Risposta a un ransomware per un retailer omnicanale

Il problema

Un retailer omnicanale di medie dimensioni ha trovato cifrati i sistemi logistici e parte dei sistemi di vendita. Le operazioni di spedizione erano ferme e il team interno stava valutando se spegnere tutto o pagare.

Le prime scelte, prese sotto pressione, rischiavano di distruggere le prove necessarie a capire l’estensione dell’attacco e di rimettere in produzione sistemi non ancora bonificati.

Il mio approccio

Ho assunto il coordinamento della risposta accanto al team interno: isolamento mirato dei segmenti colpiti, blocco dei percorsi di movimento laterale e preservazione delle prove — immagini forensi e log — prima di qualsiasi intervento di bonifica.

In parallelo ho ricostruito la cronologia dell’attacco, individuato il punto d’ingresso e verificato l’integrità dei backup, così da pianificare un ripristino a partire da fonti pulite anziché reintrodurre la compromissione.

Il ripristino è stato ordinato per priorità di business — prima logistica e pagamenti, poi i sistemi di supporto — e chiuso con un resoconto per il board su cause, esposizione residua e le poche misure che avrebbero ridotto materialmente il rischio di recidiva.