Backup-urile imuabile au devenit răspunsul preferat pentru organizațiile care încearcă să scape de grupurile de ransomware. Ideea este simplă: blochezi o copie a datelor tale astfel încât să nu poată fi modificată, ștearsă sau criptată, iar atacatorii își pierd pârghia. Dar o postare recentă pe blog a firmei de recuperare a datelor DriveSavers contestă această presupunere, explicând de ce backup-urile imuabile pot fi în continuare compromise, de ce un decriptor nu este întotdeauna plasa de siguranță pe care victimele o așteaptă și unde se potrivește de fapt recuperarea profesională a datelor într-un plan de răspuns la ransomware.

Imuabilitatea este o setare, nu o garanție

Ideea centrală din spatele stocării imuabile este că, odată ce datele sunt scrise, acestea nu pot fi modificate sau eliminate pentru o perioadă stabilită de păstrare, chiar și de către cineva cu acces administrativ. Această protecție este reală, dar depinde în totalitate de modul în care este configurată și gestionată. Dacă politicile de păstrare sunt setate prea scurt, dacă acreditările cu puterea de a dezactiva imuabilitatea sunt compromise sau dacă software-ul de backup este exploatat înainte ca blocarea să intre în vigoare, protecția poate fi anulată sau ocolită complet.

Aceasta este o distincție importantă pentru oricine se bazează pe backup-urile imuabile ca pe o singură linie de apărare. Tehnologia reduce riscul, dar nu elimină erorile umane și de configurare pe care operatorii de ransomware le vizează din ce în ce mai mult. Atacatorii care înțeleg arhitectura de backup vor ataca stratul de gestionare, conturile și ferestrele de sincronizare, mai degrabă decât să încerce să spargă printr-o blocare de nezdruncinat. Acest lucru este în concordanță cu ceea ce cercetătorii în securitate au documentat în alte operațiuni de ransomware, inclusiv grupuri care rulează modelul RaaS al Anubis Ransomware din decembrie 2024, care au arătat un tipar de adaptare a tacticilor la orice apărări implementează organizațiile. Acoperirea mai largă a acestui subiect de către DriveSavers, într-un articol însoțitor despre backup-urile imuabile ca ultima linie de apărare împotriva ransomware-ului, face același punct: imuabilitatea ridică ștacheta, nu o elimină.

Când un decriptor nu te salvează

A doua presupunere pe care postarea DriveSavers o contestă este credința că obținerea sau cumpărarea unui decriptor garantează o recuperare curată. Decriptoarele, fie furnizate de atacator după plată, fie lansate de cercetători care au spart o tulpină mai veche de ransomware, nu sunt o soluție universală. Fișierele pot fi în continuare corupte în timpul procesului de criptare în sine, decriptoarele pot eșua pe anumite tipuri de fișiere sau pe date parțial suprascrise, iar plata nu produce întotdeauna o cheie funcțională.

Acest lucru se potrivește cu constatările din alte cercetări recente privind rezultatele plăților de răscumpărare. Un studiu care acoperă Australia și Noua Zeelandă a constatat că 36% dintre plățile de răscumpărare nu reușesc să restaureze datele, iar o cercetare separată din Marea Britanie a constatat că 22% dintre plătitorii de ransomware se confruntă cu o a doua tentativă de extorcare după ce au plătit deja o dată. Luate împreună, aceste cifre întăresc argumentul DriveSavers: tratarea plății sau a decriptării ca pe un punct final, mai degrabă decât ca pe un punct de plecare, lasă organizațiile expuse la eșecuri repetate.

Unde se potrivește de fapt recuperarea datelor

Aici intervin serviciile profesionale de recuperare a datelor, nu ca înlocuitor pentru backup-uri sau decriptoare, ci ca un strat complementar atunci când ambele eșuează. Când copiile imuabile sunt incomplete, corupte sau inaccesibile, iar un decriptor fie nu există, fie nu restaurează complet fișierele utilizabile, munca specializată de recuperare poate reconstrui uneori datele direct de pe suporturile de stocare deteriorate sau de pe volumele parțial criptate. Este un proces mai lent, mai tehnic decât restaurarea dintr-un backup curat, dar există tocmai pentru decalajul dintre ceea ce promit backup-urile și ceea ce livrează ele în timpul unui incident real.

Amploarea problemei subliniază de ce acest decalaj contează. Activitatea ransomware a continuat să crească la nivel global, datele regionale arătând că organizațiile din Spania reprezintă aproximativ 3% din toate atacurile de ransomware la nivel mondial în 2025. Acest tip de răspândire geografică înseamnă că planificarea backup-ului și recuperării nu mai este o preocupare IT de nișă, ci o cerință operațională de bază pentru organizații de aproape orice dimensiune.

Ce înseamnă asta pentru tine

Atât pentru persoane fizice, cât și pentru afaceri, concluzia nu este că backup-urile imuabile sunt ineficiente. Ci că ele trebuie să fie o parte dintr-o strategie stratificată, mai degrabă decât o garanție independentă. Confidențialitatea și integritatea datelor depind de întregul lanț: cum sunt configurate backup-urile, cine deține accesul administrativ, cât de repede sunt aplicate blocările de imuabilitate după ce datele sunt scrise și ce opțiuni de rezervă există dacă atât backup-ul, cât și orice decriptor eșuează. Organizațiile care tratează stocarea imuabilă ca pe o soluție finală, mai degrabă decât ca pe un sistem întreținut, sunt cele mai susceptibile să îi descopere limitele în timpul unui atac real.

Concluzii acționabile

Revizuiește cine are permisiunile administrative capabile să modifice sau să dezactiveze setările de imuabilitate și limitează acest acces cât mai strict posibil. Testează restaurarea backup-urilor în mod regulat, mai degrabă decât să presupui că imuabilitatea singură înseamnă recuperabilitate. Nu trata un decriptor, cumpărat sau nu, ca pe o soluție confirmată până când fișierele nu au fost efectiv verificate ca fiind intacte. Și păstrează un specialist în recuperarea datelor în planul tău de răspuns la incidente ca opțiune de rezervă, deoarece backup-urile imuabile și decriptoarele au ambele puncte de eșec documentate pe care un proces de recuperare le poate aborda uneori.