Perché i backup immutabili vengono ancora colpiti dal ransomware

I backup immutabili sono diventati la risposta preferita per le organizzazioni che cercano di stare al passo con le gang di ransomware. Il messaggio è semplice: blocca una copia dei tuoi dati così che non possa essere modificata, eliminata o crittografata, e gli attaccanti perdono la loro leva. Ma un recente articolo del blog dell'azienda di recupero dati DriveSavers mette in discussione questa ipotesi, spiegando perché i backup immutabili possono ancora essere compromessi, perché un decrittatore non è sempre la rete di sicurezza che le vittime si aspettano, e dove il recupero dati professionale si inserisce realmente in un piano di risposta al ransomware.

L'immutabilità è un'impostazione, non una garanzia

L'idea alla base dello storage immutabile è che una volta scritti, i dati non possono essere modificati o rimossi per un periodo di conservazione prestabilito, nemmeno da chi dispone di accesso amministrativo. Questa protezione è reale, ma dipende interamente da come viene configurata e gestita. Se le policy di conservazione sono impostate su periodi troppo brevi, se le credenziali con il potere di disabilitare l'immutabilità vengono compromesse, o se il software di backup stesso viene sfruttato prima che il blocco abbia effetto, la protezione può essere annullata o aggirata del tutto.

Questa è una distinzione significativa per chiunque faccia affidamento sui backup immutabili come unica linea di difesa. La tecnologia riduce il rischio, ma non elimina gli errori umani e di configurazione che gli operatori di ransomware prendono sempre più di mira. Gli attaccanti che comprendono l'architettura dei backup punteranno al livello di gestione, agli account e alle finestre temporali piuttosto che provare a forzare un blocco infrangibile. Questo è in linea con quanto documentato dai ricercatori di sicurezza in altre operazioni ransomware, inclusi i gruppi che gestiscono il modello RaaS di Anubis Ransomware da dicembre 2024, che hanno mostrato un modello di adattamento delle tattiche a qualunque difesa le organizzazioni mettano in atto. La copertura più ampia di DriveSavers su questo argomento, in un articolo complementare sui backup immutabili come ultima linea di difesa contro il ransomware, fa lo stesso punto: l'immutabilità alza l'asticella, non la elimina.

Quando un decrittatore non ti salverà

Una seconda ipotesi che l'articolo di DriveSavers mette in discussione è la convinzione che ottenere o acquistare un decrittatore garantisca un recupero pulito. I decrittatori, siano essi forniti dall'attaccante dopo il pagamento o rilasciati da ricercatori che hanno decifrato un ceppo di ransomware più vecchio, non sono una soluzione universale. I file possono comunque essere corrotti durante il processo di crittografia stesso, i decrittatori possono fallire su determinati tipi di file o su dati parzialmente sovrascritti, e il pagamento non sempre produce una chiave funzionante.

Questo corrisponde ai risultati di altre ricerche recenti sugli esiti dei pagamenti di riscatto. Uno studio che copre Australia e Nuova Zelanda ha rilevato che il 36% dei pagamenti di riscatto non riesce a ripristinare i dati, e una ricerca separata nel Regno Unito ha rilevato che il 22% di chi paga il ransomware affronta un secondo tentativo di estorsione dopo aver già pagato una volta. Nell'insieme, questi numeri rafforzano l'argomento di DriveSavers: trattare il pagamento o la decrittazione come un punto di arrivo piuttosto che di partenza lascia le organizzazioni esposte a fallimenti ripetuti.

Dove si inserisce realmente il recupero dati

È qui che entrano in gioco i servizi professionali di recupero dati, non come sostituto di backup o decrittatori, ma come livello complementare quando entrambi falliscono. Quando le copie immutabili sono incomplete, corrotte o irraggiungibili, e quando un decrittatore non esiste o non ripristina completamente i file utilizzabili, il lavoro specializzato di recupero può talvolta ricostruire i dati direttamente da supporti di storage danneggiati o da volumi parzialmente crittografati. È un processo più lento e più tecnico rispetto al ripristino da un backup pulito, ma esiste proprio per colmare il divario tra ciò che i backup promettono e ciò che offrono durante un incidente reale.

La scala del problema sottolinea perché quel divario conta. L'attività ransomware ha continuato a crescere a livello globale, con dati regionali che mostrano come le organizzazioni in Spagna rappresentino circa il 3% di tutti gli attacchi ransomware nel mondo nel 2025. Questo tipo di diffusione geografica significa che la pianificazione di backup e recupero non è più una questione IT di nicchia, ma un requisito operativo di base per organizzazioni di quasi ogni dimensione.

Cosa significa per te

Per individui e aziende, il messaggio non è che i backup immutabili siano inefficaci. È che devono essere una parte di una strategia a più livelli piuttosto che una garanzia autonoma. La privacy e l'integrità dei dati dipendono dall'intera catena: come sono configurati i backup, chi detiene l'accesso amministrativo, quanto velocemente vengono applicati i blocchi di immutabilità dopo la scrittura dei dati, e quali opzioni di ripiego esistono se sia il backup che qualsiasi decrittatore falliscono. Le organizzazioni che trattano lo storage immutabile come una soluzione finita piuttosto che come un sistema mantenuto sono quelle che con maggiore probabilità scopriranno i suoi limiti durante un attacco reale.

Punti di azione pratici

Verifica chi possiede i permessi amministrativi in grado di modificare o disabilitare le impostazioni di immutabilità, e limita quell'accesso il più possibile. Testa regolarmente il ripristino dei backup invece di presumere che l'immutabilità da sola significhi recuperabilità. Non trattare un decrittatore, acquistato o meno, come una soluzione confermata finché i file non sono stati effettivamente verificati come intatti. E tieni uno specialista di recupero dati nel tuo piano di risposta agli incidenti come opzione di ripiego, poiché sia i backup immutabili che i decrittatori hanno punti di fallimento documentati che un processo di recupero può talvolta ancora affrontare.