In breve: dopo un attacco informatico le aziende possono sporgere denuncia alla polizia. Il referente giusto sono i punti di contatto centrali Cybercrime (ZAC) dei Landeskriminalämter (gli uffici di polizia criminale dei Länder tedeschi), specializzati in aziende e autorità. Prepari una breve cronologia e acquisisca le prove prima che i sistemi vengano reinstallati. Questa pagina è un'informazione generale, non consulenza legale.
Perché una denuncia può essere sensata
Dopo un attacco molte aziende esitano a coinvolgere la polizia. Temono impegno, interruzioni dell'attività o pubblicità. Eppure una denuncia ha vantaggi concreti: documenta ufficialmente l'incidente, rende possibili le indagini sugli autori e aiuta le autorità ad avere il quadro della situazione. Per assicuratori, partner commerciali ed eventualmente autorità di vigilanza il numero di fascicolo può essere una prova utile.
Se una denuncia sia opportuna nel caso concreto dipende dalla situazione. In caso di estorsione, furto di dati, manipolazione di dati di pagamento o intrusione in un server con dati dei clienti, molto induce a farla. Ne discuta con la Sua consulenza legale e, se presente, con il Suo assicuratore cyber.
I punti di contatto centrali Cybercrime
Le ZAC sono uffici specializzati della polizia che esistono in ogni Land federale tedesco, istituiti presso i Landeskriminalämter. Si rivolgono ad aziende, autorità e associazioni. Vi lavorano investigatori con una formazione tecnica, che hanno dimestichezza con attacchi ai server, estorsioni e furti di dati.
È competente di norma la ZAC del Land in cui l'azienda ha sede. Una panoramica di tutti gli uffici si trova su polizei.de. Qui non indichiamo volutamente numeri di telefono, perché le vie di contatto possono cambiare; utilizzi le indicazioni aggiornate della polizia.
Cerchi i dati di contatto della ZAC del Suo Land prima che accada qualcosa e li riporti nel Suo piano di emergenza, in un punto raggiungibile anche senza IT funzionante.
Attacco informatico: preparare la denuncia alla polizia
Non è necessario sapere tutto per sporgere denuncia. Una presentazione ordinata dello stato noto facilita però il colloquio. Dovrebbe raccogliere questi punti:
- Cronologia: quando è stato notato l'incidente, da chi e quali passaggi sono seguiti?
- Sistemi interessati: ad esempio web server, shop, portale clienti, con ubicazione presso la propria azienda o presso l'hoster.
- Osservazioni: file sconosciuti, voci di log anomale, messaggi dei ricattatori, fuoriuscite di dati.
- Danno: interruzione, dati coinvolti, conseguenze finanziarie, per quanto noto.
- Misure finora adottate: sistemi isolati, aggiornati, password cambiate, fornitori di servizi coinvolti.
- Referenti: chi in azienda è disponibile per eventuali domande.
In un incidente connesso a PHP2Shell, nella presentazione rientrano le vulnerabilità CVE-2026-109618 e CVE-2026-109619 e il momento della Sua patch. Una patch non prova che prima non sia successo nulla.
Conservare le prove
Per le indagini sono decisive le tracce non alterate. Il riflesso di cancellare subito un server compromesso e reinstallarlo distrugge proprio queste tracce. Meglio un ordine ben definito: isolare il sistema, salvare log, elenchi di file ed eventualmente immagini di memoria e di supporti, annotare le somme di controllo, poi bonificare.
Per PHP2Shell la stampa specializzata raccomanda di conservare i log del server a partire dal 20/10/2026. Chieda anche al Suo hoster di salvare i registri, se Lei stesso non vi ha accesso. Come analizzare i log senza alterare le tracce è descritto alla pagina Analizzare i log del web server dopo un attacco. Per un salvataggio utilizzabile in giudizio la via adatta è l'analisi forense IT.
Dopo la denuncia riceve di norma un numero di fascicolo. Gli investigatori si fanno sentire per eventuali domande e concordano con Lei quali dati servono, ad esempio copie di log o immagini di memoria. Non conti sul fatto che le indagini portino rapidamente a un risultato; gli autori si trovano spesso all'estero e usano un'infrastruttura mascherata. Il valore di una denuncia non sta quindi solo nel caso singolo. I riscontri di molte denunce aiutano ad attribuire i gruppi di autori e a disturbarne l'infrastruttura. Annoti il numero di fascicolo nella documentazione dell'incidente e lo comunichi, se necessario, all'assicuratore o all'autorità di vigilanza. Nuovi riscontri della Sua indagine possono essere trasmessi in seguito.
Denuncia e altri obblighi
Una denuncia non sostituisce altre notifiche. Se sono coinvolti dati personali, può sussistere un obbligo di notifica all'autorità di controllo della protezione dei dati ai sensi dell'art. 33 GDPR, possibilmente entro 72 ore dal momento in cui se ne ha conoscenza. Se la Sua azienda rientra in NIS2, si aggiungono le notifiche al BSI. E molte assicurazioni cyber richiedono un'informazione tempestiva. Concordi l'ordine, in modo che nessuna via venga dimenticata; indicazioni in merito si trovano alla pagina Assicurazione cyber in caso di sinistro.
Non dovrebbe prendere in considerazione pagamenti ai ricattatori senza consultare polizia, consulenza legale e assicuratore. Le ZAC possono fornire consulenza su simili questioni.
Come aiuta concretamente PHP SOS?
- Salviamo log e stati dei sistemi in modo che restino utilizzabili per le indagini e documentiamo le somme di controllo.
- Redigiamo una cronologia tecnica e una sintesi comprensibile per il colloquio con la ZAC.
- Su Sua richiesta siamo a disposizione degli investigatori come referenti tecnici.
- In parallelo proseguiamo l'incident response, perché la Sua attività torni a funzionare in sicurezza il più rapidamente possibile.
Domande frequenti
Vale davvero la pena sporgere denuncia dopo un attacco informatico?
Una denuncia crea una documentazione ufficiale che può essere utile nei confronti di assicuratori, partner commerciali e autorità. Rende possibili le indagini e contribuisce al quadro della situazione. Se nel caso concreto sia sensato può discuterne con la ZAC e con la Sua consulenza legale.
Che cos'è una ZAC?
I punti di contatto centrali Cybercrime (ZAC) sono uffici specializzati della polizia per aziende e autorità, istituiti presso i Landeskriminalämter (uffici di polizia criminale dei Länder tedeschi). Ricevono le denunce, consigliano sul modo di procedere e coordinano le indagini. Una panoramica è offerta da polizei.de.
Devo sospendere l'attività per le indagini?
Di norma no. Le ZAC sono preparate al fatto che le aziende devono continuare a lavorare e concordano le misure con Lei. Chiarisca nel primo colloquio le domande su acquisizione delle prove e ripartenza.
Una denuncia diventa automaticamente pubblica?
No, una denuncia non viene pubblicata automaticamente. Le domande sulla riservatezza le sollevi meglio direttamente con la ZAC. La Sua comunicazione verso l'esterno continua a gestirla Lei.