Ransomware: pagare o non pagare non è la domanda giusta

Quando i Suoi file sono cifrati e un timer sullo schermo scandisce le ore, la domanda che tutti pongono è: paghiamo? È la domanda sbagliata, o quantomeno è arrivata troppo tardi per essere quella giusta. Il momento per decidere come affronterà un ransomware non è quando è già in piena crisi: è ora, con la testa lucida.

La decisione di pagare, quando arriva, è il risultato di ciò che ha — o non ha — costruito prima: backup che reggono, un piano che sa eseguire, e la chiarezza legale su cosa può davvero fare. La domanda giusta non è pagare o non pagare, ma quanto è preparato ad avere una scelta.

Il riscatto non è una funzione di ripristino

Pagare non è un pulsante di ripristino. Il decryptor fornito dagli attaccanti è spesso lento, instabile e non recupera tutti i dati; su volumi grandi il ripristino può richiedere giorni o settimane, come da un backup. E c’è la doppia estorsione: la maggior parte dei gruppi ruba i dati prima di cifrarli, quindi pagare per la chiave non elimina la copia esfiltrata. La minaccia di pubblicarla resta, con o senza pagamento.

Backup difendibili, non solo backup

Quasi tutti hanno dei backup. Pochi hanno backup che sopravvivono a un attaccante che ha già i privilegi di amministratore di dominio. La prima cosa che fa un gruppo ransomware evoluto è cercare e distruggere le copie di sicurezza. Un backup difendibile è isolato dalle credenziali che protegge, è immutabile o offline così da non poter essere cancellato, e — soprattutto — è stato testato ripristinandolo davvero. Un backup mai provato è un’ipotesi, non una garanzia.

La decisione informata

Se comunque valuta il pagamento, che sia una decisione informata e non una resa. Serve capire il tempo di ripristino da backup contro il tempo con il decryptor, il perimetro esatto dei dati esfiltrati, l’affidabilità del gruppo di cui sta leggendo il messaggio, e chi in azienda ha l’autorità di decidere. Serve anche una stima onesta dell’impatto reale sul business ora per ora, perché è quella a dare un peso alle alternative. Nessuna di queste risposte si improvvisa nel mezzo della crisi: o le ha preparate, o le sta indovinando mentre l’orologio corre e il giudizio è al minimo. Ed è proprio quando il giudizio è al minimo che l’attaccante vuole che Lei decida.

Il livello legale e di notifica

Pagare non è solo una scelta economica. In caso di violazione di dati personali, il GDPR impone la notifica al Garante entro 72 ore dal momento in cui ne viene a conoscenza, e in certi casi la comunicazione agli interessati. La direttiva NIS2 aggiunge obblighi di segnalazione per i soggetti che rientrano nel suo ambito. E il pagamento stesso può essere illecito se i fondi finiscono a soggetti colpiti da regimi sanzionatori: prima di trasferire qualsiasi somma, questo va verificato. Sono valutazioni legali, non tecniche, ed è il motivo per cui il legale entra presto nella stanza.

Ciò che nessuno Le garantisce

Pagare non garantisce il recupero, non garantisce la distruzione dei dati rubati, e La segnala come azienda disposta a pagare — informazione che circola tra i gruppi criminali. Non è un argomento morale: è un fatto operativo di cui tenere conto nel calcolo. La preparazione non elimina il ransomware, ma sposta la decisione dal panico alla ragione.

Preparare la decisione, non solo la tecnica

La qualità della scelta dipende dal lavoro fatto quando i sistemi giravano. Chi ha l’autorità di decidere e con quali limiti di spesa? Esiste una copertura assicurativa e cosa richiede per intervenire? Con chi si coordina — legale, specialisti di risposta, eventuali negoziatori — e quel contratto è già firmato? Un’azienda preparata ha risposto a queste domande in tempo di pace, magari provandole in un’esercitazione. Quella impreparata le scopre mentre il timer scorre, ed è nel momento peggiore che prende le decisioni più costose.

In sintesi

Smetta di trattare il pagamento come la domanda centrale. Costruisca backup che un attaccante non può cancellare e che ha davvero testato, definisca prima chi decide e con quali vincoli legali, e coinvolga legale e specialisti dal primo minuto. Se arriva alla crisi con queste cose in ordine, la scelta — qualunque essa sia — la fa Lei, non l’attaccante.