Un collaboratore apre un allegato che sembra una fattura, inserisce la password in una pagina contraffatta o autorizza per errore una richiesta inattesa. In seguito, un intruso potrebbe usare quell’accesso per raggiungere altri sistemi e tentare di bloccare o sottrarre dati. È una possibile catena, non un esito automatico: il phishing è una tecnica d’inganno, mentre il ransomware è un tipo di attacco che può cifrare i dati e accompagnarsi a richieste di riscatto.

Per una piccola impresa la distinzione serve a scegliere difese proporzionate: capire dove può iniziare l’intrusione, ridurre i privilegi e verificare che un ripristino sia davvero possibile.

In che modo il phishing può aprire la strada al ransomware?

Il phishing è un tentativo di ingannare una persona, spesso tramite email o messaggi, per indurla a compiere un’azione: aprire un allegato, seguire un collegamento, fornire credenziali o approvare una richiesta. Il ransomware, invece, è un malware o un’operazione criminale che mira a rendere indisponibili dati e sistemi, spesso cifrando i file e chiedendo un pagamento. Il primo può essere un vettore d’ingresso; il secondo descrive una possibile fase o finalità dell’attacco.

Secondo il rapporto ENISA sul panorama delle minacce pubblicato nell’ottobre 2025, il phishing è rimasto un metodo primario di intrusione iniziale nel periodo esaminato e può essere usato per sottrarre credenziali, dirottare sessioni o distribuire codice malevolo. Questo dato riguarda l’insieme delle intrusioni osservate da ENISA, non significa che ogni ransomware inizi con un’email. Anche l’analisi ENISA dedicata al ransomware descrive l’accesso iniziale come una fase che può avvenire attraverso diverse tecniche, tra cui credenziali rubate, vulnerabilità e phishing: il rapporto ENISA 2025 e l’analisi ENISA sugli attacchi ransomware aiutano a distinguere il vettore iniziale dalle fasi successive.

Una catena possibile è: il messaggio induce a cedere una password; l’account viene usato per accedere alla posta o a un servizio aziendale; l’intruso cerca altri accessi o sistemi raggiungibili; infine può tentare di sottrarre dati, cifrare file o impedire il ripristino. Ogni passaggio può fallire o essere intercettato. La presenza di un’email sospetta, quindi, non dimostra da sola che sia stato installato un ransomware; allo stesso modo, un incidente ransomware non prova che la causa sia stata il phishing.

Quali segnali distinguono un tentativo di phishing da un attacco ransomware?

Un messaggio inatteso che sollecita un pagamento, una modifica di coordinate bancarie, la consultazione di un documento o un accesso urgente può essere un segnale di phishing. Controlla il mittente effettivo, il contesto della richiesta e l’indirizzo del collegamento senza aprirlo. Una richiesta insolita di credenziali o di approvazione dell’accesso merita una verifica attraverso un canale già noto, per esempio chiamando il referente usando il numero presente in rubrica aziendale.

Segnali più compatibili con un incidente ransomware possono includere file che non si aprono più, note di riscatto, interruzioni anomale dei servizi o avvisi di sicurezza su dispositivi aziendali. Ma questi indizi non bastano a diagnosticare la causa: anche un guasto o un altro malware può rendere i file indisponibili. Evita di cancellare prove o provare strumenti di decrittazione trovati online senza valutazione tecnica. Se un account sembra compromesso, segnala il messaggio sospetto e proteggi gli account coinvolti seguendo le procedure interne.

La guida congiunta #StopRansomware di CISA raccomanda di includere nelle difese sia la formazione e i filtri contro il phishing, sia l’autenticazione multifattore, il controllo dei privilegi e i backup offline. È una guida statunitense, utile come riferimento tecnico generale; per obblighi e notifiche applicabili in Italia occorre seguire le indicazioni delle autorità competenti e le procedure dell’organizzazione. La guida CISA sul ransomware sottolinea inoltre l’importanza di verificare regolarmente che le copie di sicurezza siano recuperabili.

Quali difese riducono il rischio per una piccola impresa?

Non serve affidarsi a un’unica barriera. Una difesa utile combina misure che limitano la probabilità di ingresso con altre che riducono l’impatto se un account o un dispositivo viene compromesso.

  • Proteggi gli accessi. Attiva l’autenticazione multifattore, cioè una verifica aggiuntiva oltre alla password, soprattutto per posta, accessi remoti e account amministrativi. Quando possibile, preferisci metodi resistenti al phishing. Assegna a ciascun utente solo i permessi necessari e tieni separati gli account di lavoro quotidiano da quelli amministrativi.
  • Riduci l’esposizione della posta. Mantieni attivi i filtri antispam e antimalware, segnala i messaggi esterni e stabilisci una procedura semplice per verificare richieste urgenti di pagamenti o credenziali. La formazione funziona meglio se indica come chiedere aiuto e come segnalare un dubbio, non se si limita a invitare a “fare attenzione”.
  • Aggiorna dispositivi e applicazioni. Applica gli aggiornamenti di sicurezza ai sistemi operativi, ai programmi e ai dispositivi collegati alla rete aziendale. Rimuovi gli account non più necessari e controlla che i servizi esposti a Internet siano ancora indispensabili.
  • Limita la propagazione. Separa, per quanto possibile, i dispositivi e i servizi essenziali; controlla gli accessi remoti e quelli concessi a fornitori. Una compromissione di un singolo account non dovrebbe dare automaticamente accesso a tutta la rete.
  • Prepara copie di sicurezza indipendenti. Conserva backup protetti dalla modifica o non sempre collegati ai sistemi principali. Definisci quali dati e servizi sono prioritari e prova il ripristino: il test deve verificare non solo che i file esistano, ma che siano leggibili e utilizzabili.

Per le PMI, la parte difficile spesso non è scegliere una lista ideale di strumenti, ma assegnare responsabilità e controllare che le misure funzionino. Un inventario essenziale di account, dispositivi e servizi cloud aiuta a individuare dove abilitare l’autenticazione multifattore, chi può amministrare i sistemi e quali dati devono essere ripristinati per primi. Se un fornitore gestisce posta, backup o assistenza remota, chiarisci quali accessi possiede e come vengono revocati in caso di necessità.

Cosa fare se il sospetto riguarda un dispositivo o un account?

Agisci senza improvvisare una bonifica. Avvisa il referente IT o il responsabile della sicurezza; se non esiste un ruolo dedicato, individua in anticipo chi può coordinare il contenimento. Non inoltrare l’email sospetta a colleghi per chiedere se sia legittima: usa il canale previsto per le segnalazioni. Se ci sono indizi che un dispositivo sia compromesso, scollegarlo dalla rete può limitare ulteriori comunicazioni, ma le decisioni operative vanno coordinate con chi gestisce i sistemi, soprattutto se il dispositivo controlla attività essenziali.

Da un dispositivo sicuro, cambia le credenziali coinvolte, revoca le sessioni attive quando possibile e controlla eventuali accessi insoliti. Conserva gli elementi utili, come l’ora della segnalazione, il mittente e gli avvisi visualizzati, senza cancellare file o messaggi prima di aver chiesto indicazioni. Se il problema coinvolge più dispositivi o dati aziendali, attiva il piano di risposta e valuta un supporto tecnico qualificato. La priorità è contenere l’accesso, preservare le informazioni sull’incidente e ripristinare i servizi in modo controllato.

Come verificare che la prevenzione funzioni davvero?

Una verifica concreta può seguire sei controlli periodici, assegnati a una persona responsabile: 1) confermare che gli account importanti abbiano l’autenticazione multifattore; 2) rivedere gli account amministrativi e disattivare quelli non più necessari; 3) controllare l’applicazione degli aggiornamenti; 4) verificare che i dipendenti sappiano a chi segnalare un messaggio sospetto; 5) eseguire un ripristino di prova da una copia di sicurezza; 6) aggiornare i contatti e le priorità del piano di risposta. Sono verifiche operative, non una garanzia che un attacco non avverrà.

Dopo ogni prova o incidente, annota cosa ha funzionato e cosa ha richiesto più tempo del previsto. Se il ripristino dipende da una sola persona, se le credenziali del backup sono condivise con gli account quotidiani o se nessuno sa chi contattare, correggi prima queste lacune. Per pianificare il recupero dei dati, puoi definire quali informazioni servono per ripartire e organizzare copie di sicurezza aziendali verificabili. In questo modo phishing e ransomware restano rischi distinti, ma affrontati con controlli coordinati.

Domande frequenti

Un ransomware può arrivare senza un’email di phishing?

Sì. Il phishing è uno dei possibili modi per ottenere un accesso iniziale, ma un attacco ransomware può sfruttare anche credenziali già sottratte, vulnerabilità software o accessi di terze parti. Per questo la sicurezza non dovrebbe dipendere solo dalla capacità dei dipendenti di riconoscere email sospette: servono aggiornamenti, autenticazione robusta, controlli sugli accessi e copie di sicurezza verificabili.

Avere un antivirus basta a proteggere una PMI dal ransomware?

No. Un antivirus o un altro strumento di protezione degli endpoint può aiutare a individuare attività malevole, ma non sostituisce la gestione degli account, gli aggiornamenti, la segmentazione e i backup. È utile verificare che la protezione sia attiva sui dispositivi aziendali e che gli avvisi vengano controllati, insieme a un piano per isolare i sistemi coinvolti e ripristinare i dati.

Cosa fare se un dipendente ha inserito la password in una pagina sospetta?

Avvisa subito chi gestisce l’IT o la sicurezza, anche se non compare alcun messaggio di errore. Da un dispositivo ritenuto sicuro, cambiate la password e revocate le sessioni attive se il servizio lo consente; controllate inoltre gli accessi recenti e le regole di inoltro della posta. Segnalare l’episodio rapidamente aiuta a contenere il rischio prima che l’account venga usato per altri accessi.

Un backup collegato al computer è sufficiente contro un ransomware?

Non necessariamente: se il backup è raggiungibile con gli stessi permessi del computer compromesso, può essere esposto alla stessa intrusione. Valuta copie separate o protette dalla modifica, limita chi può cancellarle e prova periodicamente il ripristino di file e servizi. La verifica pratica conta: una copia esistente ma incompleta, non aggiornata o impossibile da recuperare non garantisce la continuità operativa.