Perché i backup immutabili
possono comunque essere compromessi
Perché i backup immutabili
possono comunque essere compromessi
I backup vengono spesso compromessi negli attacchi ransomware. In alcuni casi gestiti da DriveSavers, la soluzione di backup interessata era commercializzata come immutabile.
I backup immutabili rappresentano una difesa standard contro il ransomware, spesso abbinata all'isolamento fisico (air-gapping) di tali backup. Tuttavia, l'immutabilità non garantisce che i dati siano recuperabili dopo un attacco.
Cos'è un backup immutabile?
Un backup immutabile è una copia dei dati che non può essere modificata o eliminata per un periodo di conservazione stabilito, nemmeno da un amministratore. Questo design write-once rende l'immutabilità una difesa standard contro il ransomware, poiché, in teoria, gli aggressori non possono manomettere un backup che non possono modificare. Tuttavia, l'immutabilità protegge solo i dati, non il software e le credenziali che li gestiscono.
Nell'ottobre 2025, il ransomware Akira ha raggiunto il repository di backup Nakivo di un cliente, una piattaforma pubblicizzata per il suo storage immutabile. I backup Nakivo sono stati eliminati, mentre i dati delle macchine virtuali presenti sul volume sono stati crittografati.
Il team IT del cliente ha eseguito utility di recupero sul volume per diversi giorni senza successo. Ha inoltre copiato 15 TB di dati di produzione sullo stesso spazio di archiviazione precedentemente occupato dai backup eliminati. Questo processo ha sovrascritto porzioni dei dati di backup eliminati.
DriveSavers ha eseguito l'imaging delle unità e ricostruito manualmente le informazioni di mappatura BTRFS mancanti per accedere ai dati di backup che il volume aveva già rilasciato. Il recupero sul server database prioritario ha raggiunto il 99,4% dal solo repository di backup. Unendo le regioni non crittografate dei dischi virtuali di produzione con i dati di backup, il tasso di successo ha raggiunto il 99,91%.
Senza quei 15 TB di dati sovrascritti, sarebbe stato un recupero completo.
Immutabilità e air gapping vengono spesso citate insieme, ma svolgono compiti diversi.
Veeam traccia questa distinzione in modo chiaro. Un backup air-gapped è isolato dalla rete, sia fisicamente rimuovendo l'unità o scollegando le porte, sia digitalmente bloccando il traffico di rete verso di esso. Un backup immutabile non può essere modificato o eliminato fino alla scadenza del periodo di conservazione, ma l'immutabilità non richiede che sia offline: può rimanere raggiungibile tramite la rete.
Veeam individua chiaramente il punto debole di ciascun approccio. La logistica fisica rallenta il recupero da un air gap. I backup immutabili rimangono accessibili tramite la rete, il che rappresenta un rischio quando i controlli che li circondano sono deboli.
L'immutabilità impedisce che un backup venga alterato. Un air gap impedisce che venga raggiunto. Un livello di gestione compromesso non può influire su un backup che non può raggiungere.
Poni al tuo fornitore una domanda: un amministratore con privilegi completi può sovrascrivere l'impostazione di immutabilità su questa piattaforma?
La risposta dipenderà da come è implementata l'immutabilità. Su alcuni sistemi, gli utenti con privilegi sufficienti possono sovrascrivere la protezione; su altri, nessun utente può rimuoverla fino alla scadenza del periodo di conservazione.
Chiedi poi dove viene applicata la protezione write-once. L'immutabilità implementata dall'applicazione di backup dipende dal fatto che tale applicazione rimanga affidabile. L'immutabilità applicata a livello di archiviazione, tramite object lock su storage compatibile con S3 o un dispositivo hardware con protezione WORM, non dipende esclusivamente dall'applicazione di backup per essere fatta rispettare.
Una volta compreso come vengono protetti i backup immutabili, adotta misure per proteggere l'infrastruttura che li circonda:
Rafforzare il livello di gestione
Mantieni la console di backup con credenziali separate anziché con la directory di produzione, in modo che compromettere il dominio non comprometta anche i backup. Richiedi l'autenticazione a più fattori sulla console.
Limitare l'accesso amministrativo
Limita il numero di account con privilegi completi e rivedi regolarmente tale accesso.
Ritestare dopo modifiche amministrative
Verifica la policy di immutabilità ogni volta che cambia un amministratore dei backup, invece di presumere che la configurazione ereditata funzioni ancora come previsto.
Testare l'infrastruttura di backup come bersaglio
Gli aggressori prendono di mira la capacità di recupero. Includi l'infrastruttura di backup nei penetration test invece di considerarla al di fuori della superficie di attacco.
Sulla base di un sondaggio condotto su oltre 900 dirigenti senior IT, della sicurezza e del rischio, il Data Trust and Resilience Report 2026 di Veeam ha rilevato che il 90% delle organizzazioni era fiducioso di potersi riprendere da un incidente informatico. Tra gli intervistati che avevano effettivamente subito un incidente ransomware, solo il 28% ha recuperato completamente tutti i dati interessati. Il 44% ne ha recuperato meno dei tre quarti, lasciando lacune significative.
Eliminato o crittografato non è la stessa cosa di irrecuperabile. Quando DriveSavers si occupa di un incarico di recupero dati da ransomware, il lavoro inizia identificando ciò che rimane sul supporto e ciò che può essere ricostruito a partire da esso.
I nostri ingegneri riparano il danno strutturale causato dalla crittografia a dischi virtuali, file di backup e database. Quando un decryptor è già stato eseguito e ha lasciato i file danneggiati, potremmo essere in grado di riparare il danno risultante. Quando un disco virtuale è parzialmente crittografato, DriveSavers utilizza i propri strumenti e tecniche per identificare e recuperare i dati dalle aree non interessate. Recuperiamo inoltre versioni più vecchie o non interessate dei dati, anche da sistemi copy-on-write, e cerchiamo fonti alternative come nastri e risorse cloud.
Scollega i dispositivi interessati dalla rete il prima possibile. Scollega l'archiviazione esterna e impedisci ai sistemi interessati di accedere allo storage cloud collegato.
Scollegare non equivale a spegnere. Spegnere una macchina può cancellare le prove conservate nella memoria volatile, quindi considera questa opzione come ultima risorsa, da adottare solo quando lo scollegamento non è possibile.
Ancora più importante, non scrivere nuovi dati su uno storage contenente backup eliminati o danneggiati. Ripristinare i dati o continuare a utilizzare lo storage interessato può sovrascrivere dati che altrimenti sarebbero recuperabili.
Disattiva le risorse di rete condivise e disabilita l'accesso remoto ai dispositivi infetti. Conserva la richiesta di riscatto e qualsiasi email o allegato sospetto. Chiamaci prima che qualcosa venga ripristinato o ricostruito.
Pagare il riscatto richiesto non colma nemmeno questo divario. Nella ricerca di Veeam del 2025, il 17% delle organizzazioni ha riferito di non essere riuscito a recuperare i propri dati, nonostante avesse soddisfatto le richieste dell'aggressore.
I decryptor possono fallire su file di grandi dimensioni, come database e file di backup. Anche una crittografia incompleta può causare il fallimento di un decryptor. Se un attacco viene interrotto durante la crittografia, un file può essere alterato senza raggiungere lo stato di crittografia completa previsto dal decryptor, rendendo quest'ultimo incapace di ripristinarlo.
DriveSavers lavora frequentemente con clienti che hanno ottenuto un decryptor, ma necessitano comunque di un recupero dati perché il decryptor non è riuscito a ripristinare i loro dati o ha lasciato i file danneggiati.
La deterrenza e la prevenzione ricevono la maggior parte dell'attenzione, ed è giusto così. Ma le linee guida sulla risposta agli incidenti spesso trattano i servizi di recupero dati da ransomware come un'ultima risorsa, scoperta nel bel mezzo della crisi anziché pianificata in anticipo.
Il momento sbagliato per un'organizzazione per iniziare a pianificare le soluzioni è dopo che i backup sono già stati presi di mira e i metodi di recupero standard hanno fallito. Il tempo è fondamentale in una risposta al ransomware: stabilire se i dati siano recuperabili può richiedere ore o giorni, mentre le decisioni relative alla continuità aziendale e alle trattative sul riscatto potrebbero dover essere prese molto prima.
Chiunque prenda queste decisioni lo fa sotto pressione, e nel piano di risposta dovrebbe già essere presente un fornitore di recupero dati di fiducia. Stiamo osservando che gli assicuratori informatici chiedono se i dati siano recuperabili prima di negoziare il pagamento di un riscatto, quindi indicare un fornitore in anticipo può accelerare l'intero processo di recupero.
Se la tua organizzazione ha bisogno di aiuto per valutare se il recupero dati sia possibile dopo un attacco, offriamo servizi professionali di recupero dati da ransomware, di cui si fidano assicuratori e società di incident response.
Contatta DriveSavers al numero 1 (888) 282-2227.
English (United States) 
English (Australia) 
French (France) 
English (UK) 
French (Canada) 
English (Canada) 
Spanish (Mexico) 
German 
Dutch 
Italian 
Finnish 
Polish 
Norwegian 
Swedish 
Danish 
Spanish (Spain) 
Chinese 
Japanese 
German (Austria)