Cos'è un ransomware e cosa fare se i tuoi file sono bloccati

Un ransomware è, per il glossario dell'ACN, un malware che cifra i file presenti sul computer della vittima e chiede un riscatto per decifrarli. Nella maggior parte dei casi arriva come un trojan: un allegato all'apparenza innocuo, per esempio un PDF che richiama fatture, bollette o ingiunzioni di pagamento. Il riscatto si chiede di solito in criptovaluta, nota il CERT-AgID, e Microsoft avverte che su una rete il ransomware può diffondersi ad altri computer e dispositivi di archiviazione.

Le forme più comuni

• Crypto ransomware: cifra documenti, fogli di calcolo, foto e video; di solito trovi un file di testo con le istruzioni di pagamento nella stessa cartella dei file bloccati.
• Locker ransomware: blocca l'accesso al sistema o allo schermo senza cifrare i file.
• Scareware: un finto avviso dell'antivirus o del sistema ti spinge a scaricare un "aggiornamento" che poi cifra i file, o a pagare una presunta multa.
• Sui telefoni Android arriva spesso con false app che imitano servizi noti, compresi gli antivirus.

In Italia è meno diffuso di altre minacce, ma tra le più dannose: secondo la Relazione annuale 2025 dell'ACN colpisce soprattutto piccole imprese, in particolare del manifatturiero, spesso con livelli di sicurezza limitati. Nel primo semestre 2026 il CSIRT Italia ha registrato 181 attacchi ransomware a soggetti italiani, il 12% in meno rispetto allo stesso periodo del 2025 (Operational Summary del 24 luglio 2026).

Se hai una piccola impresa

Secondo l'ACN, gli attacchi ransomware del primo semestre 2026 sono stati resi possibili soprattutto da credenziali valide rubate in precedenza, da servizi di accesso remoto o VPN configurati o protetti male e da vulnerabilità note non corrette. Le contromisure seguono di conseguenza: proteggere gli accessi remoti con l'autenticazione a due fattori, installare presto gli aggiornamenti e non lasciare esposti su internet servizi che non servono. Un'azienda colpita può inviare una notifica volontaria al CSIRT Italia dal Portale Segnalazioni dell'ACN, ma per la denuncia deve comunque rivolgersi alla Polizia.

Cosa fare subito

1. Isola il dispositivo colpito: scollegalo dalla rete, cavo e Wi-Fi, perché il malware non si propaghi. È il primo passo indicato dal CERT-AgID.
2. Scollega dischi esterni e chiavette di backup ancora collegati: alcuni ransomware cercano anche condivisioni di rete e unità rimovibili e distruggono backup e punti di ripristino.
3. Fotografa la richiesta di riscatto e conserva un paio di file cifrati: serviranno per capire di quale ransomware si tratta.
4. Non pagare.
5. Sporgi denuncia presso un ufficio della Polizia di Stato. Un'organizzazione può notificare l'incidente anche al CSIRT Italia dell'ACN, ma la notifica non vale come denuncia.

Pagare il riscatto?

No. Microsoft avverte che, anche pagando, non avresti alcuna garanzia di riottenere l'accesso al PC o ai file. No More Ransom aggiunge che il pagamento conferma ai criminali che il ransomware funziona, e che eventuali bug nel malware possono rendere i file irrecuperabili anche con la chiave giusta. Se hai già pagato, Microsoft consiglia di contattare subito la banca e le autorità: se hai pagato con una carta di credito, la banca potrebbe riuscire a bloccare la transazione.

Recuperare i file

• No More Ransom, nato da un'iniziativa della polizia olandese, del Centro europeo per la lotta alla criminalità informatica di Europol e di aziende di sicurezza, raccoglie chiavi e programmi di decrittazione gratuiti. Lo strumento Crypto Sheriff aiuta a capire quale ransomware ti ha colpito e se esiste una soluzione. Non tutti i ransomware ne hanno una.
• Prima di ripristinare, ripulisci completamente il PC con Sicurezza di Windows: Microsoft lo indica come passo da fare prima di recuperare i file.
• Poi recupera i file da un backup fatto prima dell'attacco. Attenzione: non si sa da quanto tempo il malware era nel sistema, quindi anche il backup potrebbe contenerlo, avverte il CERT-AgID.
• Se i file erano su OneDrive, il rilevamento ransomware di Microsoft 365 ti avvisa con una notifica e un'e-mail e ti guida nel ripristino dei file.

Proteggersi prima

• Backup: No More Ransom consiglia due copie, una nel cloud, con un servizio di backup automatico, e una su un disco esterno da scollegare dal computer quando hai finito.
• Su Windows 10 e 11 attiva Accesso controllato alle cartelle (Sicurezza di Windows > Protezione da virus e minacce > Gestisci protezione da ransomware): impedisce alle app non attendibili di modificare i file nelle cartelle protette, come Documenti, Immagini, Video, Musica e Desktop.
• Aggiorna sistema e programmi, non aprire allegati inattesi e usa un account standard, non da amministratore, per le attività di tutti i giorni.
• Attiva "Mostra le estensioni dei file" in Windows, per riconoscere i trucchi come un video o un documento che finisce in .exe o .scr.

Contro un ransomware la difesa si prepara prima: un backup recente, staccato dal computer, che nessuno può cifrare.