Pagare o non pagare il riscatto — il playbook decisionale per il CdA e il CISO

Usa questo playbook nel momento in cui è arrivata una richiesta estorsiva e qualcuno in azienda ha chiesto se pagarla. Copre le tre forme commerciali che la richiesta assume:

• Solo cifratura — i sistemi sono bloccati e viene offerto un decryptor.
• Solo esfiltrazione — nulla è cifrato, i dati sono stati rubati, e ciò che viene offerto è la promessa di non pubblicare e di cancellare.
• Doppia estorsione — entrambe, di norma con un prezzo unico, che è la prima cosa da scomporre.

Scatta anche in caso di ri-estorsione: una seconda richiesta, dalla stessa crew o da un'altra, sullo stesso dataset, dopo che un pagamento è già stato effettuato.

Fuori ambito. Questo playbook decide una sola questione. Non sostituisce containment, eradicazione e forensics, che girano in parallelo e non aspettano la decisione commerciale — se il punto di ingresso è stato un'identità, esegui in parallelo il playbook compromissione identity provider. Non copre gli obblighi di notifica, che hanno tempistiche proprie sotto NIS2 Title 13 e art. 19 DORA. Non copre il richiamo di pagamenti fraudolenti nel business email compromise, che è un binario diverso con una controparte diversa — vedi il playbook BEC su M365.

Prima che qualcuno confronti il downtime con una cifra di riscatto, il pagamento deve essere lecito. Tre regimi mordono, e una multinazionale è esposta a tutti e tre insieme.

Stati Uniti. L Updated Advisory OFAC sui rischi sanzionatori nel facilitare pagamenti ransomware del 21 settembre 2021 è esplicito: OFAC può irrogare sanzioni civili su base di responsabilità oggettiva, il che significa che un soggetto sottoposto a giurisdizione USA può essere ritenuto civilmente responsabile anche se non sapeva né aveva ragione di sapere che la transazione fosse vietata. Le richieste di licenza relative a pagamenti ransomware sono esaminate caso per caso con presunzione di diniego. L'advisory raggiunge anche i facilitatori, non solo le vittime: istituti finanziari, assicuratori cyber e società di digital forensics e incident response sono nominati direttamente.

Regno Unito. La guidance OFSI sulle sanzioni finanziarie per il ransomware, aggiornata il 28 gennaio 2026, conferma la stessa costruzione a responsabilità oggettiva — non serve provare il dolo — e aggiunge che le violazioni sono reati con pene detentive. Sul licensing è più netta di OFAC: i pagamenti ransomware difficilmente saranno considerati appropriati per una licenza OFSI.

Unione europea. Il Regolamento (UE) 2019/796 del Consiglio congela i beni delle persone ed entità inserite in elenco e vieta di mettere a loro disposizione fondi o risorse economiche, direttamente o indirettamente. L'Italia non ha una norma ad hoc che vieta il pagamento del riscatto: il vincolo che lega un'entità italiana è il regime europeo di congelamento, applicato a chiunque stia davvero dall'altra parte della trattativa.

Come si esegue lo screening in pratica. L'attribuzione è quasi sempre incompleta, ed è esattamente per questo che lo screening è procedurale e non conclusivo. Cattura e sottoponi a screening ogni identificatore in tuo possesso — indirizzi wallet di destinazione, URL e handle del portale di trattativa, testo integrale della ransom note, famiglia e versione del malware, struttura degli affiliati nota — contro la SDN list OFAC, la UK sanctions list e l'elenco consolidato UE. Poi ripeti lo screening immediatamente prima del trasferimento: le designazioni cambiano durante un incidente, e lo screening che conta è l'ultimo, non il primo.

Se lo screening non si chiude, la risposta è no. Questo gate non è un rischio da prezzare dentro la decisione: è la condizione perché la decisione esista.

Il miglior predittore di una decisione difendibile è che i diritti decisionali fossero scritti prima dell'incidente. Fissali nel piano di risposta, non alle 3 di notte:

• Approvatore nominato e soglia. Chi può autorizzare un pagamento, fino a quale cifra, e oltre quale cifra deve decidere il CdA o un comitato delegato. Metti per iscritto il percorso di escalation con nomi e sostituti.
• Prima i legali. Ingaggia il legale esterno prima di qualsiasi contatto con l'attaccante, così che il verbale della trattativa e l'analisi dell'incidente stiano sotto tutela professionale dove l'ordinamento lo consente. Il primo messaggio inviato senza legale è quello che verrà letto in seguito.
• Assicuratore prima del contatto, non dopo. La maggior parte delle polizze cyber condiziona la copertura del riscatto al consenso scritto preventivo dell'assicuratore. Prendere contatto — o peggio, pagare — prima di notificare può far decadere proprio la copertura su cui contavi per finanziare la decisione.
• Chi parla con l'attaccante. Un negoziatore specializzato, istruito dal legale. Mai l'amministratore delegato o il CISO in prima persona, e mai un tecnico che sta contemporaneamente facendo containment: i due ruoli si contaminano a vicenda.
• Contatto con le forze dell'ordine, deciso prima. Sia OFAC sia OFSI trattano una segnalazione spontanea, completa e tempestiva come fattore mitigante significativo, e OFAC la qualifica espressamente come autodenuncia volontaria. Sappi in anticipo chi chiami: field office FBI, IC3 o Secret Service negli USA; portale NCSC più Action Fraud o Police Scotland nel Regno Unito; Polizia Postale e CSIRT Italia in Italia.

Il fallimento che questo previene è preciso: un tecnico, un MSP o il responsabile di una controllata che paga unilateralmente per far sparire il problema, impegnando il gruppo in una transazione che nessuno ha sottoposto a screening e nessuno ha approvato.

Gli obblighi di notifica scattano con l'incidente, non con la decisione commerciale. La trattativa non sospende nessuno di essi, e nessun supervisore ha mai accettato una trattativa in corso come motivo di ritardo.

• NIS2 Title 13 — entità essenziali e importanti: early warning 24 ore, notifica 72 ore, report finale a un mese. La sequenza completa è nel playbook timeline incidenti NIS2.
• Art. 19 DORA — entità finanziarie: cadenza 4h/72h/un mese per gli incidenti gravi, dettagliata nel playbook incidenti DORA.
• Art. 33 GDPR — 72 ore all'autorità di controllo ovunque fossero accessibili dati personali, il che in un caso di esfiltrazione è quasi sempre.
• NYDFS 23 NYCRR 500.17(c) — la notifica che sottopone ad audit la decisione stessa. Un'entità coperta che effettua un pagamento estorsivo deve dare al superintendent notizia entro 24 ore dal pagamento e, entro 30 giorni, una descrizione scritta delle ragioni per cui il pagamento era necessario, delle alternative considerate, di tutta la diligenza svolta per trovare alternative e di tutta la diligenza svolta per assicurare la conformità alle regole applicabili, incluse quelle dell'Office of Foreign Assets Control. Leggi quel requisito come la specifica delle evidenze che devi produrre mentre decidi.
• Regno Unito, in movimento. Il Cyber Security and Resilience (Network and Information Systems) Bill ha avuto la seconda lettura ai Lords il 14 luglio 2026, con committee stage fissato al 1 settembre 2026; amplia la definizione di incidente notificabile oltre la disruption significativa, per catturare esplicitamente ransomware e pre-positioning. Le proposte separate dello Home Office — divieto di pagamento per enti pubblici e infrastrutture critiche nazionali, più reporting dei pagamenti esteso a tutta l'economia — non sono in questo Bill e vanno seguite su un binario proprio.
• Stati Uniti, non ancora in vigore. CIRCIA aggiungerebbe reporting a 72 ore per gli incidenti e a 24 ore per i pagamenti di riscatto per le entità critiche coperte. La final rule è slittata più volte e non è in vigore: non costruire il runbook su una data. Costruisci però la capacità di notificare un pagamento entro 24 ore, perché due regimi la impongono già e un terzo ci è scritto attorno.

Per un gruppo che opera su più regimi, costruisci una sola base evidenziale ed esporta una sintesi per regime. I supervisori confrontano le notifiche, e narrative divergenti prodotte da team separati sono la prima discrepanza che trovano.

Eseguili in sequenza. Un gate successivo non riapre mai uno precedente.

Gate 1 — Sanzioni. Superato o non superato. Se lo screening non si chiude su ogni identificatore in tuo possesso, la decisione termina qui.

Gate 2 — Fattibilità del ripristino. La domanda non è «abbiamo i backup». È: abbiamo ripristinato questa classe di sistemi da questi backup in un test, quando, quale tempo di ripristino abbiamo misurato, e quel tempo rientra nella tolleranza che il business ha davvero sottoscritto? Se il ripristino misurato rientra nella tolleranza, un decryptor non compra nulla sul lato cifratura della richiesta. Tieni presente che le crew ransomware colpiscono per prima l'infrastruttura di backup: il restore testato deve partire da supporti che l'intrusione non poteva raggiungere.

Gate 3 — Scomponi ciò che ti stanno vendendo. Un decryptor è un bene verificabile: puoi provarlo prima e dopo il pagamento. Una promessa di cancellazione no — non puoi verificare un fatto negativo nelle mani di una controparte criminale, mai. Dividi una richiesta di doppia estorsione nelle sue due parti e attribuisci un prezzo difendibile solo alla parte verificabile.

Gate 4 — Prova prima del denaro. Per il possesso dei dati, pretendi un file tree più la decifratura di un campione che scegli tu, non di file scelti da loro. Per un decryptor, pretendi la decifratura funzionante di un campione rappresentativo per tipo e dimensione dei file, su un sistema che controlli. Nessuna prova, nessun trasferimento, nessuna eccezione per la pressione del tempo.

Gate 5 — Fattori residui. Esposizione alla sicurezza delle persone, continuità di servizi sistemici e obblighi di continuità regolata cambiano legittimamente il peso dei gate 2, 3 e 4. Nessuno di essi apre il Gate 1.

Il mercato si è già mosso, e il CdA merita i numeri attuali e non quelli dell'ultimo incidente che ha vissuto. Nel report sui trend di cyber extortion del secondo trimestre 2026, pubblicato il 29 luglio 2026, Coveware by Veeam registra:

• Il tasso di pagamento è sceso a un nuovo minimo storico.
• Pagamento medio 1.880.612 dollari, in crescita del 176% sul primo trimestre, trainato da un numero ristretto di transazioni molto grandi legate a esfiltrazione.
• Pagamento mediano 150.000 dollari, in calo del 50% sul primo trimestre. La forbice crescente tra media e mediana è il segnale: pochi outlier, non un prezzo generale in aumento.
• L estorsione solo-esfiltrazione è stata pagata nel 15% dei casi, definito un livello storicamente basso.

La sostanza dell'argomento sta nei dati sugli esiti. Il report collega il calo del tasso di pagamento al fatto che le vittime sono diventate sensibili a quanto siano volatili gli esiti post-pagamento: il takedown di LockBit ha rivelato che le vittime pagavano per una cancellazione mai realmente eseguita, e nel caso Klue i dati rubati sono rimasti nelle mani di un gruppo criminale distinto nonostante il riscatto pagato, lasciando la vittima esposta a estorsione continuativa proprio sul materiale che il pagamento avrebbe dovuto chiudere.

Al CdA vale la pena dirlo in una riga: un pagamento compra una probabilità, non un esito, e la controparte quella probabilità non te la dichiara. Per la variante solo-esfiltrazione in particolare, dove non c'è alcun decryptor e l'intero prodotto è una promessa, vedi l analisi del ransomware solo-esfiltrazione nel 2026 e la campagna di Silent Ransom Group contro gli studi legali, i cui pagamenti elevati sono parte di ciò che ha spinto in alto la media del secondo trimestre.

Ordinata per il gate che consuma ciascun artefatto.

Per il gate sanzioni - Ogni identificatore dell'attaccante catturato e conservato: indirizzi wallet di destinazione, URL e handle del portale di trattativa, testo integrale della ransom note, famiglia e versione del malware, mappatura TTP. - L'esito dello screening contro ciascun elenco, con timestamp e versione dell'elenco interrogato. - Il ri-screening eseguito immediatamente prima del trasferimento, con timestamp proprio.

Per il gate autorizzativo - Il documento dei diritti decisionali come era prima della richiesta. - Verbale di approvazione con ora della decisione e nomi di chi ha approvato. - Lettera di incarico al legale; notifica all'assicuratore con ora e risposta di consenso ricevuta.

Per il gate ripristino - Esiti datati dei test di restore per ciascuna classe di sistema colpita, con tempi misurati. - La tolleranza di business con cui quei tempi sono stati confrontati, e chi ne è titolare.

Per la notifica sulle alternative (30 giorni NYDFS, e qualunque supervisore ponga la stessa domanda) - Un registro scritto di ciascuna alternativa considerata e del motivo per cui è stata scartata. O è contestuale, o non vale nulla.

Per la mitigazione OFAC e OFSI - La segnalazione alle forze dell'ordine con ora di invio e numero di riferimento, e il log della cooperazione successiva. - Evidenza delle misure di sicurezza già in essere prima dell'incidente.

Quest'ultima voce è quella che nessuno riesce a produrre sotto pressione. OFAC considera fattore mitigante significativo le misure concrete adottate per ridurre il rischio di estorsione da parte di un attore sanzionato, e NYDFS chiede quale diligenza sia stata svolta: entrambe sono domande su registrazioni datate di ciò che facevi prima che arrivasse la richiesta, e a nessuna delle due risponde un documento di policy scritto dopo. Zero Hunt è costruita perché quel registro esista come sottoprodotto: le campagne schedulate e attivate dal cambiamento girano di continuo sul perimetro, ogni campagna è timestampata e mappata sui 32 framework di compliance che la piattaforma traccia — inclusi NIS2 Title 13, DORA e GDPR — ed esportata come report firmato ECDSA con catena di custodia tramite il Trust Center. Quando il legale ti chiede cosa stavi facendo sull'esposizione al ransomware nei sei mesi precedenti la richiesta, la risposta è un bundle di evidenze con le date sopra, non un ricordo.

1. Contattare l'attaccante prima del legale e dell'assicuratore. Il primo messaggio viola spesso una condizione di polizza sul consenso preventivo e crea un verbale acquisibile fuori dalla tutela professionale. Entrambi sono irrecuperabili.

2. Scambiare l'esistenza dei backup per capacità di ripristino. «Abbiamo i backup» non è una risposta al Gate 2. Lo è un tempo di ripristino misurato su un restore testato della classe di sistemi colpita. Tutto il resto è una speranza con una retention policy attaccata.

3. Pagare per impedire la pubblicazione. Stai comprando un fatto negativo non verificabile da una controparte con una storia documentata di inadempimento. Dove la promessa di cancellazione è l'intero prodotto, prezzala per quello che è.

4. Fare lo screening sanzioni una volta sola. Lo screening fatto all'arrivo della richiesta non è quello che protegge il trasferimento. Le designazioni cambiano durante l'incidente: ripetilo immediatamente prima che i fondi si muovano.

5. Far girare trattativa e notifiche come un unico workstream. I clock a 24 e 72 ore non si fermano per una trattativa, e il team di trattativa è il team sbagliato per redigere una notifica regolamentare. Vanno staffati separatamente su una base evidenziale condivisa.

6. Inventare l'autorità decisionale durante l'incidente. Una decisione presa da chi è più anziano in sala alle 3 di notte non sopravvive alla giustificazione scritta a 30 giorni, perché non esiste traccia delle alternative considerate: nessuno era stato incaricato di considerarle.