La protezione dal ransomware per le piccole imprese si basa su alcuni controlli stratificati: autenticazione a più fattori (MFA) su ogni percorso di accesso remoto, applicazione rapida delle patch per le vulnerabilità note e sfruttate, protezione degli endpoint su ogni computer, controllo su quali strumenti di accesso remoto possono essere eseguiti e backup offline che sono stati testati. L’ordine conta e questa guida parte dai controlli che chiudono i punti di ingresso più comuni.
Nel 2025, l'FBI IC3 ha ricevuto 3.611 segnalazioni di ransomware con perdite dichiarate pari a 32,3 milioni di dollari, una cifra che non include i tempi di inattività, il mancato business e i costi di ripristino. Il Data Breach Investigations Report 2026 di Verizon ha inoltre rilevato la presenza di ransomware nel 48% delle violazioni, rispetto al 44% dell'anno precedente.
Questa guida spiega perché i gruppi ransomware prendono di mira le piccole imprese, come entrano gli aggressori, quali protezioni implementare per prime e cosa fare se si verifica un attacco.
Perché i gruppi ransomware prendono di mira le piccole imprese
Sebbene le grandi imprese possano sembrare i bersagli più preziosi per gli attacchi ransomware, le piccole aziende sono in genere più facili da colpire.
Le piccole imprese spesso non dispongono della sicurezza e della reattività delle organizzazioni più grandi, il che le rende obiettivi allettanti per i criminali informatici. Inoltre, il ransomware che prende di mira le piccole imprese offre più bersagli, rendendo più facile colpire rapidamente più vittime.
Ad esempio, CISA e l'FBI segnalano che Akira ransomware prende di mira principalmente le piccole e medie imprese (PMI). In alcuni incidenti legati ad Akira, gli aggressori hanno sottratto dati poco più di due ore dopo l'accesso iniziale, un intervallo di tempo in cui la maggior parte dei piccoli team non ha nessuno che monitori attivamente.
Quando una piccola impresa viene colpita da un ransomware, è sotto pressione per ripristinare tutto rapidamente. Ogni momento in cui l'organizzazione non riesce ad accedere ai propri dati e alla propria rete è un altro momento in cui perde affari e denaro, quindi deve agire rapidamente. Anche se possono ripristinare i dati persi tramite i backup, gli aggressori spesso possono ricorrere alla “doppia estorsione” e rubare i dati prima di cifrarli, quindi i dati proprietari e sensibili possono comunque essere venduti o divulgati.
Come il ransomware entra nella rete di una piccola impresa
Se vuoi evitare gli attacchi ransomware, il primo passo è capire come avvengono. Esistono diversi modi in cui il ransomware può accedere alla rete di un'azienda, tra cui:
1. Password rubate e accesso remoto senza MFA
Senza MFA, una sola password rubata può bastare agli attaccanti per entrare. CISA segnala che gli attori Akira ottengono l'accesso tramite account VPN non protetti con autenticazione a più fattori e tramite Remote Desktop Protocol (RDP). Le password riutilizzate e le credenziali rubate tramite phishing rendono tutto questo più facile. Password robuste e uniche sono utili, ma l'IT dovrebbe applicare l'MFA a ogni account di accesso remoto, così una password da sola non sarà mai sufficiente.
2. Software e dispositivi non aggiornati
Gli aggressori sfruttano anche vulnerabilità note nei sistemi operativi, nelle applicazioni, nelle VPN e in altri sistemi esposti a Internet che non sono ancora stati aggiornati con le patch. L'applicazione delle patch che dipende dagli utenti che aggiornano i propri dispositivi lascia delle lacune, quindi l'applicazione automatizzata delle patch gestita dall’IT è essenziale.
Data Breach Investigations Report 2026 di Verizon (DBIR) ha rilevato che lo sfruttamento delle vulnerabilità è stata l'azione iniziale nel 31% delle violazioni. Solo il 26% delle vulnerabilità note e sfruttate è stato completamente corretto, con una mediana di 43 giorni per la risoluzione, il che offre agli aggressori un lungo intervallo di tempo per colpire i sistemi esposti.
3. Email di phishing e download dannosi
Gli attacchi di phishing e altri trucchi di social engineering sono spesso i primi passi degli attacchi ransomware. Basta che un dipendente, senza rendersene conto, condivida i propri dati della password o scarichi un file dannoso perché i suoi dispositivi o account vengano compromessi. Per questo, sapere come prevenire il phishing è fondamentale per la cybersecurity.
4. Strumenti legittimi di accesso remoto usati contro di te
Questo è uno dei punti di accesso più difficili da individuare, perché aziende e team IT usano ogni giorno software di accesso remoto per il lavoro da remoto e il supporto remoto. Una volta entrati, molti aggressori installano strumenti legittimi e commerciali di accesso remoto per mantenere la propria presenza. CISA segnala che gli attori Akira fanno esattamente questo, il che consente alla loro attività di confondersi con la normale amministrazione IT, e cercano anche di arrestare i processi antivirus.
Per questo, uno strumento di accesso remoto mai approvato dall’IT che compare su un computer aziendale è un segnale d’allarme che vale la pena approfondire. Tieni un elenco dei software di accesso remoto approvati che i tuoi team utilizzano, così gli strumenti non approvati risalteranno subito.
Protezione dal ransomware per le piccole imprese: da cosa iniziare
Inizia dall'inizio di questo elenco e procedi verso il basso. I primi due controlli chiudono i punti di ingresso usati più spesso dagli attaccanti e ogni passaggio successivo limita i danni se qualcosa riesce comunque a passare.
1. Richiedi l'MFA su ogni percorso di accesso remoto e account admin
L'MFA richiede una seconda forma di verifica, come un'app di autenticazione o una chiave di sicurezza, quindi una password rubata da sola non può sbloccare un account. È una delle principali raccomandazioni della CISA per difendersi da Akira, insieme alla chiusura dell'accesso RDP diretto da internet. Applicalo a VPN, strumenti di accesso remoto, email e a ogni account admin.
2. Correggi prima le vulnerabilità note già sfruttate
Mantenere i dispositivi aggiornati e con le patch più recenti è fondamentale per preservare la cybersecurity, ma lo è anche sapere come stabilire le priorità delle patch. Inizia dalle vulnerabilità note e attivamente sfruttate, perché gli attaccanti prenderanno di mira prima quelle. (Puoi identificare queste vulnerabilità utilizzando il catalogo CISA Known Exploited Vulnerabilities.) Anche dare priorità agli endpoint è importante: inizia dai sistemi esposti a internet, dalle VPN e dai server di backup, perché sono i più esposti e i più critici per il ripristino. Automatizza l'applicazione delle patch ovunque possibile, così gli aggiornamenti non dipenderanno dagli utenti.
3. Esegui una protezione endpoint su ogni computer
La protezione degli endpoint rileva e blocca le minacce su ogni computer. Cerca il rilevamento del malware in tempo reale, la quarantena automatica delle minacce rilevate e il blocco dei siti di phishing. Poiché i gruppi ransomware cercano di disattivare la protezione, l'IT ha anche bisogno di una visibilità centralizzata sui dispositivi protetti. I team che hanno la capacità di analizzare gli avvisi possono aggiungere endpoint detection and response (EDR) per indagini e risposte più approfondite.
4. Controlla quali strumenti di accesso remoto possono essere eseguiti
Standardizza l’uso di un unico strumento di accesso remoto approvato, protetto con MFA, e blocca o segnala qualsiasi altro software di accesso remoto. In questo modo, uno strumento installato da un attaccante per mantenere l’accesso risalterà invece di passare inosservato.
5. Limita i diritti di amministratore
Gli utenti comuni non dovrebbero avere diritti di amministratore locale. Se un attacco ransomware comporta il furto di credenziali, allora un singolo account compromesso con privilegi di amministratore offre agli aggressori una portata molto maggiore. Usa account amministratore separati in modo che il numero di potenziali bersagli rimanga minimo.
6. Mantieni backup offline e testati
I backup sono essenziali per ripristinare i sistemi dopo un attacco. CISA raccomanda backup offline e crittografati, conservati separatamente dalla rete principale, il che li rende molto più difficili da raggiungere per gli aggressori. Mantieni aggiornati con le patch anche i server di backup, poiché gruppi come Akira prendono di mira le vulnerabilità dei server di backup, ed esegui regolarmente test di ripristino per confermare che i backup siano aggiornati e funzionanti.
7. Forma i dipendenti a riconoscere e segnalare il phishing
La formazione e la sensibilizzazione dei dipendenti sono un’altra difesa fondamentale. I dipendenti dovrebbero sapere come identificare ed evitare gli attacchi di phishing e avere un modo rapido e senza timore di colpevolizzazione per segnalare i messaggi sospetti, così l’IT può intervenire prima che un tentativo di phishing si diffonda.
Cosa fare se il ransomware colpisce la tua azienda
Se un ransomware colpisce, rispondi rapidamente e con ordine. Questi passaggi seguono la checklist di risposta al ransomware nella guida #StopRansomware di CISA:
Disconnetti i computer interessati dalla rete. Questo aiuta a limitarne la diffusione, ma evita di spegnerli se possibile, perché ciò potrebbe distruggere le prove.
Chiama il tuo fornitore IT o MSP e avvia il tuo piano di risposta agli incidenti. Prima il piano entra in azione, più danni puoi contenere.
Conserva le prove fotografando le note di riscatto e registrando quali sistemi sono interessati. Questo supporta il processo di indagine e ripristino.
Segnala l’attacco alle autorità competenti, inclusi l’FBI e CISA. Puoi segnalarlo all’FBI su ic3.gov o a un ufficio locale. Se hai un’assicurazione informatica, assicurati di contattare tempestivamente il tuo assicuratore.
Evita di pagare il riscatto. Anche se può essere allettante pagare il riscatto e limitare le perdite, non c'è alcun modo di garantire che i criminali manterranno la parola (e così li ricompensi per i loro crimini). Di conseguenza, CISA e l'FBI sconsigliano il pagamento.
Ripristina solo da backup puliti dopo aver chiuso il punto di accesso e reimpostato le password; altrimenti, gli aggressori potrebbero avere ancora accesso. I tuoi backup offline e testati sono ciò che rende possibile questo passaggio.
Come Splashtop Shield for Business aiuta a proteggere i tuoi computer dal ransomware
La protezione degli endpoint è il livello che intercetta ciò che riesce a superare MFA e patching. Splashtop Shield for Business fornisce questo livello alle piccole imprese, combinando antivirus moderno, protezione dalle truffe e dal phishing assistita dall'AI e blocco degli strumenti di accesso remoto non autorizzati.
Splashtop Shield for Business è disponibile come componente aggiuntivo per i prodotti business di Splashtop con accesso non presidiato e protegge i computer Windows e macOS. Con Splashtop Shield for Business, puoi:
1. Rileva e metti in quarantena il malware in tempo reale
Splashtop Shield for Business offre protezione anti-malware in tempo reale e scansione on-access, con rilevamento assistito dall'AI che aiuta a intercettare minacce che la scansione basata su firme non rileva. Mette automaticamente in quarantena la maggior parte delle minacce e i team IT possono eseguire scansioni Quick e Full direttamente dalla console Splashtop.
2. Blocca i siti di phishing e gli strumenti di accesso remoto non autorizzati
Splashtop Shield for Business blocca i siti non sicuri e i siti di phishing noti, aiutando a tenere i dipendenti lontani da pagine create per rubare password. Rileva inoltre e blocca i tentativi di installare strumenti di accesso remoto non autorizzati e avvisa immediatamente l'IT, contribuendo a contrastare la tecnica di persistenza che CISA descrive per Akira. Gli admin possono aggiungere gli strumenti approvati a una allow list, così il supporto remoto legittimo continua a funzionare.
3. Distribuisci e genera report dalla console Splashtop
I team IT possono installare Splashtop Shield for Business automaticamente tramite le Endpoint Policies oppure con un'installazione silenziosa on-demand. Gli avvisi sulle minacce compaiono nella console Splashtop con un link alla Shield Console per il triage, dove gli amministratori possono vedere lo stato della protezione e gli eventi di sicurezza per ogni dispositivo ed esportare i log a supporto delle attività di conformità IT.
Splashtop Shield for Business può anche funzionare insieme a strumenti di sicurezza come CrowdStrike e Bitdefender. Si concentra sulla prevenzione e sul rilevamento e non offre backup o ripristino, quindi abbinalo a una soluzione di backup offline. Per uno sguardo più da vicino a cosa confrontare tra i vari strumenti, vedi Software di protezione dal ransomware: le funzionalità che contano.
Proteggi i computer della tua piccola impresa con Splashtop Shield for Business
La protezione dal ransomware per le piccole imprese funziona al meglio come insieme di controlli stratificati in ordine di priorità: MFA e patching chiudono i punti di accesso più comuni, e la protezione endpoint intercetta ciò che riesce a superarli. Splashtop Shield for Business aggiunge questo livello endpoint con antivirus in tempo reale, rilevamento assistito dall'AI e blocco degli strumenti di accesso remoto non autorizzati.
Se la tua organizzazione utilizza già un prodotto aziendale Splashtop con accesso remoto non presidiato, puoi aggiungere Splashtop Shield for Business ai computer che già gestisci.
Pronto ad aggiungere Splashtop Shield for Business? Scopri di più oggi stesso.
