Nepromjenjive sigurnosne kopije postale su glavni odgovor organizacija koje pokušavaju pobjeći ransomware bandama. Ponuda je jednostavna: zaključajte kopiju svojih podataka tako da se ne može izmijeniti, izbrisati ili enkriptirati, i napadači gube svoju polugu. No nedavni blog post tvrtke za oporavak podataka DriveSavers dovodi u pitanje tu pretpostavku, objašnjavajući zašto nepromjenjive sigurnosne kopije i dalje mogu biti kompromitirane, zašto dekriptor nije uvijek sigurnosna mreža koju žrtve očekuju te gdje profesionalni oporavak podataka zapravo odgovara u planu odgovora na ransomware.

Nepromjenjivost je postavka, ne jamstvo

Temeljna ideja nepromjenjivog pohranjivanja jest da se jednom zapisani podaci ne mogu promijeniti ili ukloniti tijekom zadanog razdoblja zadržavanja, čak ni od strane nekoga s administratorskim pristupom. Ta je zaštita stvarna, ali u potpunosti ovisi o tome kako je konfigurirana i upravljana. Ako su pravila zadržavanja postavljena prekratko, ako su vjerodajnice s ovlastima za onemogućavanje nepromjenjivosti kompromitirane ili ako je sam softver za sigurnosne kopije iskorišten prije nego što zaključavanje stupi na snagu, zaštita se može poništiti ili potpuno zaobići.

Ovo je značajna razlika za svakoga tko se oslanja na nepromjenjive sigurnosne kopije kao jedinu liniju obrane. Tehnologija smanjuje rizik, ali ne eliminira ljudske pogreške i pogreške u konfiguraciji koje ransomware operateri sve više ciljaju. Napadači koji razumiju arhitekturu sigurnosnih kopija ciljat će upravljački sloj, račune i vremenske prozore, umjesto da pokušavaju nasilno probiti neprobojno zaključavanje. To je u skladu s onim što su istraživači sigurnosti dokumentirali u drugim ransomware operacijama, uključujući grupe koje vode Anubis Ransomwareov RaaS model od prosinca 2024., koje su pokazale obrazac prilagodbe taktika obranama koje organizacije postave. Širi opseg ove teme od strane DriveSaversa, u popratnom članku o nepromjenjivim sigurnosnim kopijama kao posljednjoj liniji obrane od ransomwarea, iznosi istu poantu: nepromjenjivost podiže ljestvicu, ali je ne uklanja.

Kada vas dekriptor neće spasiti

Druga pretpostavka koju DriveSavers post dovodi u pitanje jest uvjerenje da nabava ili kupnja dekriptora jamči čist oporavak. Dekriptori, bilo da ih je napadač pružio nakon plaćanja ili su ih objavili istraživači koji su razbili stariji soj ransomwarea, nisu univerzalno rješenje. Datoteke i dalje mogu biti oštećene tijekom samog procesa enkripcije, dekriptori mogu zakazati na određenim vrstama datoteka ili djelomično prepisanim podacima, a plaćanje ne proizvede uvijek radni ključ.

To se podudara s nalazima drugih nedavnih istraživanja o ishodima isplata otkupnina. Studija koja pokriva Australiju i Novi Zeland otkrila je da 36% isplata otkupnina ne uspijeva vratiti podatke, a zasebno istraživanje u UK-u otkrilo je da se 22% onih koji plate ransomware suočava s drugom ucjena nakon što su već jednom platili. Zajedno, ove brojke pojačavaju argument DriveSaversa: tretiranje plaćanja ili dešifriranja kao krajnje točke, a ne početne, ostavlja organizacije izložene ponovljenim neuspjesima.

Gdje oporavak podataka zapravo odgovara

Ovdje ulaze profesionalne usluge oporavka podataka, ne kao zamjena za sigurnosne kopije ili dekriptore, već kao komplementarni sloj kada oboje podbace. Kada su nepromjenjive kopije nepotpune, oštećene ili nedostupne, i kada dekriptor ili ne postoji ili ne uspije u potpunosti vratiti upotrebljive datoteke, specijalizirani oporavak ponekad može rekonstruirati podatke izravno s oštećenih medija za pohranu ili djelomično enkriptiranih volumena. To je sporiji, tehnički zahtjevniji proces od vraćanja iz čiste sigurnosne kopije, ali postoji upravo za jaz između onoga što sigurnosne kopije obećavaju i onoga što isporučuju tijekom stvarnog incidenta.

Razmjer problema naglašava zašto je taj jaz važan. Ransomware aktivnosti nastavile su rasti globalno, s regionalnim podacima koji pokazuju da organizacije u Španjolskoj čine otprilike 3% svih ransomware napada u svijetu u 2025.. Takva geografska rasprostranjenost znači da planiranje sigurnosnih kopija i oporavka više nije nišna IT briga, već osnovni operativni zahtjev za organizacije gotovo svih veličina.

Što to znači za vas

Za pojedince i tvrtke jednako, zaključak nije da su nepromjenjive sigurnosne kopije neučinkovite. Već da moraju biti jedan dio slojevite strategije, a ne samostalno jamstvo. Privatnost i cjelovitost podataka ovise o cijelom lancu: kako su sigurnosne kopije konfigurirane, tko ima administratorski pristup, koliko brzo se zaključavanja nepromjenjivosti primjenjuju nakon što su podaci zapisani te koje opcije za povrat postoje ako i sigurnosna kopija i bilo koji dekriptor zakažu. Organizacije koje tretiraju nepromjenjivo pohranjivanje kao gotovo rješenje, a ne kao održavani sustav, najvjerojatnije će otkriti njegova ograničenja tijekom stvarnog napada.

Praktični zaključci

Pregledajte tko ima administratorske ovlasti koje mogu izmijeniti ili onemogućiti postavke nepromjenjivosti i ograničite taj pristup što je više moguće. Redovito testirajte vraćanje sigurnosnih kopija umjesto da pretpostavljate da sama nepromjenjivost znači mogućnost oporavka. Ne tretirajte dekriptor, kupljen ili na drugi način, kao potvrđeno rješenje dok datoteke zapravo nisu verificirane kao netaknute. I zadržite stručnjaka za oporavak podataka u svom planu odgovora na incidente kao rezervnu opciju, budući da i nepromjenjive sigurnosne kopije i dekriptori imaju dokumentirane točke kvara koje postupak oporavka ponekad još uvijek može riješiti.