Devo pagare il riscatto per riavere i dati?

La linea condivisa da forze dell'ordine e agenzie di sicurezza è non pagare: il pagamento non garantisce il recupero dei file, alimenta il crimine e ti espone a nuovi attacchi. Priorità al ripristino da backup pulito. Sporgi denuncia alla Polizia Postale.

Entro quanto devo notificare l'attacco al Garante Privacy?

Se c'è violazione di dati personali, il Regolamento UE 2016/679 (GDPR) impone la notifica al Garante entro 72 ore dal momento in cui vieni a conoscenza della violazione (art. 33). Se il rischio per gli interessati è elevato, vanno informati anche i soggetti coinvolti (art. 34).

Cosa devo fare per primo quando scopro un ransomware?

Isolare le macchine colpite: scollegare cavo di rete e Wi-Fi, spegnere lo switch se serve, ma non formattare, non spegnere in modo forzato i PC (servono per l'analisi). Poi avvisa il responsabile IT o il tuo fornitore di assistenza.

Il backup mi salva davvero da un ransomware?

Solo se è un backup isolato e testato. Molti ransomware cifrano anche i backup collegati alla rete. Serve almeno una copia offline o immutabile (logica 3-2-1) e prove di ripristino periodiche.

Come notifico i clienti dopo un ransomware (art. 34 GDPR)?

Se il rischio per gli interessati è elevato, l'art. 34 GDPR obbliga a informare senza ingiustificato ritardo i soggetti coinvolti — cioè le persone fisiche i cui dati sono stati violati (clienti, dipendenti, fornitori). La comunicazione va fatta in modo diretto (es. email o lettera) con linguaggio chiaro e deve descrivere la natura della violazione, le probabili conseguenze e le misure adottate. Coinvolgi il DPO, se nominato, e un legale.

Quanto tempo serve per ripristinare l'operatività?

Dipende dalla qualità dei backup e dalla dimensione dell'infrastruttura. Con backup testati e un piano pronto si parla in genere di poche ore fino a 1-2 giorni; improvvisando, senza backup affidabili, si rischiano 1-3 settimane e la perdita definitiva di dati.

postazioni-it

Attacco ransomware in azienda: cosa fare nelle prime 24 ore

Piano operativo per la tua PMI sotto ransomware: isolare, non pagare subito, ripristinare dal backup e notificare al Garante entro 72 ore. Guida pratica 2026.

Scritto da Team ILTECPubblicato il 14 agosto 2026

In breve:

Isola subito le macchine colpite (scollega rete e Wi-Fi) ma non formattare, non spegnere in modo forzato: servono per l’analisi forense.
Non pagare il riscatto: pagare non garantisce il recupero, finanzia il crimine e ti segnala come bersaglio pagante.
Se sono coinvolti dati personali, il GDPR (art. 33) impone la notifica al Garante entro 72 ore dalla scoperta; se il rischio è elevato, informa anche gli interessati (art. 34).
Sporgi denuncia alla Polizia Postale: è un reato e la denuncia serve anche per assicurazione e responsabilità.
Ripristina solo da backup isolati e testati: molti ransomware cifrano anche i backup collegati alla rete.

Un dipendente ti chiama: i file sullo schermo hanno estensioni strane e c’è una schermata che chiede un riscatto in Bitcoin. Il gestionale non parte, la cartella condivisa è illeggibile. Le prime ore decidono se torni operativo in un giorno o in due settimane. Le PMI sono spesso il bersaglio preferito degli attacchi ransomware perché hanno difese deboli e backup non testati.

Questo non è un articolo di prevenzione (per quello vedi il kit minimo di cybersecurity). È il piano operativo di incident response: cosa fare, in ordine, nelle prime 24 ore.

Cosa fare subito: i 5 passi nelle prime 24 ore

Isola subito le macchine colpite (scollega rete e Wi-Fi) ma non formattare, non spegnere in modo forzato: servono per capire come è entrato l’attacco.
Non pagare il riscatto: pagare non garantisce il recupero, finanzia il crimine e ti segnala come bersaglio pagante. Priorità al ripristino da backup pulito.
Se sono coinvolti dati personali, il GDPR (art. 33) impone la notifica al Garante entro 72 ore dalla scoperta della violazione.
Sporgi denuncia alla Polizia Postale: è un reato e la denuncia serve anche per assicurazione e responsabilità.
Il ripristino funziona solo con backup isolati e testati: molti ransomware cifrano anche i backup collegati alla rete.

Le prime 24 ore: la sequenza operativa

L’errore più comune è agire d’istinto: spegnere tutto, riavviare, provare a cancellare i file cifrati. Quasi sempre peggiora la situazione. Segui questa sequenza.

1. Contenere (primi 15-30 minuti)

L’obiettivo è fermare la propagazione. Il ransomware si diffonde in rete: ogni minuto colpisce nuove cartelle e nuovi PC.

Scollega i cavi di rete dalle macchine colpite e disattiva il Wi-Fi.
Isola i server e i NAS: se non sai quali macchine sono infette, scollega lo switch o spegni l’accesso a Internet dell’azienda.
Non formattare, non spegnere in modo forzato i PC coinvolti. La RAM e i log servono all’analisi forense per capire vettore e ceppo del ransomware.
Blocca gli accessi remoti (VPN, RDP, TeamViewer): spesso l’attacco entra proprio da lì.

2. Valutare e allertare (prima ora)

Chiama il responsabile IT interno o il tuo fornitore di assistenza. Se sei cliente ILTEC hai un referente unico e assistenza diretta: per i clienti con contratto, i blocchi totali dell’operatività sono gestiti entro 8 ore lavorative (calcolate sugli orari di apertura, Lunedì-Venerdì 8:00-12:30 / 14:30-18:30), senza call center.
Identifica cosa è stato colpito: quali server, quali dati, se ci sono dati personali di clienti o dipendenti.
Fai foto della schermata di riscatto e annota l’orario: serviranno per denuncia e analisi.

3. Non pagare (decisione critica)

La tentazione, con l’azienda ferma, è pagare per tornare operativi in fretta. La linea di forze dell’ordine e agenzie di sicurezza è netta: non pagare.

Pagare non garantisce di riavere i dati: molte vittime pagano e ricevono chiavi che non funzionano.
Alimenti il modello di business del crimine e ti marchi come bersaglio pagante: chi paga viene spesso ricolpito.
Il riscatto non elimina l’esfiltrazione: molti gruppi rubano i dati prima di cifrarli e minacciano di pubblicarli (doppia estorsione).

La via corretta è il ripristino da backup. Ecco perché il backup va progettato prima, non dopo.

4. Ripristinare da backup pulito

Qui si vede se hai fatto i compiti. Un backup serve solo se è isolato e testato.

Verifica che i backup non siano stati cifrati anch’essi (accade quando sono su unità sempre collegate alla rete).
Ripristina in un ambiente bonificato: reinstalla i sistemi operativi da zero sulle macchine colpite, non riportare l’infezione.
Recupera i dati dall’ultima copia sana, verificando la data dell’infezione per non ripristinare file già compromessi.

Se non hai una strategia di backup a prova di ransomware, leggi la nostra guida alla strategia di backup 3-2-1: tre copie, due supporti diversi, una offline/immutabile.

5. Notificare (entro 72 ore per i dati personali)

Se l’attacco ha coinvolto dati personali (di clienti, dipendenti, fornitori), scatta un obbligo di legge.

Il Regolamento UE 2016/679 (GDPR), art. 33 impone la notifica al Garante per la protezione dei dati personali entro 72 ore da quando vieni a conoscenza della violazione.
Se il rischio per gli interessati è elevato, l’art. 34 obbliga anche a informare i soggetti coinvolti: sono le persone fisiche i cui dati sono stati violati (clienti, dipendenti, fornitori). La comunicazione va fatta senza ingiustificato ritardo, in modo diretto (email o lettera) e con linguaggio chiaro, descrivendo natura della violazione, probabili conseguenze e misure adottate.
Sporgi denuncia alla Polizia Postale: il ransomware è un reato e la denuncia serve anche a fini assicurativi.
Coinvolgi il tuo DPO (se nominato) e valuta il supporto di un legale.

Cosa NON fare (gli errori che costano di più)

Errore	Perché è un problema
Spegnere/formattare subito i PC	Distruggi le prove per capire come sono entrati e quali dati sono usciti
Pagare il riscatto	Nessuna garanzia, finanzi il crimine, ti segnali come pagante
Ripristinare senza bonificare	Riporti l’infezione e ricifri tutto
Ignorare la notifica al Garante	Sanzioni GDPR che si sommano al danno dell’attacco
Nascondere l’incidente	Peggiora responsabilità e conseguenze legali

Dopo l’emergenza: chiudere la falla

Ripristinare non basta. Se non capisci come sono entrati, verrai ricolpito. Dopo il ripristino:

Analizza il vettore d’ingresso (email di phishing, RDP esposto, credenziale rubata, software non aggiornato).
Rivedi la struttura di server e rete aziendale: segmentazione, firewall, accessi remoti protetti.
Cambia tutte le password e attiva l’autenticazione a due fattori dove possibile.
Rendi i backup immutabili o offline e pianifica test di ripristino periodici.

Quando NON serve tutto questo apparato: se sei un professionista con un solo PC e nessun dato personale di terzi rilevante, il piano si riduce a isolare, ripristinare da backup offline e ripulire. Ma nel momento in cui gestisci dati di clienti o hai una rete condivisa, l’incident response strutturato non è opzionale.

Il valore di un fornitore raggiungibile

Nell’emergenza, il fattore che accorcia i tempi è avere qualcuno che risponde subito. ILTEC offre assistenza diretta senza call center, con un referente unico per stampa, IT, rete e cassa. Per i clienti con contratto, i blocchi totali dell’operatività sono gestiti entro 8 ore lavorative (calcolate sugli orari di apertura, Lunedì-Venerdì 8:00-12:30 / 14:30-18:30). Ma la vera differenza si costruisce prima: rete segmentata, backup testati, accessi remoti protetti.

Vuoi capire quanto è esposta la tua infrastruttura e se i tuoi backup reggerebbero davvero a un ransomware? Prenota un sopralluogo gratuito: un nostro tecnico analizza rete, server e strategia di backup della tua azienda a Biella e provincia, e ti dice dove sei scoperto. Senza impegno.

Domande frequenti

Devo pagare il riscatto per riavere i dati?: La linea condivisa da forze dell'ordine e agenzie di sicurezza è non pagare: il pagamento non garantisce il recupero dei file, alimenta il crimine e ti espone a nuovi attacchi. Priorità al ripristino da backup pulito. Sporgi denuncia alla Polizia Postale.
Entro quanto devo notificare l'attacco al Garante Privacy?: Se c'è violazione di dati personali, il Regolamento UE 2016/679 (GDPR) impone la notifica al Garante entro 72 ore dal momento in cui vieni a conoscenza della violazione (art. 33). Se il rischio per gli interessati è elevato, vanno informati anche i soggetti coinvolti (art. 34).
Cosa devo fare per primo quando scopro un ransomware?: Isolare le macchine colpite: scollegare cavo di rete e Wi-Fi, spegnere lo switch se serve, ma non formattare, non spegnere in modo forzato i PC (servono per l'analisi). Poi avvisa il responsabile IT o il tuo fornitore di assistenza.
Il backup mi salva davvero da un ransomware?: Solo se è un backup isolato e testato. Molti ransomware cifrano anche i backup collegati alla rete. Serve almeno una copia offline o immutabile (logica 3-2-1) e prove di ripristino periodiche.
Come notifico i clienti dopo un ransomware (art. 34 GDPR)?: Se il rischio per gli interessati è elevato, l'art. 34 GDPR obbliga a informare senza ingiustificato ritardo i soggetti coinvolti — cioè le persone fisiche i cui dati sono stati violati (clienti, dipendenti, fornitori). La comunicazione va fatta in modo diretto (es. email o lettera) con linguaggio chiaro e deve descrivere la natura della violazione, le probabili conseguenze e le misure adottate. Coinvolgi il DPO, se nominato, e un legale.
Quanto tempo serve per ripristinare l'operatività?: Dipende dalla qualità dei backup e dalla dimensione dell'infrastruttura. Con backup testati e un piano pronto si parla in genere di poche ore fino a 1-2 giorni; improvvisando, senza backup affidabili, si rischiano 1-3 settimane e la perdita definitiva di dati.