Un attacco ransomware può essere preceduto da accessi insoliti, disattivazione delle difese, scansioni di rete e tentativi di raggiungere backup. Primo controllo: Monitora autenticazioni anomale, nuovi amministratori, uso inatteso di strumenti remoti e accessi fuori orario da posizioni insolite. Secondo passaggio: Cerca modifiche a antivirus, shadow copy, logging e policy, oltre a letture massive di share o improvvisi cambi di estensione. Verifica pratica: Verifica che backup e copie immutabili usino credenziali separate e che gli avvisi arrivino a persone in grado di isolare rapidamente sistemi. Il punto a cui prestare attenzione è questo: un singolo indicatore non prova un attacco, ma ignorare più segnali correlati fa perdere tempo prezioso. Non spegnere o cancellare evidenze senza coordinamento. Per rendere il metodo ripetibile, annota situazione iniziale, azione eseguita e risultato. Cambia una variabile alla volta, conserva una via di ritorno e assegna un responsabile quando il controllo riguarda più persone. Una procedura breve ma verificata è più utile di molte impostazioni applicate senza sapere perché. Prepara in anticipo contatti, criteri di isolamento e priorità di ripristino. La risposta efficace nasce da telemetria leggibile e decisioni già concordate.