Articolo Pubblicazioni
Le prime 24 ore di un attacco ransomware: il playbook operativo
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Le decisioni prese nelle prime ore di un attacco ransomware condizionano i danni, i tempi di ripristino e la posizione legale dell’organizzazione. L’articolo propone un playbook operativo diviso per fasi temporali, dalla prima ora alla fine della prima giornata, con le azioni tecniche, le decisioni organizzative, le notifiche e la comunicazione, e una lista di ciò che conviene preparare prima.
Prima ora, fermare la propagazione
- attivare il gruppo di gestione degli incidenti e nominare un responsabile delle decisioni, con un canale di comunicazione che non dipenda dai sistemi colpiti;
- isolare i sistemi colpiti dalla rete, scollegando cavi o bloccando il traffico su switch e firewall, senza spegnerli quando possibile;
- disconnettere i backup e le repliche ancora integri, per evitare che vengano cifrati;
- sospendere gli accessi remoti, VPN e connessioni dei fornitori, e disattivare gli account amministrativi che risultano compromessi;
- annotare l’ora in cui l’incidente è stato scoperto, da cui decorrono i termini di notifica.
Dalla seconda alla sesta ora, capire e preservare
- stabilire il perimetro, cioè quali sistemi sono cifrati, quali sono a rischio e quali sono sicuri;
- preservare le prove, con copie della memoria dei sistemi chiave ancora accesi, immagini dei dischi più significativi, esportazione dei log di firewall, VPN, controller di dominio, EDR e servizi cloud, nota di riscatto e campioni;
- verificare se ci sono segni di esfiltrazione dei dati, perché cambiano gli obblighi di notifica e la gestione dell’estorsione;
- contattare assicurazione, consulenti legali e, se non già coinvolto, un fornitore di risposta agli incidenti;
- fare una prima valutazione degli obblighi di notifica, con il supporto del responsabile della protezione dei dati.
Dalla sesta alla dodicesima ora, decidere
- decidere la strategia di ripristino, cioè quali servizi riattivare per primi, secondo le priorità della business impact analysis;
- verificare l’integrità dei backup prima di usarli, controllando che non contengano il malware o gli accessi lasciati dagli attaccanti;
- presentare la denuncia alla Polizia Postale, che può anche coordinare il contatto con altre autorità;
- decidere la posizione sul riscatto, sapendo che il pagamento non garantisce il recupero dei dati né la loro cancellazione, può esporre a ricatti successivi e deve rispettare i limiti legali sui destinatari sanzionati;
- avviare le procedure manuali previste dai piani di continuità.
Entro la ventiquattresima ora, comunicare
- inviare le notifiche dovute nei termini più brevi, come la pre-notifica al CSIRT Italia per i soggetti NIS o la notifica iniziale all’autorità di vigilanza per le entità DORA, anche con informazioni parziali;
- preparare la notifica al Garante, da inviare entro 72 ore se sono coinvolti dati personali con rischio per le persone;
- informare i dipendenti con indicazioni chiare su che cosa fare e che cosa non fare, compreso il divieto di usare i sistemi colpiti e di parlare con l’esterno;
- preparare una comunicazione per clienti e partner, coerente con le notifiche e senza affermazioni non verificate;
- pianificare i turni, perché la gestione di un ransomware dura settimane e le persone stanche sbagliano.
Che cosa preparare prima
Nessuna di queste azioni si improvvisa bene. Prima dell’incidente servono un piano di risposta con ruoli e contatti stampati su carta, backup immutabili o fuori linea con prove di ripristino recenti, un contratto con un fornitore di risposta agli incidenti, modelli di notifica e di comunicazione già pronti, l’elenco delle autorità da avvisare con i relativi canali e un’esercitazione all’anno sullo scenario ransomware. Chi ha fatto questo lavoro passa le prime ventiquattro ore a eseguire, mentre chi non l’ha fatto le passa a organizzarsi.
Chi fa che cosa
Tabella 1. Ruoli principali nelle prime 24 ore.
| Ruolo | Compiti |
|---|---|
| Responsabile della crisi | Decide priorità, spegnimenti, ripristini e posizione sul riscatto; tiene i rapporti con il vertice |
| Responsabile tecnico | Coordina contenimento, preservazione delle prove e verifica dei backup |
| Legale e protezione dei dati | Valuta notifiche, rapporti con le autorità, assicurazione e aspetti contrattuali |
| Comunicazione | Prepara i messaggi a dipendenti, clienti, fornitori e stampa |
| Segreteria della crisi | Registra decisioni, orari e contatti in un diario dell’incidente |
Il diario dell’incidente
Dalla prima ora qualcuno deve tenere un diario con ogni evento, decisione e comunicazione, con l’orario e il nome di chi ha deciso. Serve a non perdere il filo nei giorni successivi, a dimostrare il rispetto dei termini di notifica, a giustificare le scelte davanti a clienti, assicurazione e autorità e a preparare l’analisi conclusiva. Un foglio condiviso su un sistema esterno a quelli colpiti, o anche un quaderno, è meglio di nessuna traccia.
Errori frequenti nelle prime ore
- usare la posta aziendale o la chat interna per coordinare la risposta, quando potrebbero essere controllate dagli attaccanti;
- ripristinare in fretta i sistemi da backup non verificati, con il risultato di reinfettarli;
- reimpostare tutte le password da una postazione compromessa;
- dichiarare all’esterno che nessun dato è stato sottratto prima di averlo verificato;
- sottovalutare la stanchezza, lasciando le stesse persone al lavoro per trenta ore di fila.
Dopo le prime 24 ore
La giornata successiva è dedicata a consolidare. Si completa l’analisi per capire da dove sono entrati gli attaccanti e se sono ancora presenti, si ripristinano i servizi prioritari su sistemi verificati, si cambiano in modo ordinato tutte le credenziali, a partire da quelle amministrative, e si chiudono le vulnerabilità sfruttate. Si preparano la notifica completa entro 72 ore e le comunicazioni successive. Solo quando i sistemi critici sono stabili si pianifica il ripristino del resto e si avvia l’analisi delle lezioni apprese, che porterà a migliorare il piano e i controlli.
Vedi anche: l’articolo del 2026 Analisi forense dopo un attacco ransomware: quali tracce preservare e l’articolo del 2022 Prevenire e contrastare i ransomware.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn