quanto costa in realtà
incidente non risolto.
Tratto dai nostri dati interni sulla risposta agli incidenti e da segnalazioni pubbliche verificate nel periodo 2024–2025 — diversi settori, diverse aree geografiche.
prima di farti prendere dal panico,
valuta l'entità del danno.
Rispondi a quattro domande. Genereremo un punteggio di gravità in tempo reale e le prime quattro azioni che il tuo team dovrebbe intraprendere immediatamente — prima che qualcuno tocchi la tastiera in preda alla rabbia.
▸ Prime quattro azioni
- Isolare gli host interessati dalla rete — non spegnerli.
- Conservare le copie shadow di memoria e volume su almeno un host.
- Revoca le credenziali utilizzate nelle ultime 72 ore; ruota gli account di servizio.
- Aprire un canale di risposta con PWN•ALL prima di intervenire sui backup.
quattro fasi.
Un unico ponte.
Gestiamo ogni incidente su un unico ponte di risposta verificato: il vostro team, i nostri analisti DFIR, una timeline condivisa e ricevute ad ogni fase.
Contenimento
Isolamento a livello di rete senza distruggere le prove. Blocchiamo il movimento laterale allo switch, blocchiamo il C2, congeliamo gli account con privilegi e preserviamo la memoria sugli host pivot.
Ambito
Triage forense di ogni risorsa crittografata, vettore di accesso iniziale, persistenza e tracce di esfiltrazione. Identifichiamo il ceppo, le TTP dell'operatore e il tempo di permanenza.
Recupero
Ricostruzioni in ambiente controllato, controlli di integrità dei backup, confronto del decryptor con la nostra libreria interna e, laddove esistono le chiavi, decrittografia graduale dei dati di produzione.
Rafforzamento
Risoluzione delle cause alla radice, pulizia delle identità, implementazione di EDR/MFA dove mancanti e un rapporto scritto che il vostro consiglio di amministrazione, l’assicuratore e l’autorità di regolamentazione possano effettivamente leggere.
ogni ceppo ha un
punto debole. Noi lo troviamo.
La nostra libreria di ricerca sui decryptor e le informazioni sulle negoziazioni vengono aggiornate sulla base dei casi reali che risolviamo ogni settimana. Se esiste un modo per recuperare i dati senza pagare, lo troviamo per primi.
LockBit • BlackCat • Play
- Controller di dominio e targeting Veeam
- Cancellazione delle copie shadow tramite vssadmin/WMI
- Esfiltrazione graduale tramite MEGA/Rclone
- Recupero parziale delle chiavi, ove applicabile
Akira • Royal • Rhysida
- Arresto e crittografia di ESXi a livello VMFS
- Ransomware ELF per Linux su appliance
- Recupero del volume a livello di datastore
- Verifica dell'integrità sul lato hypervisor
Cl0p • Karakurt • RansomHub
- Puro furto di dati, senza crittografia
- Monitoraggio e rimozione dei siti di fuga di dati
- Coordinamento della divulgazione legale
- Comunicazioni con gli operatori gestite da noi
un analista sta già
a tenere d'occhio l'orologio.
Nel momento in cui chiami, si avvia un ponte condiviso con azioni contrassegnate da data e ora, custodia delle prove e un pannello di gravità in tempo reale. Il tuo assicuratore e il tuo team legale possono partecipare in modalità di sola lettura.
VALORE MEDIANO RELATIVO AGLI INTERVENTI INTERNI, 2024–2026. “CONTENUTO” = ACCESSO DELL’AUTORE DELL’ATTACCO REVOCATO E CRITTOGRAFIA/ESFILTRAZIONE INTERROTTE — NON RECUPERO COMPLETO.
Nessun mistero. Nessun silenzio.
Ogni incidente PWN-ALL viene gestito sullo stesso modello di ponte già accettato dalle autorità di regolamentazione e dall'assicuratore informatico. Vedi ciò che vediamo noi. Approvi ogni azione distruttiva. Nulla viene crittografato, cancellato o pagato senza la tua approvazione.
Dopo il contenimento, ti verrà fornito un rapporto sulla catena di custodia, una cronologia mappata secondo il modello MITRE ATT&CK e un piano di rafforzamento della sicurezza a 30/60/90 giorni — non un PDF pieno di screenshot.
che le persone
che le persone pongono alle 3 del mattino.
Dovremmo pagare il riscatto?
Quasi mai la prima mossa giusta. Ricorriamo alla negoziazione solo come ultima risorsa, mentre vengono valutate le opzioni di ripristino, e solo previa autorizzazione legale e in assenza di sanzioni. Nei nostri interventi relativi a attacchi ransomware nel periodo 2024–2026, nel 94% circa dei casi è stato possibile ottenere un recupero totale o parziale senza pagare il riscatto, grazie a backup integri, alla ricerca di strumenti di decrittazione o alla ricostruzione parziale dei dati. I risultati dipendono dall’integrità dei backup, dalla variante del ransomware e dalla disponibilità di strumenti di decrittazione.
Quanto tempo ci vuole per collegarvi?
Il nostro SLA prevede meno di 60 minuti dalla prima chiamata a un analista su una piattaforma condivisa con il vostro team. La guida al contenimento inizia solitamente entro i primi 15 minuti, mentre la valutazione dell'ambito si svolge in parallelo.
Abbiamo già spento tutto. È un problema?
Non è l'ideale — la memoria volatile contiene chiavi, processi iniettati e tracce dell'operatore — ma è recuperabile. Non riavviate nulla finché non siamo in linea. Abbiamo procedure per il triage a freddo.
Collaborate con la nostra compagnia di assicurazione informatica?
Sì. PWN-ALL è strutturato per integrarsi nei pannelli IR standard. Forniamo all'assicuratore le azioni con indicazione dell'ora, i controlli sui costi e un rapporto finale nel formato accettato dalla maggior parte degli operatori.
Vi occupate esclusivamente di incidenti legati al ransomware?
No. Il team DFIR si occupa anche di furti di dati ed estorsioni senza crittografia, compromissione delle e-mail aziendali e frodi nei pagamenti, appropriazione indebita di account, compromissione di Microsoft 365 / Google Workspace e del cloud, casi di insider e compromissione di applicazioni web o server. Il ransomware è il caso più eclatante, ma non l'unico.
Cosa succede se i dati sono stati rubati oltre che crittografati?
Analizziamo separatamente l'esfiltrazione: cosa è stato sottratto, da dove e per quanto tempo. Quindi coordiniamo la divulgazione, gli aspetti legali e, se del caso, il monitoraggio del sito della fuga di dati e le comunicazioni con gli operatori.
non aspettare
lunedì mattina.
Ogni ora di ritardo, i backup vengono cancellati, le prove scadono e gli operatori si insinuiscono sempre più in profondità. PWN-ALL risponde in giornata, nei fine settimana, nei giorni festivi — al tempo non importa, e nemmeno a noi.
Il 50% degli attacchi finisce ancora con la crittografia. Non aspettare di scoprire a quale metà appartieni.