Ransomware-as-a-Service (RaaS): Perché le PMI Italiane sono il Bersaglio n.1
CyberLord Threat Intel Profilo autore
L'Italia è uno dei paesi più colpiti al mondo dai Ransomware. Perché? Perché abbiamo un tessuto economico unico, fatto di eccellenze manifatturiere, Made in Italy e... PMI (Piccole e Medie Imprese).
Spesso, l'imprenditore medio pensa: "Chi vuoi che attacchi me? Faccio bulloni a Brescia, non sono una banca."
Questo è l'errore fatale. Per i criminali del Ransomware-as-a-Service (RaaS), le PMI italiane sono il bersaglio perfetto: ricche abbastanza da pagare, ma vulnerabili abbastanza da essere colpite facilmente.
Il Modello RaaS: Il Franchising del Crimine
Immagina se un ladro d'auto potesse noleggiare gli attrezzi da scasso da un'azienda specializzata, e in cambio dare a quell'azienda il 30% del valore dell'auto rubata. Questo è il RaaS.
- Gli Operatori (Sviluppatori): Gruppi d'élite (come LockBit, BlackCat) creano il virus. Gestiscono i server, i siti di pagamento Tor e il "brand".
- Gli Affiliati (Esecutori): Criminali di basso livello che "noleggiano" il virus. Il loro unico compito è entrare nella tua rete.
- Il Profitto: Se paghi 100.000€:
- L'affiliato tiene 70.000€.
- L'operatore prende 30.000€.
Questo ha democratizzato il cyber-crimine. Non serve essere un genio informatico per lanciare un attacco devastante. Basta comprare un accesso sul Dark Web per 500€ e lanciare il programma RaaS.
Perché la PMI Italiana?
Le grandi multinazionali hanno budget di sicurezza illimitati e SOC (Security Operations Center) attivi 24/7. Attaccarle è difficile e costoso.
La PMI italiana tipica:
- Ha un fatturato tra 5 e 50 milioni di euro (quindi può pagare un riscatto di 50-200.000€).
- L'IT è gestito dal "cugino bravo" o da un fornitore esterno che viene mezza giornata a settimana.
- Usa software vecchi o non aggiornati.
- Non può fermare la produzione (il costo del fermo macchina è superiore al riscatto).
Per un hacker, le PMI sono "Low Hanging Fruit" (Frutta a portata di mano).
Come Entrano? (I Vettori di Attacco)
Nel 2025, non usano "magia nera". Usano porte che avete lasciato aperte.
1. RDP Esposto (Desktop Remoto)
Durante il Covid, molte aziende hanno aperto l'accesso remoto per far lavorare i dipendenti da casa. Spesso senza VPN, solo aprendo una porta sul firewall. I criminali scansionano internet cercando porte RDP aperte e provano password deboli ("Admin123", "Pippo"). Una volta dentro, sono amministratori.
2. Phishing Mirato
Una mail che sembra provenire da un fornitore abituale: "Vedi fattura allegata". È un file Excel con una macro malevola.
3. Vulnerabilità VPN non Patchate
Se usi firewall Fortinet, Cisco o SonicWall e non li hai aggiornati negli ultimi 3 mesi, è probabile che ci sia una falla nota che permette l'accesso senza password.
Cosa Succede Durante l'Attacco?
Non è immediato. C'è il cosiddetto "Dwell Time" (Tempo di permanenza). L'hacker entra e sta zitto per 2 o 3 settimane. In questo tempo:
- Esplora la rete: Mappa i server, trova dove sono i dati critici.
- Distrugge i Backup: Cerca il NAS o i dischi USB collegati e li formatta o cifra.
- Ruba i Dati (Exfiltration): Copia documenti riservati, brevetti, buste paga.
- Cifratura: Solitamente venerdì sera o la notte di Natale. Lancia il comando e tutti i PC si bloccano.
Quando arrivi lunedì mattina, trovi il riscatto sul desktop. E se ti rifiuti di pagare, minacciano di pubblicare i dati rubati sul dark web (violazione GDPR).
Come Difendersi (Strategia Low Cost)
Non serve spendere milioni. Servono le basi.
1. Backup Immutabile (Offline)
Il cloud va bene, ma se è sincronizzato, il virus cripta anche quello. Devi avere una copia dei dati che è fisicamente staccata dalla rete (hard disk in cassaforte) o usare cloud con "Object Lock" (tecnologia WORM - Write Once Read Many) che impedisce la cancellazione per X giorni.
2. MFA Ovunque (Autenticazione a Due Fattori)
Non esporre MAI un accesso remoto (VPN, TeamViewer, RDP) senza richiedere un codice dal cellulare. Questo blocca il 99% degli accessi non autorizzati.
3. Isolare la Produzione
La rete dell'ufficio (dove arrivano le mail) non deve parlare liberamente con la rete delle macchine a controllo numerico (CNC) della fabbrica. Segmenta la rete con VLAN.
4. Formazione Dipendenti
Spiega loro che non devono abilitare le macro in Excel se non sono sicuri. Fai simulazioni.
Conclusione
Il Ransomware è una tassa sull'ignoranza digitale. Pagare il riscatto è una pessima idea: non hai garanzie, finanzi criminali e verrai attaccato di nuovo (perché sanno che paghi).
Investi quel budget in prevenzione prima che succeda. Costa un decimo del riscatto.
Checkup Gratuito Ransomware per la tua Azienda
L'Economia di un Gruppo RaaS: Bottino e Selezione delle Vittime
Avvertenza doverosa: le percentuali che seguono sono stime derivate da segnalazioni pubbliche (indagini, arresti, trap di ricercatori), mai cifre ufficiali: nessun gruppo RaaS pubblica un bilancio. Lo schema ricorrente nei materiali pubblici: lo sviluppatore tratterrebbe una quota del riscatto indicativamente tra il 10% e il 30%, il resto all'affiliato, con condizioni agevolate per i più "prolifici". Il numero esatto non è il punto: ogni anello della filiera (sviluppatore, affiliato, broker di accessi, negoziatore) ha un incentivo economico proprio, quindi la "vendita" deve chiudere in fretta.
E la vittima non è casuale. L'affiliato seleziona con criteri da gestore di portafoglio: capienza per pagare, dati personali utili alla doppia estorsione, RDP o VPN esposti senza MFA, backup mai testati. Una PMI con accesso remoto scoperto e nessun test di ripristino è la scelta economicamente "razionale" per chi attacca: massima probabilità di successo, minima resistenza.
Gli Obblighi Italiani Post-Incidente (Procedura Informativa, Non Consulenza Legale)
Se nell'attacco sono coinvolti dati personali (buste paga, anagrafiche clienti, documenti), scattano adempimenti indipendenti dal riscatto:
- Art. 33 GDPR: ove la violazione presenti un rischio per i diritti e le libertà delle persone, la comunicazione al Garante Privacy va effettuata entro 72 ore dalla presa d'atto, anche in forma a scaglioni con motivazione.
- Contenuto della notifica: cosa è successo, quali dati e quanti interessati, conseguenze prevedibili, misure adottate. Senza log e note fotografati nelle prime ore, non si ricostruisce nulla.
- NIS2 / CSIRT Italia: se operi in un settore essenziale o importante, valuta con legale e fornitore IT la notifica ad ACN secondo le tempistiche di legge.
- Interessati: con rischio elevato, si valuta anche la comunicazione diretta a dipendenti e clienti.
La valutazione puntuale resta a DPO, legale e fornitore IT.
Il Costo del Fermo: Perché il Tessuto Produttivo è il Bersaglio
Il riscatto non è la voce più pesante: il fermo sì. In fasce indicative:
- Produzione ferma (3-7 giorni tipici): ordini in ritardo, penali contrattuali, clienti che spostano gli ordini sulla concorrenza.
- ERP cifrato: DDT, etichette e inventario incoerenti: la merce resta a magazzino.
- Amministrazione: fatture, solleciti, IVA trimestrale e chiusure con il commercialista ferme.
- Ufficio tecnico: disegni, listini e preventivi irraggiungibili: le commesse nuove si fermano.
Per questo gli affiliati cacciano nel tessuto produttivo e negli studi professionali: il conto vero è la perdita di produzione e amministrazione, spesso di gran lunga superiore al riscatto. E il fermo non sparisce nemmeno per chi non paga: restano ripristino, ricostruzione dei sistemi e turni da recuperare.
Le Prime 48 Ore: un Playbook Operativo
Quando i PC mostrano la nota di riscatto, l'ordine conta più dell'urgenza:
- Fotografare lo stato PRIMA di spegnere. Screenshot della nota, file lasciati sul desktop, log ancora leggibili: servono per identificare la famiglia, per il fornitore di incident response e per le denunce. Poi si spegne.
- Isolare, non distruggere. Staccare i cavi di rete, disattivare Wi-Fi, VPN e accessi remoti. Mai formattare o reinstallare "per fare presto": gli artefatti si perdono.
- Verificare i backup off-line. Controllare che la copia staccata o con Object Lock sia integra, prima di promettere tempi di recupero.
- Tavolo di crisi. Titolare, fornitore IT, legale, commercialista: una sola persona decide.
- Notifiche a conto alla rovescia. Garante (72 ore), ACN/CSIRT se applicabile NIS2, polizza cyber (specie se impone fornitori convenzionati), forze dell'ordine.
- Niente pagamento di prima istanza. Con backup validi il riscatto è superfluo; pagare non garantisce chiavi funzionanti e mette nella lista dei "pagatori". Un'eventuale trattativa estrema si valuta solo con il legale.
L'Assicurazione Cyber per le PMI: Cosa Copre (e Cosa Quasi Mai)
Le polizze cyber per PMI italiane hanno una struttura abbastanza prevedibile:
Tipicamente coprono:
- Business interruption legata all'indisponibilità dei sistemi.
- Spese di incident response e forensi, ripristino e notifica.
- Difesa legale su reclami di clienti o dipendenti per l'esfiltrazione.
Spesso escluse o con massimali separati:
- Il riscatto: dove è previsto, quasi sempre con massimali propri e autorizzazione preventiva dell'assicuratore prima di ogni trattativa.
- Alcune sanzioni, in particolare quelle a carico personale del titolare o degli amministratori.
Attenzione: molte condizioni chiedono misure minime (MFA, backup offline) come requisito di validità. La polizza è una rete di contenimento, non uno scudo: si legge prima, non dopo l'attacco.
Panoramica
Decisioni chiave, rischi e azioni di implementazione per questo argomento.