Ransomware, Poltronesofà e dati utenti. Cosa significa davvero

Negli ultimi giorni molti clienti di Poltronesofà stanno ricevendo una comunicazione che parla di un attacco ransomware del 27 ottobre, server cifrati, macchine virtuali bloccate e possibili dati coinvolti: nome, cognome, codice fiscale, indirizzo, email, numero di telefono.

Le domande sono immediate: "Ma il ransomware non cifra i dati? Come mai allora sono stati rubati?". E ancora: "Ma io che ho solo comprato un divano… che devo fare adesso?"

Andiamo con ordine. Il ransomware non è più "solo" un malware che blocca i sistemi: oggi è un modello industriale di estorsione che combina cifratura, furto di dati e pressione reputazionale, con impatti reali sia per le aziende sia per i clienti finali. Capire cosa succede, e come reagire, è diventato parte della normale gestione del rischio, non materia per soli tecnici.

Perché casi come questo non sono un'eccezione

Negli ultimi anni il ransomware è passato dall'essere una minaccia "tecnica" a uno dei principali rischi operativi per le organizzazioni europee. Il report ENISA Threat Landscape 2024 colloca gli attacchi contro la disponibilità dei servizi digitali e il ransomware tra le minacce più critiche per l'Unione Europea.

In Italia il quadro è simile: secondo il Rapporto Clusit 2025, il malware è ancora la tecnica di attacco più utilizzata e il ransomware è stabilmente in cima alle minacce che colpiscono le organizzazioni italiane.

I dati relativi agli attacchi ransomware che colpiscono aziende italiane mostrano decine di casi l'anno (e centinaia a livello europeo), in settori molto diversi: manifatturiero, retail, servizi, sanità, pubblica amministrazione. Non è quindi sorprendente che un'azienda consumer molto esposta come un grande brand di arredamento rientri nel mirino.

Che cos'è davvero un ransomware

L'idea del ransomware classico è quella di un attacco che "congela" l'azienda e i suoi processi, cifrandone i dati.

Oggi, però, questo modello si è evoluto: alla cifratura si aggiunge una fase di estorsione, in cui gli aggressori minacciano di divulgare o vendere i dati sottratti, aumentando la pressione sull'azienda.

• Prima fase: intrusione e movimento laterale. L'attaccante entra (spesso tramite phishing o credenziali rubate), si muove nella rete, individua i sistemi critici e i repository di dati.
• Seconda fase: esfiltrazione dei dati. Prima di cifrare, copia verso l'esterno grandi volumi di informazioni: dati dei clienti, contratti, documenti amministrativi, database.
• Terza fase: cifratura e blocco dei sistemi. A quel punto avvia la cifratura dei server e delle macchine virtuali, rendendo inservibili i sistemi aziendali.
• Quarta fase: estorsione. L'azienda subisce una doppia minaccia: da un lato il blocco, dall'altro la minaccia di pubblicazione o vendita dei dati esfiltrati.

La risposta alla domanda iniziale è semplice: i dati vengono copiati prima della cifratura, per rendere l'attacco ancora più insidioso, la pressione aziendale ai massimi livelli e alzare le possibilità che l'azienda paghi il riscatto. Un incubo aziendale: indisponibilità dei sistemi e anche una violazione della riservatezza dei dati personali! Gli impatti concreti per un'azienda retail possono includere:

• Interruzione dei servizi: ordini che si fermano, sistemi di cassa e magazzino non disponibili, ritardi nelle consegne.
• Costi straordinari: ripristino dei sistemi, consulenti, incident response, strumenti di monitoraggio, comunicazioni verso clienti e autorità.
• Rischio regolatorio: indagini e possibili sanzioni da parte del Garante Privacy in caso di violazione dei dati personali.
• Impatto reputazionale: perdita di fiducia, aumento di richieste e reclami, maggiore sensibilità dei clienti alla gestione dei loro dati.

Per molte aziende, il vero shock arriva quando si rendono conto che la gestione di una crisi ransomware dura mesi, non giorni.

Dal divano alla casella email: che cosa succede al cliente

Per il cliente finale la situazione è meno tecnica e più concreta: riceve una mail che comunica un attacco, scopre che i suoi dati potrebbero essere coinvolti e inevitabilmente pensa: "E adesso?". In uno scenario come quello descritto, i dati potenzialmente toccati sono tipicamente:

• dati anagrafici (nome, cognome, indirizzo);
• contatti (email, telefono);
• codici fiscali e dati fiscali per fatturazione;
• eventuali informazioni su ordini, consegne, assistenza.

E cosa se ne fa l'attaccante? Li usa o più probabilmente li rivende ad altri attaccanti che li sfrutteranno per tentativi di truffa a vostro carico. Cosa può diventare più probabile dopo un incidente di questo tipo?

• Phishing più credibile: messaggi che citano davvero il tuo ordine, la tua città, il tuo nome, rendendo più difficile distinguere il falso dal legittimo.
• Tentativi di frode mirata: telefonate o email "di assistenza" che chiedono dettagli di pagamento, numeri di carta, credenziali di accesso a portali.
• Furto d'identità limitato: uso del tuo nome + codice fiscale per attivare servizi o tentare truffe, soprattutto se combinati con altri dati recuperati altrove.

Non significa automaticamente che queste cose accadranno; significa che il tuo "profilo digitale" è più esposto e va gestito con un po' più di attenzione, soprattutto nei mesi successivi, quando questi dati sono ancora "caldi".

"Ho solo comprato un divano": cosa puoi fare ora

Torniamo alla domanda iniziale: cosa può fare in modo concreto una persona che ha semplicemente acquistato un prodotto e ha ricevuto la mail di data breach? Alcune azioni di buon senso, pragmatiche e non allarmistiche:

• Diffidare di email e SMS troppo convincenti. Se arrivano comunicazioni su ordini, resi, rimborsi o problemi di consegna, verificare sempre accedendo al sito ufficiale da browser, mai cliccando i link ricevuti. Gli attaccanti sfruttano il panico post–data breach per fare phishing mirato.
• Proteggere i propri dati sensibili. Nessuna azienda seria chiede via telefono o email PIN, password, codici OTP, foto dei documenti, numeri completi della carta o il CVV. Di fronte a una richiesta del genere, chiudere subito la comunicazione.
• Controllare i movimenti di pagamento. Se l'acquisto è stato fatto con carta o con strumenti digitali, monitorare l'estratto conto. Molte banche permettono di attivare notifiche push o SMS su ogni transazione: è la soluzione più rapida per accorgersi di eventuali anomalie.
• Cambiare la password del proprio account sul sito coinvolto. Non è sempre indispensabile, ma è una buona pratica. Usare una password nuova, robusta e diversa da quelle usate altrove. Se disponibile, attivare anche l'autenticazione a due fattori.
• Verificare se la stessa password è riutilizzata altrove. Se sì, cambiarla subito anche sugli altri servizi per evitare accessi indesiderati tramite "password reuse".
• Conservare la comunicazione ricevuta. La mail dell'azienda è una prova utile in caso di chiarimenti futuri o, nei casi peggiori, se si deve fare una segnalazione al Garante Privacy. Evitare di cancellarla.
• Tenere d'occhio eventuali anomalie nei propri account. Accessi da luoghi sconosciuti, richieste di reset password mai avviate, email di login sospetti: segnali che vanno controllati e, se necessario, segnalati al servizio clienti.

Nella maggior parte dei casi non serve farsi prendere dal panico ma, come accennato prima, è utile alzare un po' il livello di attenzione digitale, in particolare per i primi mesi.

Normative EU: GDPR, NIS2, DORA, AI Act

Negli ultimi anni l'Europa ha introdotto un insieme di normative pensate per proteggere i cittadini e per obbligare le aziende a gestire i dati con rigore. GDPR, NIS2, AI Act e DORA rientrano in questo quadro: chiedono alle organizzazioni di valutare i rischi cyber, prevenire gli incidenti e comunicare in modo trasparente quando qualcosa va storto.

Il GDPR, in particolare, impone di analizzare l'impatto di una violazione sui diritti delle persone. Se il rischio è alto, il titolare deve notificare il Garante e informare gli interessati con un linguaggio chiaro: quali dati possono essere stati coinvolti, quali misure sono state adottate e quali comportamenti adottare per ridurre il rischio. Quando un'azienda invia una comunicazione dopo un ransomware non adempie solo a un obbligo: sta consolidando la fiducia.

In questo senso, il messaggio diffuso da Poltronesofà è corretto. L'azienda parla di dati "potenzialmente coinvolti": oggi l'esfiltrazione è frequente negli attacchi, ma la conferma richiede sempre un'indagine forense completa.

È evidente che la sicurezza dei dati sta diventando uno standard atteso da clienti, partner e cittadini. Per i manager, questo implica un cambio di prospettiva: la cybersecurity non è più un costo, ma un fattore identitario. Chi investe oggi sarà percepito domani come più affidabile, serio e credibile.

Cosa dovrebbe fare ora la vostra azienda?

Un'azienda che vuole davvero ridurre il rischio ransomware deve cominciare con il cambiare punto di vista. Non si tratta di limitarsi ad aggiungere un nuovo strumento al parco software, ma serve implementare un framework strutturato, fatto di tecnologia, politiche, processi, persone e soprattutto di competenze che guidino queste componenti in modo coordinato.

La preparazione parte dalla conoscenza dei propri asset: capire quali sistemi sono critici, quali dati sono sensibili e quali dipendenze di filiera possono diventare punti deboli. Significa avere backup isolati e testati, una rete segmentata, privilegi amministrativi ridotti, sistemi aggiornati e controlli di sicurezza intelligenti come EDR e monitoraggio SOC. E significa anche lavorare sulla cultura interna, perché un dipendente formato può fare la differenza. A volte basta un clic sbagliato, lo sappiamo bene.

Quando l'incidente si verifica, l'improvvisazione non è un'opzione. È necessario un Incident Response Plan già definito, provato con simulazioni e supportato da un team di crisi che includa IT, privacy, legale, comunicazione e management. La gestione deve essere metodica: documentare ogni decisione, contenere l'attacco, proteggere le prove e comunicare in modo chiaro agli stakeholder. Superata l'emergenza, arriva la parte che spesso fa la differenza: capire come è avvenuta la compromissione, rafforzare i controlli e comunicare ai clienti con trasparenza, senza minimizzare né creare panico.

Le aziende che trattano il ransomware come un rischio di continuità operativa, e non come un problema "solo IT", sono quelle che resistono meglio agli impatti reali.

Per questo molte organizzazioni scelgono di affidarsi a un supporto consulenziale specializzato: serve esperienza per costruire il framework prima dell'incidente, e serve ancora più esperienza per gestirlo nel momento peggiore, quando la pressione è alta e ogni decisione conta. Una consulenza qualificata permette di trasformare il caos in metodo e il rischio in resilienza, accompagnando l'azienda nel prevenire, affrontare e superare un attacco ransomware in modo professionale.

Se pensi che questo argomento possa impattare anche la tua realtà, contattaci per approfondire insieme il tuo caso e valutare soluzioni a misura per la tua azienda.

Alterabit

Fonti

• ENISA – Threat Landscape 2024 (rapporto sulle principali minacce cyber in Europa, inclusi ransomware e violazioni di dati).
• Clusit – Rapporto Clusit 2025 (analisi degli attacchi cyber in Italia, con focus su malware e ransomware).
• IBM Security – Cost of a Data Breach Report 2024 (dati su costi medi e componenti di costo di una violazione di dati a livello globale).
• Cybersecurity360 – Attacchi ransomware alle aziende italiane oggi (dashboard), panoramica aggiornata sui casi di ransomware che colpiscono organizzazioni italiane.