Caso reale: ransomware in una PMI italiana – Analisi di un disastro annunciato

Il lunedì mattina di una solida PMI metalmeccanica del Nord Italia è iniziato con uno schermo nero e una richiesta di riscatto in Bitcoin. Non è la trama di un film, ma un caso reale che ha visto l’azienda paralizzata per 14 giorni, con una perdita stimata di oltre 250.000 euro tra mancata produzione e ripristino dei sistemi.

In questo articolo analizziamo cosa è successo realmente, come gli attaccanti sono entrati e perché le difese tradizionali hanno fallito.

La cronologia dell’attacco

L’intrusione non è avvenuta il giorno della cifratura dei dati, ma ben tre settimane prima. Ecco le fasi salienti identificate durante l’analisi forense post-incidente:

• L’ingresso (Giorno 0): Un dipendente dell’ufficio acquisti ha ricevuto una mail di phishing ben confezionata, apparentemente proveniente da un fornitore storico. Un clic su un allegato PDF malevolo ha installato un infostealer.
• L’esplorazione (Giorni 1-15): Ottenute le credenziali, gli attaccanti hanno utilizzato protocolli legittimi (RDP) per muoversi lateralmente nella rete. Hanno individuato il Domain Controller e, soprattutto, i server di backup.
• L’esfiltrazione (Giorni 16-20): Prima di attivare il ransomware, i criminali hanno sottratto 40GB di dati sensibili (progetti CAD e database clienti) per usarli come leva per la doppia estorsione.
• L’esecuzione (Domenica notte): Il ransomware è stato lanciato simultaneamente su tutti i server e le workstation. I backup, collegati alla rete e non protetti da immutabilità, sono stati i primi a essere cifrati.

Perché l’antivirus non ha funzionato?

L’azienda disponeva di un antivirus tradizionale su tutti gli endpoint. Tuttavia, una volta ottenute le credenziali amministrative tramite il furto di identità iniziale, gli attaccanti hanno semplicemente disabilitato le protezioni o utilizzato comandi di sistema (Living-off-the-Land) che l’antivirus considerava sicuri.

La lezione appresa: il valore della visibilità

Cosa sarebbe cambiato se l’azienda avesse avuto un sistema di monitoraggio attivo come Wazuh gestito da un SOC?

• Rilevamento immediato: L’infostealer iniziale avrebbe generato un alert di “esecuzione processo sospetto”.
• Blocco del movimento laterale: Ogni tentativo di accesso RDP insolito o fuori orario sarebbe stato intercettato e bloccato automaticamente.
• Protezione del backup: Un monitoraggio costante avrebbe rilevato l’accesso anomalo ai server di backup, isolandoli prima della cifratura.

Conclusione

Questo caso dimostra che il backup non è più l’ultima linea di difesa se non è protetto e monitorato. La sicurezza informatica moderna non può prescindere dalla visibilità totale di ciò che accade all’interno della rete.

Non aspettare di trovare i tuoi server cifrati per scoprire quanto sei vulnerabile. Contatta Cyberdef.it per un’analisi gratuita della tua postura di sicurezza e scopri come il nostro SOC può proteggere il tuo business.