Ransomware e data breach: la perizia post-attacco per quantificare il danno e ottenere il risarcimento

Ransomware e data breach: la perizia post-attacco per quantificare il danno e ottenere il risarcimento

L’attacco ransomware non è più “se accadrà”, ma “quando accadrà”.

Le azienda investono sempre di più in prevention: firewall, EDR, backup. Ma quando il crittografo scatta, l’unica domanda che il legale e l’assicuratore pongono è: Quanto è stato il danno?

La differenza tra sistemista e forense

Il sistemista ripristina i backup e fa tornare l’azienda operativa in 48 ore. Il forense, invece, arriva dopo o in parallelo, con un obiettivo diverso: cristallizzare la scena del crimine.

Il suo lavoro serve a:

• Identificare la causa (phishing, vulnerabilità RDP, zero-day).
• Quantificare il fermo produzione in ore/giorni per la richiesta risarcitoria.
• Tracciare i pagamenti in crypto se è stato pagato il riscatto.
• Certificare quali dati sono stati esfiltrati (obbligo GDPR art.33).

Data Breach: il pericolo silenzioso

Sempre più attacchi ransomware non si limitano a crittografare: rubano i dati prima di bloccarli (double extortion).

L’azienda si trova improvvisamente citata dal Garante o deve comunicare a migliaia di clienti che i loro dati sono in vendita sul dark web. In questo scenario, la perizia informatica diventa l’unico strumento per:

1. Difendersi dalle sanzioni (dimostrando di aver adottato misure di sicurezza adeguate ex ante).
2. Tutelare l’amministratore da accuse di negligenza.

Il caso

Azienda sanitaria colpita da LockBit. Backup funzionanti, nessun pagamento. Sembrava tutto risolto. Dopo 4 mesi, il Garante apre un’istruttoria: “Avete subito un breach, quali dati sono stati esportati?”.

Senza una acquisizione forense dei server fatta subito dopo l’attacco, è impossibile rispondere. L’azienda ha rischiato una sanzione da 2 milioni di euro.

Consiglio

Inserisci un forense nel tuo Incident Response Team. Anche solo in modalità “on call”. Quando scatta l’allarme, è già tardi per cercare un consulente.

Subito un attacco informatico? Prima di riavviare tutto, chiamaci per cristallizzare le prove.