Ransomware nella PA

Cos'è il ransomware

Definizione

• Malware (software malevolo) che:
  • Cifra i dati dei sistemi infettati;
  • Richiede riscatto per fornire la chiave di decifrazione;
• Distribuzione: phishing, vulnerabilità, accessi remoti.

Esempi famosi

• WannaCry (2017): attacco globale;
• NotPetya (2017): danni miliardari;
• Conti, REvil, LockBit: gruppi attivi.

Per la PA italiana

• Casi noti: attacchi a Comuni, ASL, ministeri, Regioni;
• Esempi: Regione Lazio (2021), Comuni vari (in continuazione);
• Conseguenze: blocco servizi, danni economici, danno immagine.

Modalità di infezione

Phishing

• Email con allegato malevolo;
• Apertura del file → installazione ransomware;
• Più diffuso.

Vulnerabilità software

• Software non aggiornato: vulnerabilità note;
• Sfruttamento automatico via internet;
• Es.: server con sistema operativo obsoleto.

Accessi remoti compromessi

• RDP (Remote Desktop) con password debole;
• VPN mal configurata;
• Hacker entra e installa.

Supply chain attack

• Software legittimo compromesso;
• Aggiornamento automatico distribuisce malware;
• Difficile da prevenire.

Effetti

Sui dati

• Cifratura: tutti i file cifrati con chiave nota solo all'attaccante;
• Estensioni cambiate: .locked, .encrypted, ecc.;
• Nota di riscatto: file di testo o popup.

Sull'attività

• Blocco delle operazioni;
• Sistemi inutilizzabili;
• Servizi pubblici sospesi;
• Danni economici e reputazionali.

Eventuale data breach

• Esfiltrazione dei dati prima della cifratura;
• Doppia estorsione: pagare per chiave + per non pubblicare i dati;
• Notifica al Garante obbligatoria.

Prevenzione

Tecnica

Backup

• Regolari: giornalieri/settimanali;
• Testati: verifica del recupero;
• Off-line o off-site: ransomware non può cifrare backup non connessi;
• Cloud sicuro con versionamento.

Patch e aggiornamenti

• Sistemi operativi aggiornati;
• Software sempre patchato;
• Endpoint con antivirus moderno.

Segmentazione rete

• Reti separate per sistemi diversi;
• Limitazione della propagazione del ransomware;
• VLAN, firewall interni.

Filtraggio email

• Antispam + sandbox per allegati;
• Blocco estensioni pericolose;
• DMARC, SPF, DKIM: prevenzione spoofing.

Accessi remoti

• VPN con MFA;
• RDP: solo via VPN;
• No esposizione diretta a internet.

Organizzativa

Formazione

• Riconoscimento phishing;
• Procedure in caso di sospetto;
• Simulazioni periodiche.

Procedure

• Piano di risposta a incidenti (incident response plan);
• Catena di comunicazione;
• Ruoli definiti.

Cosa fare in caso di infezione

NON fare

• NON pagare il riscatto (di norma):
  • Nessuna garanzia di recupero;
  • Finanzia il crimine;
  • Espone a ulteriori richieste;
  • In molti paesi è scoraggiato dalle autorità;
• NON improvvisare:
  • Tentativi maldestri possono peggiorare;
  • Distruzione di prove forensi;
• NON spegnere brutalmente i PC (può perdere prove utili);
• NON connettere dispositivi esterni (USB, ecc.).

DA fare immediatamente

1. Disconnettere dalla rete

• Cavo Ethernet scollegato;
• WiFi disabilitato;
• Isolamento del sistema infetto;
• Limita la propagazione.

2. Segnalare immediatamente

• Ufficio IT del Comune;
• DPO (per data breach);
• CSIRT-Italia (Computer Security Incident Response Team — AgID);
• Polizia Postale (per indagini).

3. Notifica al Garante

• Se data breach (probabile in caso di ransomware con esfiltrazione);
• Entro 72h (art. 33 GDPR);
• Comunicazione interessati se rischio elevato (art. 34).

4. Documentazione

• Foto della schermata di richiesta riscatto;
• Conservazione dei file cifrati per analisi;
• Log dei sistemi.

5. Recupero da backup

• Verifica integrità backup;
• Ripristino dei dati cifrati;
• Cambio credenziali di tutti gli account.

6. Indagine forense

• Analisi del sistema compromesso;
• Identificazione della vulnerabilità sfruttata;
• Patch + miglioramenti.

CSIRT-Italia

Ruolo

• Computer Security Incident Response Team italiano;
• Parte di AgID/ACN (Agenzia Cybersicurezza Nazionale);
• Coordina la risposta agli incidenti;
• Supporto alle PA + privati strategici.

Obblighi PA

• Segnalazione incidenti significativi;
• Cooperazione con CSIRT;
• NIS2 (Direttiva UE 2022/2555): aggiornamento normativo.

Per la Polizia Locale

Rischi specifici

• Sistema gestionale verbali compromesso;
• Banche dati locali infettate;
• PEC istituzionale compromessa;
• Email phishing mirate al personale PL.

Cura

• Formazione specifica;
• Backup del gestionale verbali;
• Procedure chiare;
• Segnalazione rapida.

Casi pratici

Caso 1 — Ransomware via phishing

• Operatore apre allegato di email phishing;
• Ransomware installato + propaga in rete;
• Sistemi cifrati progressivamente;
• Procedura emergenza:
  • Disconnessione dei sistemi;
  • Segnalazione IT + DPO + CSIRT;
  • Notifica Garante;
  • Recupero da backup;
• Servizi ripristinati in 1-2 settimane.

Caso 2 — Comune attacca ma con backup

• Backup off-line giornalieri;
• Recupero rapido;
• Perdita minima (ultimo giorno);
• Costo: principalmente lavoro IT.

Caso 3 — Comune senza backup adeguati

• Backup anche cifrati;
• Pagamento del riscatto considerato;
• Decisione: di norma scoraggiata;
• Perdite significative.

Caso 4 — Operatore segnala phishing

• Riconosce email sospetta;
• Non clicca;
• Segnala all'IT;
• IT verifica + blocca mittente;
• Buona pratica.

Per il concorso

Domanda tipica

"Cos'è il ransomware e come comportarsi in caso di infezione?"

Risposta:

• Ransomware: malware che cifra i dati e richiede riscatto per restituire l'accesso;
• Vie di infezione: phishing, vulnerabilità software, accessi remoti compromessi;
• Effetti: blocco attività, possibile data breach, danno economico e reputazionale;
• Prevenzione: backup off-line + patch + antivirus + segmentazione rete + formazione + filtri email;
• In caso di infezione:
  • NON pagare il riscatto (di norma);
  • NON improvvisare;
  • Disconnettere subito i sistemi dalla rete;
  • Segnalare immediatamente: IT + DPO + CSIRT-Italia + Polizia Postale;
  • Notifica al Garante entro 72h (data breach);
  • Recupero da backup;
• Per la PL: rischio elevato, prevenzione + procedure chiare.