Se avete a che fare con doxware o leakware, è molto probabile che le vostre informazioni sensibili vengano pubblicate online se non pagate il riscatto.

Dopo il pagamento del riscatto, gli hacker vi chiederanno anche una prova del versamento. Dovrete inviare denaro tramite criptovalute o trasferimenti Western Union e inoltrare ricevute e messaggi di conferma.  Alcuni aggressori potrebbero fingersi funzionari governativi o agenti delle forze dell'ordine statunitensi per verificare che abbiate effettuato i trasferimenti. Potrebbero affermare di aver bloccato il vostro computer per pirateria informatica o perché hanno individuato contenuti per adulti (il che è falso) e chiedervi una multa per chiudere il caso.

Punti di ingresso comuni del ransomware

Il ransomware può avere diversi punti di ingresso, a seconda di dove si trova l'aggressore. L'attacco può provenire dall'interno o dall'esterno dell'organizzazione.

Ecco alcuni dei punti di ingresso più comuni del ransomware a cui prestare attenzione:

• Email di phishing - Gli hacker preparano campagne di phishing e le diffondono tramite email, messaggi diretti, siti web e post sui social media per indurre le vittime ad aprire e visualizzare gli allegati. Possono così spingerle a rivelare credenziali sensibili.
• Credenziali compromesse - Se le vostre credenziali sensibili sono già state divulgate, è molto probabile che qualcuno le abbia vendute sul dark web. Le credenziali compromesse possono essere riutilizzate su più account, piattaforme e servizi, soprattutto se usate ovunque le stesse credenziali di accesso.
• Attacchi tramite terze parti e supply chain - Gli hacker possono sfruttare i fornitori di servizi gestiti (MSP) e i fornitori di software per ottenere un accesso attendibile alle reti di più clienti a valle. Possono configurare erroneamente le API e compromettere gli aggiornamenti software, creando potenziali punti di ingresso per il ransomware.
• Supporti rimovibili - Anche le vostre unità USB e i supporti di archiviazione fisici possono infettarsi! Gli hacker possono aggirare le difese della vostra rete inserendovi malware e collegando questi dispositivi ai sistemi informatici. Possono così installare file dannosi sui vostri sistemi e sulle vostre reti locali.
• Malvertising e siti web dannosi - Gli hacker possono creare siti web falsi identici agli originali per attirarvi. Possono inserirvi annunci dannosi su cui gli utenti potrebbero cliccare senza rendersene conto, infettando così i propri sistemi.

Segnali di un'infezione da ransomware

Diversi segnali possono indicarvi che la vostra organizzazione è stata recentemente infettata da ransomware. Ecco i più comuni:

• Le estensioni dei vostri file cambiano improvvisamente; potreste notare file crittografati in diverse directory del file system.
• Notate un improvviso aumento delle condivisioni di file in rete da remoto. Le scansioni ransomware potrebbero essere disattivate e il vostro software potrebbe smettere di inviare gli avvisi abituali.
• I vostri backup potrebbero essere eliminati, incluse le copie shadow. Tutti i registri eventi di sistema vengono cancellati. I dati aziendali critici vengono crittografati automaticamente senza il vostro consenso o la vostra autorizzazione.
• Trovate una richiesta di riscatto da qualche parte nel vostro sistema. L'aggressore lascia i propri recapiti e vi spiega come ottenere il rilascio dei dati dopo il pagamento del riscatto.

Come prevenire gli attacchi ransomware: best practice

Se vi serve una checklist rapida per prevenire il ransomware, eccola. Ecco come potete prevenire gli attacchi ransomware. Queste sono le principali best practice per la prevenzione del ransomware in azienda:

1. Usate più tecniche di rilevamento

Usate più metodi di rilevamento (basati su firme, comportamenti e traffico) e non affidatevi a una sola tecnica. Adottate una protezione multilivello e l'analisi comportamentale per individuare nuove varianti ransomware. È una delle best practice per prevenire il ransomware e una parte importante della vostra strategia di sicurezza.

2. Attirate gli aggressori con gli honeypot

Usate tecnologie di inganno come gli honeypot per attirare gli aggressori. Possono aiutarvi a individuare i primi segnali di un attacco, crittografare file esca e indurre il malware o l'avversario a rivelarsi. È anche uno dei nostri principali consigli per prevenire il ransomware, perché funziona!

3. Usate piattaforme EDR

Le piattaforme Endpoint Detection and Response (EDR) analizzano i comportamenti degli endpoint, le attività della riga di comando e le catene di processi. A volte gli aggressori modificano strumenti come Windows Management Instrumentation (WMI) e PowerShell, quindi monitorare l'uso anomalo di questi strumenti con una piattaforma EDR efficace è fondamentale per rilevare tempestivamente le minacce ransomware.

4. Analizzate i modelli anomali di accesso ai file

Monitorate i tentativi insoliti di accesso ai file, soprattutto negli archivi di dati critici. Usate strumenti di monitoraggio dell'integrità dei file per rilevare modifiche inattese. Configurate avvisi per individuare operazioni sospette su grandi quantità di file che potrebbero segnalare attività di crittografia non autorizzate.

5. Formate i vostri dipendenti

Formate i vostri dipendenti sulle più recenti tecniche di social engineering e sulle campagne ransomware. Devono sapere cosa fare quando entrano in contatto con potenziali aggressori. Insegnate loro a non rivelare informazioni sensibili e a verificare sempre l'identità dei destinatari con cui comunicano online.

6. Implementate strategie di backup resilienti

Mantenete backup offline e immutabili, separati dall'infrastruttura di rete principale. Testate regolarmente le procedure di ripristino per verificare che i backup non siano compromessi. Conservate più versioni dei backup per ripristinare, se necessario, uno stato non compromesso.

7. Segmentate la vostra rete

Isolate i sistemi critici e i dati sensibili dal traffico di rete generale. Usate la microsegmentazione per limitare i movimenti laterali se gli aggressori violano un sistema. Così riducete la diffusione del ransomware e contenete le minacce in zone specifiche.

8. Applicate controlli degli accessi rigorosi

Richiedete l'autenticazione a più fattori su tutti i sistemi e gli account amministrativi. Applicate il principio del privilegio minimo—assegnate agli utenti solo le autorizzazioni necessarie. Verificate regolarmente i registri degli accessi e revocate tempestivamente le credenziali obsolete.

9. Aggiornate il software e applicate le patch ai sistemi

Distribuite le patch di sicurezza subito dopo il rilascio per correggere le vulnerabilità. Mantenete un inventario di tutto il software e monitorate lo stato delle patch. Date priorità alle infrastrutture critiche e alle applicazioni più spesso prese di mira nei cicli di applicazione delle patch.

10. Disattivate i servizi non necessari

Disattivate i protocolli e i servizi inutilizzati che ampliano la vostra superficie di attacco. Rimuovete gli strumenti e le funzionalità legacy non più necessari per le attività operative. Documentate quali servizi sono attivi e perché, per impedire l'introduzione di servizi non autorizzati. Fate anche un inventario degli account inattivi e inutilizzati nella vostra organizzazione.

11. Definite un piano di risposta agli incidenti

Preparate un piano operativo documentato per gli incidenti ransomware prima che si verifichino. Definite ruoli, canali di comunicazione e percorsi decisionali per ogni fase della risposta. Svolgete regolarmente esercitazioni simulate per verificare che il vostro team esegua il piano in modo efficace.

In che modo SentinelOne previene gli attacchi ransomware?

SentinelOne unifica le difese con strumenti di sicurezza basati sull'intelligenza artificiale, offre velocità senza precedenti e scalabilità illimitata. Bloccate le minacce prima che si concretizzino con una protezione autonoma e avanzata basata sull'intelligenza artificiale, leader a livello mondiale.

Proteggete cloud, endpoint e identità con una protezione basata sull'intelligenza artificiale, la ricerca delle minacce 24/7 e i servizi gestiti. Singularity™ Endpoint offre una protezione autonoma degli endpoint, mentre Purple AI valorizza il potenziale del vostro team di sicurezza con gli insight più recenti. Singularity™ AI SIEM rafforza la sicurezza dei dati e SentinelOne ha dimostrato l'efficacia delle sue difese nella MITRE ATT&CK Enterprise Evaluation 2024.

SentinelOne offre la piattaforma CNAPP più affidabile al mondo sul mercato per contrastare malware, minacce zero-day e attacchi ransomware. La sua piattaforma CNAPP senza agenti gestisce le autorizzazioni cloud. Restringe le autorizzazioni e previene la divulgazione dei segreti. Rilevate fino a 750+ tipi diversi di segreti. Cloud Detection and Response (CDR) fornisce una telemetria forense completa. Ottenete anche la risposta agli incidenti da parte di esperti e una libreria di rilevamento preconfigurata e personalizzabile. La CNAPP di SentinelOne supporta la conformità ai più recenti framework normativi, come ISO 27001, SOC 2, NIST e molti altri.

Il motore di IA statica di SentinelOne analizza i file prima dell'esecuzione e individua pattern indicativi di intenti malevoli. Classifica anche i file innocui. Il suo motore di IA comportamentale monitora le relazioni in tempo reale e protegge dagli exploit e dagli attacchi di malware fileless. Altri motori eseguono un'analisi completa delle cause profonde e del raggio d'impatto. Application Control Engine assicura la sicurezza delle immagini dei container. STAR Rules Engine è un motore basato su regole con cui gli utenti trasformano le query sulla telemetria dei workload cloud in regole automatizzate per la ricerca delle minacce. SentinelOne Cloud Threat Intelligence Engine è un motore di reputazione basato su regole che usa firme per rilevare malware noti.

Prompt Security by SentinelOne contrasta l'uso della shadow AI e previene gli attacchi denial of wallet e denial of service. Difendetevi dagli attacchi di prompt injection, dalle azioni non autorizzate degli agenti IA, dal malware per l'IA e dai prompt dannosi. Garantisce la conformità dell'IA e una copertura indipendente dal modello per tutti i principali fornitori di LLM, tra cui OpenAI, Anthropic e Google.

Ottenere informazioni più approfondite sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Conclusione

Una piattaforma di sicurezza efficace monitora i vostri ambienti, rileva i comportamenti degli utenti e impedisce agli attacchi ransomware di passare inosservati finché non è troppo tardi. Iniziate ad adottare una strategia di sicurezza zero trust e superate i sistemi di rilevamento legacy. SentinelOne è al vostro fianco in questo percorso. Contattate il nostro team per prevenire gli attacchi ransomware e ricevere ulteriore assistenza.