Che cosa fa un ransomware a un sistema di gestione documentale
Un ransomware cifra i file a cui ha accesso, poi chiede un riscatto in cambio della chiave. In un sistema di gestione documentale agisce con i diritti dell’account o della postazione che ha infettato. Tre meccanismi aggravano i danni:
- la sincronizzazione: la postazione infetta cifra la sua copia locale, poi il client di sincronizzazione invia i file cifrati al server, come una modifica ordinaria, e da lì agli altri dispositivi;
- la cronologia: ogni file cifrato diventa una nuova versione. La versione precedente può salvare la situazione, a meno che l’attaccante disponga di diritti sufficienti per svuotare la cronologia e il cestino;
- il backup: l’ANSSI osserva che un attaccante cerca spesso di cifrare, cancellare o rendere indisponibile l’infrastruttura di backup, per impedire la ricostruzione.
Alcuni attacchi copiano anche i dati prima di cifrarli. Il ripristino rimette i file in ordine. Non risolve questa parte, che riguarda la gestione della crisi e, se ci sono dati personali, il GDPR.
Ridurre il raggio d’azione
Non si può promettere che nessuna postazione verrà infettata. Si può limitare ciò che una postazione o un account infetto può raggiungere.
I diritti di scrittura
Un account che può solo leggere una cartella non può cifrarla. Le cartelle di riferimento (modelli, procedure, contratti firmati) possono essere in sola lettura per la maggior parte delle persone. I diritti si assegnano per gruppo e per cartella, non «tutti modificano tutto».
Gli account di amministrazione
L’ANSSI raccomanda di limitare questi account allo stretto necessario. Devono essere nominativi, protetti da un’autenticazione a due fattori, e non essere usati per il lavoro quotidiano.
I link esterni
Un link che dà un diritto di modifica a uno sconosciuto è una porta. I link in uscita hanno una password, una data di scadenza e, in genere, solo un diritto di lettura.
Le postazioni sincronizzate
Sincronizzi su ogni postazione solo le cartelle utili. Lasci le cartelle sensibili nel browser. Installi rapidamente gli aggiornamenti: l’ANSSI ricorda che è fondamentale farlo in tempi brevi e secondo un processo controllato. La porta d’ingresso più frequente resta la posta elettronica: si veda allegati, link e ransomware.
Perché il backup deve essere fuori portata
Un backup accessibile con lo stesso account della produzione verrà cifrato insieme a essa. Tre separazioni lo mettono al riparo:
- un altro identificativo: l’ANSSI chiede account di amministrazione del backup nominativi e dedicati, e un’infrastruttura indipendente dalle directory di produzione;
- l’immutabilità: un backup scritto non può più essere modificato né cancellato per tutta la sua durata di conservazione;
- un altro sito, e se possibile una copia offline: l’ANSSI la ritiene indispensabile e più robusta di un backup immutabile rimasto online.
Resta la profondità. Un’intrusione può restare discreta per diverse settimane prima della cifratura. Se la conservazione è più breve di questo intervallo, tutti i backup disponibili possono contenere l’attaccante o file già corrotti.
L’ordine di ripresa
Il ripristino non è un pulsante. È una serie di fasi, e l’ordine conta.
- Contenere. Isolare dalla rete le postazioni infette, sospendere gli account compromessi, disattivare la sincronizzazione e i link esterni del perimetro colpito. L’ANSSI consiglia anche di tenere un registro con data e ora degli eventi, di scollegare i supporti di backup dopo aver verificato che siano integri, e di evitare lo spegnimento delle macchine, che può cancellare tracce utili.
- Datare l’inizio. Identificare il primo file cifrato, l’account e la postazione coinvolti. È ciò che fissa il punto di ripristino.
- Scegliere il punto di ripristino anteriore alla cifratura, con un margine se la data è incerta.
- Ripristinare su un ambiente sano. L’ANSSI raccomanda di reinstallare su un supporto noto, poi di ripristinare i dati da un backup anteriore alla compromissione. Quando lo strumento lo consente, ripristinare solo il perimetro colpito evita di sovrascrivere il lavoro svolto altrove nel frattempo.
- Verificare. Aprire file a campione, controllare che non resti alcun file cifrato, correggere la falla d’ingresso, cambiare le password.
- Riaprire gli accessi gradualmente. Le postazioni si risincronizzano a partire dal server ripristinato, mai il contrario. Una postazione non bonificata che si ricollega rinvia i suoi file cifrati.
Parallelamente, l’ANSSI raccomanda di non pagare mai il riscatto, di conservare i dati cifrati (una chiave può essere pubblicata in seguito), di sporgere denuncia, e di far notificare la CNIL dall’unità di crisi in caso di violazione di dati personali.
Che cosa si perde: l’RPO in pratica
Caso ipotetico. Uno studio di venti persone esegue il backup dei suoi documenti ogni ora. Lunedì, alle 9:15, una postazione sincronizzata inizia a cifrare la cartella «Clienti». L’allarme scatta alle 10:05.
L’ultimo punto sano è il backup delle 9:00. La cartella «Clienti» torna al suo stato delle 9:00. Le modifiche fatte tra le 9:00 e le 9:15 in questa cartella sono perse. Quelle fatte nelle altre cartelle non lo sono, se il ripristino si limita alla cartella colpita. La segretaria che ha salvato tre lettere alle 9:10 le ritrova nella sua posta elettronica e le deposita di nuovo.
È ciò che misura l’RPO, la perdita massima di dati ammissibile: lo scarto tra il punto di ripristino e l’incidente. L’RTO, la durata massima di interruzione ammissibile, misura un’altra cosa: il tempo prima che i team tornino a lavorare. Entrambi si decidono prima dell’incidente, non durante.
Gli errori frequenti
- Ripristinare prima di contenere. La postazione ancora collegata cifra di nuovo i file ripristinati.
- Risincronizzare dalla postazione infetta. La copia locale è la copia cifrata.
- Contare sul cestino. Non contiene i file modificati, solo i file cancellati.
- Scoprire la durata di conservazione il giorno stesso. Se l’intrusione risale a sei settimane prima e la conservazione è di trenta giorni, la scelta del punto di ripristino si complica.
Domande frequenti
Il versioning basta contro un ransomware?
Aiuta se la cronologia è intatta. Non basta se l’attaccante ha potuto svuotarla. La differenza è spiegata in versioning, replica e backup.
Bisogna pagare il riscatto?
L’ANSSI raccomanda di non pagarlo mai. Pagare non garantisce né la chiave, né l’assenza di un nuovo attacco.
Come limitare chi può modificare una cartella?
Con i diritti per gruppo e per cartella. Si veda stabilire chi vede quali documenti.
Come evitare che un link diventi una porta d’ingresso?
Con una password, una data di scadenza e un diritto di sola lettura. Si veda link di condivisione, partner e download.
Dove si colloca Klytic
Per Klytic Docs, i backup vengono eseguiti ogni ora. Sono cifrati, immutabili, replicati su più siti, monitorati, conservati 30 giorni, e i ripristini vengono testati ogni mese. Gli obiettivi sono un RPO inferiore a 2 ore per i documenti e un RTO inferiore a 4 ore. Il ripristino si richiede al supporto Klytic, indicando il perimetro e la data approssimativa. È incluso quando la perdita deriva da un malfunzionamento del servizio Klytic. Dopo un ransomware o un account violato presso di lei, la ripresa è inclusa anche se le sue postazioni erano correttamente protette: aggiornamenti applicati, antivirus attivo. Se lo erano in modo insufficiente, è oggetto di un ticket di assistenza a pagamento, come un ripristino dopo un’operazione errata. I dettagli sono nella pagina sicurezza e backup.
Sul fronte della prevenzione, Klytic Docs fornisce diritti per persona, per gruppo e per cartella, l’autenticazione a due fattori, un registro degli accessi e link protetti da password con data di scadenza. Lato Klytic, gli accessi tecnici sono limitati alle operazioni di gestione e di supporto, nominativi e registrati nei log.
I limiti: trenta giorni di conservazione non coprono una compromissione scoperta più tardi. Klytic ripristina i propri servizi; la bonifica delle sue postazioni, della sua rete e della sua directory spetta al suo team informatico o al suo fornitore. Klytic non è un’offerta qualificata SecNumCloud.
Questa pagina descrive un quadro generale. In caso di incidente, segua il suo piano di ripresa e le indicazioni delle autorità competenti.
Fonti
Consultate nell’ottobre 2026.
- ANSSI e Ministero della Giustizia francese (DACG), «Attaques par rançongiciels, tous concernés» (Attacchi ransomware, tutti coinvolti), 2020: backup scollegati, limitazione degli account di amministrazione, aggiornamenti rapidi; in caso di incidente, registro degli eventi, isolamento, nessuno spegnimento delle macchine, conservazione dei dati cifrati, non pagare, denuncia, ripristino da un backup anteriore alla compromissione. messervices.cyber.gouv.fr
- ANSSI, «Sauvegarde des systèmes d’information» (Backup dei sistemi informativi), guida ANSSI-BP-100, v1.1: l’attaccante prende spesso di mira l’infrastruttura di backup; account dedicati; offline più robusto del WORM online; PDMA e DMIA. messervices.cyber.gouv.fr
- Klytic, Sicurezza e backup: backup immutabili, cifrati, replicati, 30 giorni, ripristini testati ogni mese, RTO inferiore a 4 h, RPO inferiore a 2 h. klytic.com
- Klytic, Hosting e sovranità: accessi tecnici limitati alla gestione operativa e al supporto, nominativi e registrati nei log. klytic.com
