Ransomware: cosa fare quando i file di un'azienda vengono cifrati e compare una richiesta di riscatto? Secondo l'Ufficio federale della cibersicurezza (UFCS), occorre innanzitutto scollegare dalla rete i computer colpiti, poi mettere al sicuro i backup, conservare le tracce dell'attacco, sporgere denuncia ed effettuare le notifiche previste dalla legge.

Questa guida segue la risposta passo dopo passo. Il funzionamento dell'attacco, i suoi punti d'ingresso e i dati svizzeri sono trattati nel nostro dossier sul ransomware in azienda.

Il principio fissato dall'UFCS nella sua pagina «Ransomware – cosa fare?» sta in una frase: mantenere la calma e agire in modo ponderato. L'obiettivo primario non è ripartire il più in fretta possibile, ma scoprire la via d'infezione e impedire una nuova infezione.

Qual è il primo gesto di fronte a una richiesta di riscatto?

Isolare. L'UFCS chiede di disconnettere immediatamente i sistemi infetti: staccare il cavo di rete dal computer e disattivare eventuali adattatori senza fili.

Il comunicato congiunto del Ministero pubblico della Confederazione (MPC), dell'Ufficio federale di polizia (fedpol) e dell'UFCS del 16 ottobre 2025 va oltre. In caso di incidente, raccomanda di bloccare anzitutto tutte le connessioni Internet: web, e-mail, accessi remoti e reti private virtuali (VPN) tra le sedi.

Seconda urgenza, i backup. Lo stesso comunicato chiede di verificarli e di metterli al sicuro immediatamente.

Terzo gesto, mobilitare le persone giuste. La guida «Gestione delle emergenze informatiche» dell'assicuratore Helvetia consiglia di contattare tutti gli interlocutori interni necessari e di chiedere agli utenti che cosa hanno fatto e osservato. Raccomanda inoltre di tenere un piano d'emergenza stampato: durante un attacco, il sistema informatico può essere inaccessibile, e con esso l'elenco dei contatti.

Perché non bisogna né cancellare né riavviare i computer?

Perché le tracce dell'attacco sono anche prove. L'UFCS raccomanda di far salvare le memorie e i dischi rigidi da uno specialista prima di qualsiasi tentativo di riparazione o di qualsiasi riavvio. Secondo l'ufficio, questi gesti rendono poi quasi impossibile l'analisi forense, ossia l'indagine tecnica sull'intrusione.

I file di registro (log) sono la materia prima di questa indagine. Permettono di individuare i sistemi colpiti, per esempio gli accessi alle unità di rete. Quelli dei server di posta, dei server proxy e dei firewall rivelano gli indirizzi URL e IP degli aggressori. L'UFCS consiglia di bloccare questi indirizzi sul firewall o sul proxy e di conservare i log.

La decisione di svolgere un'analisi forense va presa presto. Conta soprattutto se l'azienda intende sporgere denuncia: in tal caso l'UFCS raccomanda di informare fin dall'inizio le autorità di perseguimento penale e di discutere con loro le tappe successive. In mancanza di competenze interne, consiglia di rivolgersi a un'azienda specializzata.

Ultimo riflesso: non buttare i dati cifrati. Nel corso delle loro indagini le autorità hanno talvolta ottenuto delle chiavi, ricorda l'UFCS; i file cifrati conservati potranno forse essere decifrati in seguito. Helvetia aggiunge di documentare man mano i fatti legati all'incidente.

Chi avvisare, ed entro quali termini?

Diverse notifiche si svolgono in parallelo, ognuna con la propria logica. La tabella riprende quelle citate dall'UFCS, dall'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e dalla guida di Helvetia.

DestinatarioPerchéQuando
Polizia cantonale della sedeDenuncia penale; raccomandata in ogni caso da MPC, fedpol e UFCSPresto, prima di qualsiasi misura sul riscatto
UFCS, gestori di infrastrutture criticheObbligo di segnalazione in vigore dal 1° aprile 202524 ore dopo la scoperta, 14 giorni per completare
UFCS, altre aziendeSegnalazione volontariaNessun termine imposto
IFPDTViolazione della sicurezza dei dati con rischio elevato per le persone (art. 24 della legge sulla protezione dei dati)Il prima possibile
Assicuratore cyberInformazione raccomandata da Helvetia; l'assicuratore può mettere a disposizione una rete di espertiFin dall'incidente, se esiste un contratto

Per un'infrastruttura critica, la questione della segnalazione si risolve in fretta. Secondo l'UFCS, un ciberattacco va notificato in particolare quando è accompagnato da ricatto, minacce o coercizione. La nostra analisi: un ransomware, per sua natura, soddisfa questo criterio. Sono soggette all'obbligo in particolare le aziende dell'energia, dell'acqua potabile e dei trasporti, nonché le autorità cantonali e comunali; la legge prevede multe in caso di omissione.

Sul fronte della protezione dei dati, il criterio è diverso. La legge parla di violazione della sicurezza quando dati personali vengono persi, cancellati, distrutti, modificati o resi accessibili a persone non autorizzate, ricorda la guida dell'IFPDT aggiornata il 23 aprile 2025. La notifica passa dal suo modulo online DataBreach, che rilascia una conferma. Lo stesso articolo 24 disciplina l'informazione delle persone interessate.

La denuncia, infine, non è una formalità. Le vittime che vi rinunciano per timore per la propria reputazione privano l'indagine di piste, sottolineano MPC, fedpol e UFCS. Un esempio datato: nel novembre 2026, il centro medico Gleis D, a Coira, ha sporto denuncia e notificato l'incidente all'UFCS e all'IFPDT, come rilevato nel nostro articolo sul ciberattacco a Coira contro Gleis D.

Cosa dire ai dipendenti, ai clienti e ai media?

Poco, ma in fretta e in modo corretto. Nella sua pagina «Ciberattacco – come comunicare?», l'UFCS fissa due regole di priorità: l'interno prima dell'esterno, e i canali dell'azienda prima dei media. Prima di qualsiasi annuncio pubblico, tutte le persone interessate devono conoscere i fatti e una versione ufficiale comune.

Il momento della divulgazione va soppesato. L'UFCS invita a verificare due punti: la pubblicazione ostacola l'indagine di polizia e l'analisi forense? Le informazioni sono verificate? In linea di principio, l'ufficio preferisce una comunicazione rapida, proattiva e trasparente a una crisi tenuta segreta.

L'ufficio suddivide la comunicazione in tre fasi: l'annuncio dell'attacco, la sua gestione, poi la sua conclusione. Con i Cantoni di Zurigo e Vaud, l'8 marzo 2024 ha pubblicato modelli Word per ogni fase di un attacco ransomware, in versione per le aziende, oltre a un modello di domande e risposte per i media. Il Cantone di Vaud pubblica inoltre schede di primo intervento per il ransomware, una per gli utenti e l'altra per i tecnici.

Distinguere ciò che è confermato da ciò che è rivendicato evita di farsi dettare il racconto. In occasione del ciberattacco contro Holcim, nel novembre 2026, il gruppo zughese ha confermato un accesso limitato e un furto di dati; il volume di 360 GB proveniva invece dagli hacker. Anche i clienti meritano un avvertimento: Gleis D ha messo in guardia i propri pazienti da possibili tentativi di frode. Helvetia propone un modello di lettera ai clienti dopo un ciberattacco accertato.

Come preparare la decisione sul riscatto?

Verificando prima tutte le altre strade. Questa guida non approfondisce il dibattito sul pagamento; si attiene alla posizione ufficiale. L'UFCS sconsiglia di pagare: nulla garantisce che i criminali non pubblicheranno i dati, e ogni ricatto riuscito finanzia nuovi attacchi. L'ufficio raccomanda vivamente di discutere con la polizia cantonale prima di qualsiasi pagamento preso in considerazione.

Secondo l'UFCS, esistono diverse possibilità di recupero anche senza backup. Una decifratura è talvolta possibile se:

  • il ransomware non ha cifrato né cancellato le copie shadow (shadow copies) di Windows;
  • esistono snapshot di macchine virtuali o versioni precedenti dei file in un servizio cloud;
  • i file cancellati possono essere ripristinati tramite un'analisi forense;
  • la cifratura presenta errori, oppure la chiave è già nota.

Per quest'ultimo caso, l'UFCS rimanda al sito No More Ransom, progetto della polizia olandese e di Europol a cui partecipa la Confederazione. Aiuta a identificare il malware e propone chiavi già note.

Quando può riprendere l'attività?

Dopo la reinstallazione, non prima. L'UFCS ritiene necessario reinstallare i sistemi infetti prima di ripristinare i dati, con un sistema operativo proveniente da un supporto affidabile.

La ripresa non chiude l'incidente. Helvetia consiglia di colmare le lacune rivelate dall'attacco, di sorvegliare da vicino rete e sistemi per individuare un nuovo tentativo, poi di rivedere regole e processi. La nostra analisi: questo bilancio dell'esperienza è anche il momento di redigere il piano d'emergenza che mancava.

Cifre chiave

  • 24 ore: termine di notifica all'UFCS per un gestore di infrastruttura critica, poi 14 giorni per completare.
  • 1° aprile 2025: entrata in vigore dell'obbligo di segnalazione, deciso dal Consiglio federale il 7 marzo 2025.
  • Circa 200 aziende svizzere vittime del solo gruppo Akira, secondo il comunicato del 16 ottobre 2025.
  • Da 4 a 5 casi legati ad Akira alla settimana, un record in Svizzera secondo le autorità.
  • 3 fasi di comunicazione di crisi, con modelli pubblicati dall'UFCS l'8 marzo 2024.

Altri casi svizzeri figurano nella nostra rubrica minacce e attacchi informatici.

Fonti