Un ransomware è un malware usato per estorcere denaro impedendo l'accesso al sistema o ai dati. Diventa un disastro quando colpisce documenti di lavoro, archivi personali o infrastrutture da cui dipendono altre persone.
Mi interessa più il meccanismo che il nome dell'ultimo malware in circolazione, che fra sei mesi sarà un altro. Il cuore del problema è sempre lo stesso: perdi la disponibilità delle tue informazioni, e qualcuno usa quella perdita per metterti sotto pressione.
Bloccare il computer e cifrare i file sono due cose diverse
Alcune famiglie mostrano una schermata che impedisce l'uso normale del computer. Altre cifrano i file, rendendoli illeggibili senza la chiave. La richiesta di riscatto compare in entrambi i casi, ma il problema tecnico da risolvere non è lo stesso.
Da qui discende la cosa più importante di tutto l'articolo: rimuovere il malware non recupera i dati. Un antivirus può fermare un programma dannoso, ma non può annullare una cifratura già avvenuta. Sono due operazioni che non si sostituiscono.
Come arriva sul computer
Le vie sono quelle di sempre: messaggi e allegati ingannevoli, file scaricati, vulnerabilità del software. Spesso convivono nello stesso attacco — qualcuno ti convince a fare clic, e un difetto tecnico fa il resto.
Per questo non basta cercare il file dall'aria sospetta. Contano lo stato degli aggiornamenti, la provenienza del software e soprattutto l'accesso che un programma ottiene ai tuoi documenti e alle risorse collegate, comprese le cartelle di rete e i dischi montati.
Perché la richiesta di riscatto funziona
Gli attaccanti lavorano sulla paura di perdere qualcosa di importante. Un conto alla rovescia, un messaggio intimidatorio, la minaccia di distruggere i file: servono tutti a impedirti di ragionare con calma.
Pagare non è una garanzia tecnica di recupero, e vale la pena ripeterlo perché nel momento del panico sembra la strada breve. La possibilità concreta di ripristinare dipende dalle copie che hai, dalla famiglia di malware e dall'esistenza di strumenti compatibili con quel caso specifico.
La prevenzione riguarda anche il dopo
Aggiornamenti, attenzione agli allegati e software da fonti affidabili riducono le occasioni di infezione. Il backup risponde a un'altra domanda: come riparto quando una protezione non è bastata?
Attenzione a un dettaglio che rovina molti backup: una copia sempre accessibile dallo stesso computer può essere cifrata insieme a tutto il resto. La domanda giusta non è «ho un backup», è «quali copie resterebbero raggiungibili se questo sistema adesso fosse inutilizzabile».
Dalla spiegazione alla prova
Questa è la teoria; l'esperimento sui ransomware che ho fatto in seguito la mette alla prova su casi concreti. Una cosa però va detta prima: i risultati ottenuti su un singolo campione descrivono quel campione e quell'ambiente. Non dimostrano che tutti gli attacchi siano facili da riconoscere o da risolvere.
