In breve: è stato colpito? Ci chiami. La aiutiamo. Dopo un attacco hacker alla Sua azienda, come direzione ha bisogno soprattutto di un interlocutore che si occupi della parte tecnica, così che Lei possa decidere. Lavoriamo da remoto, conserviamo le tracce, chiudiamo la porta d'ingresso, bonifichiamo e documentiamo fino alla conclusione dell'incidente.
Ora non cancelli nulla e non reinstalli nulla. Chieda anche alla Sua IT e al Suo hoster di non modificare nulla per ora. Mettere in ordine in fretta distrugge le prove che servono per assicurazione, protezione dei dati e polizia. Segnali l'emergenza: ce ne occupiamo dal primo messaggio.
È stato colpito? Come la direzione si accorge di un attacco
Un attacco hacker raramente comincia con una segnalazione dell'IT. Spesso il primo indizio arriva dall'esterno:
- Un cliente o un partner commerciale segnala un'email strana, un reindirizzamento o un avviso nel browser.
- L'hoster blocca il sito web o scrive che è stato trovato codice dannoso.
- Il sito web mostra contenuti estranei, spam o si comporta in modo diverso dal solito.
- La Sua IT riferisce di file, account o processi sconosciuti sul web server.
- C'è una richiesta di estorsione, un'offerta di dati in rete o una comunicazione delle autorità.
Un attacco può esserci anche senza un segnale univoco. Dalla pubblicazione delle vulnerabilità PHP2Shell, il BSI (l'Ufficio federale tedesco per la sicurezza informatica) avverte con il livello di allerta 3 / arancione; secondo Cloudflare e Patchstack sono stati osservati tentativi di attacco. Se la Sua azienda sia interessata lo chiariamo volentieri, senza che Lei debba dimostrare il sospetto. I segnali tecnici sono in Sono già stato compromesso?.
Che cosa fare subito
- Nominare un decisore. Una persona che possa decidere per l'azienda su spegnimenti, riavvii e cambi di password e che sia raggiungibile.
- Non far modificare nulla. Niente cancellazioni, niente reinstallazioni, niente ripristino di backup prima della conservazione delle tracce.
- Annotare brevemente la situazione. Che cosa è stato notato, quando e da chi? Quali sistemi e dati potrebbero essere coinvolti?
- Informare il responsabile della protezione dei dati. Se sono coinvolti dati personali, potrebbe essere in corso un termine. Legga in proposito l'obbligo di notifica GDPR.
- Controllare l'assicuratore. Se esiste una polizza cyber, spesso stabilisce quando e come va segnalato il sinistro. Che cosa conta lo descrive Assicurazione cyber in caso di sinistro.
- Concordare la comunicazione esterna. Chi parla con clienti, stampa e collaboratori? Aiuta la pagina Comunicazione di crisi dopo un attacco.
- Ci contatti ora. Ci chiami o ci scriva su WhatsApp.
Che cosa deve chiarire la direzione e che cosa assumiamo noi
Un attacco hacker è un evento tecnico e imprenditoriale. Le decisioni restano a Lei, il lavoro tecnico possiamo sostenerlo noi.
| Domanda | Competenza |
|---|---|
| Il sito web o lo shop viene temporaneamente spento? | Decide Lei, noi mostriamo conseguenze e alternative |
| Sono usciti dati e quali? | Forniamo i fatti tecnici da log e file |
| Esiste un obbligo di notifica? | Responsabile della protezione dei dati o avvocato, con la nostra relazione |
| Si presenta denuncia? | Decide Lei, noi conserviamo prima le prove |
| Come si informano i clienti? | Lei, con esperti di comunicazione; noi forniamo il quadro dei fatti |
| Come torna pulito il server? | Noi, in accordo con la Sua IT |
Sulla responsabilità della direzione per le lacune di sicurezza non forniamo consulenza legale; informazioni generali sono in Responsabilità della direzione. La decisione su una denuncia penale è facilitata dalla pagina sulle Zentrale Ansprechstellen Cybercrime.
Pensare insieme attività aziendale e incidente
Oltre alla tecnica, nelle prime ore urge la domanda su come prosegue l'attività. Se ordini, prenotazioni di appuntamenti o ordinazioni dipendono dal sito web, serve una soluzione provvisoria per l'operatività: una pagina di manutenzione con numero di telefono, un modulo su un sistema pulito o la gestione per telefono ed email. Secondo i media, nella situazione PHP2Shell alcune autorità hanno messo precauzionalmente offline i loro siti e sono rimaste raggiungibili per telefono e per email; ciò mostra che spegnimento e raggiungibilità possono andare d'accordo.
Parli inoltre con il Suo personale. Chi sa dell'incidente non cadrà nelle email di phishing che spesso vengono inviate in questo momento e non darà all'esterno informazioni che poi potrebbero risultare contraddittorie. Mantenga le dichiarazioni sull'incidente brevi e verificabili. Le supposizioni non appartengono a un'email ai clienti; ciò che sappiamo con certezza, ciò che supponiamo e ciò che resta aperto lo separiamo espressamente nella nostra relazione.
In concreto, come aiuta PHP SOS?
- Quadro della situazione: in un primo colloquio chiariamo che cosa è noto, quali sistemi possono essere interessati e che cosa contengono. Riceve una breve valutazione con i passi successivi.
- Salvare e chiudere: file, database e log vengono salvati prima che venga modificato qualcosa. Poi conteniamo e chiudiamo il punto d'ingresso, con PHP2Shell con la patch e il riavvio di tutti i processi.
- Verificare e bonificare: cerchiamo backdoor, accessi estranei e file manipolati e rimettiamo in ordine. Dove serve, ricostruiamo da fonti attendibili.
- Rafforzare e riferire: riceve una relazione leggibile per protezione dei dati, assicuratore e partner commerciali, più raccomandazioni per il periodo successivo.
Se l'incidente va oltre un singolo server, passiamo a una Incident response strutturata. Se serve un accertamento a prova di tribunale, coinvolgiamo partner specializzati in analisi forense IT.
Che cosa dovrebbe inviarci
- nome e recapito della persona che decide in azienda
- una breve descrizione: che cosa è emerso, quando, da chi?
- indicazioni sul sistema interessato e sull'hoster o fornitore
- indicazioni su un'eventuale assicurazione cyber esistente e sull'ente competente per la protezione dei dati
- accesso al server o autorizzazione a parlare direttamente con il Suo hoster
Perché PHP SOS
Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un interlocutore anziché una linea d'attesa. Lavoriamo da remoto, senza trasferte, in tutta la Germania e in Europa. Ogni passaggio viene documentato, anche perché possa dimostrare all'assicuratore, alla protezione dei dati e partner commerciali che cosa è successo. Le diciamo apertamente che cosa è provato e che cosa è solo probabile, e non promettiamo nulla che nessuno possa mantenere. Quanto possa costare un incidente lo descrive la pagina Voci di costo di un attacco.
È stato colpito? Ci chiami. La aiutiamo.
Prima le tracce vengono conservate, più cose si potranno dimostrare in seguito. Ce ne occupiamo dal primo messaggio e restiamo accanto a Lei finché l'incidente non è concluso e documentato. Segnali subito l'emergenza.
Domande frequenti
Attacco hacker all'azienda: che cosa deve fare per prima cosa la direzione?
Nominare una persona come decisore e referente, non cancellare né reinstallare nulla e cercare aiuto tecnico. Parallelamente vanno informati il responsabile della protezione dei dati e, se esiste, l'assicuratore cyber. La situazione tecnica la chiariamo con Lei.
Quando va segnalato un attacco hacker?
Se sono coinvolti dati personali, può essere necessaria una notifica all'autorità per la protezione dei dati entro 72 ore. Se l'obbligo si applichi lo valutano il responsabile della protezione dei dati o gli avvocati. Noi forniamo i fatti tecnici.
Dopo un attacco hacker devo presentare denuncia?
Molte aziende lo fanno, anche perché assicuratori o partner commerciali se lo aspettano. In Germania la polizia ha a tal fine le Zentrale Ansprechstellen Cybercrime (punti di contatto centrali per il cybercrime). Perché le prove restino utilizzabili, le tracce vanno salvate prima.
Come azienda abbiamo bisogno di un fornitore se abbiamo un nostro reparto IT?
Spesso sì. L'IT interna conosce l'esercizio normale, ma più raramente la conservazione delle tracce e la bonifica dopo un'intrusione. Lavoriamo con la Sua IT e ci occupiamo della parte per cui in azienda mancano esperienza o tempo.
Quanto costa un attacco hacker all'azienda?
Dipende da durata, situazione dei dati e interruzione dell'attività. Le voci di costo tipiche sono nella nostra pagina sui costi di un attacco. Non indichiamo una cifra senza conoscere la Sua situazione.