Ransomware: i danni veri e la difesa a costo zero con i file civetta.

Guida aggiornata: luglio 2026 · Lettura: 7 minuti

Cos'è un ransomware (e perché colpisce proprio le PMI)

Un ransomware è un programma malevolo che, una volta entrato in un computer, cifra i file — documenti, gestionali, foto, archivi — rendendoli illeggibili, e lascia una richiesta di riscatto per la chiave di sblocco. Non è un problema «da grandi aziende»: le piccole imprese e gli studi professionali sono i bersagli preferiti, proprio perché di solito hanno difese più leggere e dati altrettanto vitali. A Palermo come ovunque: basta una email aperta di fretta un lunedì mattina.

I danni veri: il riscatto è la voce più piccola

• Fermo dell'attività. Gestionale, fatture, preventivi, email: tutto illeggibile da un momento all'altro. Il ripristino, quando va bene, si misura in giorni; spesso in settimane. Per molte attività è il danno peggiore in assoluto.
• Rifare i sistemi. Anche pagando (sconsigliato), le macchine compromesse vanno bonificate o reinstallate da zero: ore di lavoro tecnico che nessuno aveva messo in conto.
• Dati di clienti e fornitori. Se i dati personali sono coinvolti scatta il GDPR: valutazione dell'incidente, possibile notifica al Garante entro 72 ore, comunicazioni agli interessati. Oltre al danno, la burocrazia — e possibili sanzioni.
• Reputazione. Spiegare a clienti e partner che i loro documenti sono in mano a dei criminali è una telefonata che nessuno vuole fare.
• I backup cifrati insieme al resto. Il colpo di grazia: se il disco di backup è sempre collegato o raggiungibile in rete, il ransomware cifra anche quello. È il motivo per cui «abbiamo il backup» spesso non basta.

Come entra e come si muove

Le porte d'ingresso più comuni sono sempre le stesse: un allegato email travestito da fattura o corriere, un link a una finta pagina di login, un accesso remoto (desktop remoto, VPN) protetto da una password debole o riciclata. Una volta dentro, il ransomware non fa rumore: si muove verso le condivisioni di rete — le cartelle comuni, il server, il NAS — e comincia a cifrare in silenzio. Quando l'utente si accorge che i file non si aprono, il grosso del danno è già fatto.

È qui che si gioca la partita: tra il primo file cifrato e l'ultimo passano minuti, a volte ore. Chi se ne accorge in quei minuti salva la rete. Chi se ne accorge il giorno dopo, no.

La difesa a costo zero: i file civetta monitorati

Il metodo è tanto semplice quanto efficace, e si basa su un'idea vecchia come le trappole: l'esca.

• 1. Le esche. In punti strategici — cartelle condivise, radice dei dischi, cartelle documenti — si piazzano dei file civetta: documenti finti dall'aspetto appetibile (elenchi, contabilità, scansioni) che nessun umano deve mai toccare.
• 2. Il monitoraggio. Un controllo automatico, leggerissimo, verifica quei file in continuo: esistono ancora? Hanno lo stesso contenuto? La stessa estensione?
• 3. L'allarme. Se un file civetta viene modificato, cifrato o rinominato, non ci sono dubbi: nessuno doveva toccarlo, quindi è in corso una cifratura. Falsi positivi rarissimi, per costruzione.
• 4. L'isolamento automatico. Nello stesso istante il PC coinvolto si stacca da solo dalla rete (disattivazione delle schede di rete) e parte la segnalazione. Il ransomware resta confinato su una macchina: il server, gli altri PC e i backup non lo vedono mai.

Il bello è il costo: zero. Niente licenze, niente abbonamenti — bastano gli strumenti già presenti in Windows (script PowerShell e operazioni pianificate) configurati con criterio. È lo stesso principio dei sistemi di monitoraggio che ho progettato per infrastrutture critiche nazionali: accorgersi subito, isolare subito, limitare il danno.

Perché funziona anche quando l'antivirus non basta

L'antivirus ragiona per firme e somiglianze: riconosce ciò che ha già visto. Le varianti nuove di ransomware nascono apposta per non somigliare a niente — e nei primi giorni di vita passano indisturbate. Il file civetta ragiona al contrario, per comportamento: non gli importa chi sei; se cifri quel file, sei ostile per definizione. I due approcci non si escludono, si completano: l'antivirus ferma il noto, la civetta intercetta l'ignoto.

Le opzioni a confronto: prezzi medi di mercato

Medie indicative (2026), ogni realtà fa storia a sé:

La checklist minima per una PMI o uno studio

• Backup 3-2-1 con una copia scollegata. Tre copie, due supporti, una fuori sede o offline: l'unica assicurazione vera. Un backup sempre collegato è solo un altro disco da cifrare.
• Aggiornamenti regolari di sistema e programmi: chiudono le porte che i ransomware usano per entrare.
• Autenticazione a due fattori su email e accessi remoti: la password da sola non basta più.
• File civetta + isolamento automatico su ogni postazione e sul server: la rete di sicurezza che limita il danno quando tutto il resto ha fallito.
• Una prova di ripristino ogni tanto: un backup mai testato è una speranza, non un piano.
• Cinque minuti di formazione al personale sugli allegati e i link sospetti: la porta d'ingresso n.1 resta l'email.

Domande frequenti

Serve comprare un software?

No: il sistema a file civetta si costruisce con ciò che Windows già include — script PowerShell, operazioni pianificate, permessi ben configurati. Il valore non sta nella licenza ma nel progetto: dove mettere le esche, ogni quanto controllarle, cosa fare al primo allarme.

E se il PC si isola per errore?

Succede raramente, proprio perché nessuno deve toccare i file civetta: chi li modifica è quasi certamente un processo ostile. Nel dubbio, riattivare la rete su un PC isolato richiede un minuto — recuperare una rete cifrata richiede settimane. Il rapporto rischio/beneficio non è nemmeno una gara.

Funziona anche per uno studio con tre PC?

Sì, ed è anzi lo scenario ideale: poche macchine, spesso una cartella condivisa con tutto il lavoro dentro, nessun reparto IT. Il sistema lavora da solo in background e non richiede manutenzione quotidiana.

Se pago il riscatto riavrò i miei file?

Nessuna garanzia: stai trattando con dei criminali. In molti casi la chiave non arriva, o arriva e i dati risultano comunque corrotti — e intanto hai finanziato il prossimo attacco, magari segnalandoti come «uno che paga». Prevenire costa meno in ogni scenario possibile.