Atacatorii rescriu manualul ransomware-ului

Timp de ani de zile, sfatul standard pentru a supraviețui unui atac ransomware a fost simplu: păstrează copii de rezervă bune și îți poți restaura sistemele fără să plătești o răscumpărare. Acest sfat nu mai este suficient de unul singur. Un nou raport de la Helixstorm evidențiază o schimbare îngrijorătoare în atacurile ransomware asupra copiilor de rezervă: actorii amenințărilor vânează acum infrastructura de backup înainte de a atinge vreun fișier de producție.

Conform raportului, atacatorii vânează consola de backup înainte de a atinge un singur fișier, scurtează ferestrele de retenție în loc să șteargă complet copiile de rezervă și corup datele de recuperare în liniște, astfel încât victimele să nu-și dea seama că plasa lor de siguranță a dispărut până când este prea târziu. Aceasta este o strategie deliberată. Dacă o companie își poate restaura sistemele din copiile de rezervă, cererea de răscumpărare își pierde pârghia. Așa că atacatorii s-au adaptat asigurându-se că recuperarea nu este o opțiune.

Această tactică nu a apărut peste noapte. Operatorii de ransomware au petrecut ani de zile perfecționând metodele de dublă extorcare, unde datele furate sunt folosite ca pârghie suplimentară chiar și după criptare, așa cum se vede în cazuri precum abordarea de dublă extorcare a ransomware-ului CRPx0. Vizarea copiilor de rezervă în primul rând este pur și simplu următorul pas logic: elimină opțiunile victimei înainte ca atacul să devină chiar vizibil.

De ce acest lucru contează pentru confidențialitate, nu doar pentru funcționare

Cea mai mare parte a acoperirii mediatice a ransomware-ului care vizează copiile de rezervă se concentrează pe continuitatea afacerii: cât timp rămân sistemele indisponibile, cât costă o răscumpărare, cât de repede reîncep operațiunile. Dar există o dimensiune a confidențialității care merită mai multă atenție.

Când atacatorii compromit o consolă de backup, nu doar amenință capacitatea ta de a recupera fișiere. De multe ori, ei obțin acces la copii istorice de date sensibile, inclusiv înregistrări ale clienților, detalii financiare, informații medicale sau date personale ale angajaților care pot fi fost șterse de pe sistemele live, dar care există încă în arhivele de backup. O copie de rezervă coruptă sau exfiltrată poate expune luni sau ani de informații personale reținute dintr-o dată, mult mai mult decât ceea ce ar putea exista pe un singur server de producție.

Aceasta face parte dintr-un tipar mai larg al grupurilor de ransomware care își adaptează modelele de afaceri pentru a maximiza pârghia. Avertismentul recent al FBI despre extinderea ransomware-ului Gunra într-un model complet de ransomware-ca-serviciu arată cât de repede se răspândesc aceste tactici odată ce se dovedesc eficiente. Când un grup găsește succes atacând mai întâi sistemele de recuperare, tehnica este ambalată și vândută către afiliați, multiplicând numărul de organizații care se confruntă cu aceeași amenințare.

Organizațiile mai mici nu sunt exceptate. Cercetările privind creșterea detecțiilor de ransomware în rândul întreprinderilor mici și mijlocii, inclusiv constatări din India de la începutul anului 2026, sugerează că atacatorii aruncă o plasă largă în loc să se concentreze doar pe întreprinderile mari. Infrastructura de backup la companiile mai mici este frecvent mai puțin monitorizată și mai puțin segmentată, făcând-o o țintă mai ușoară pentru această tactică exactă.

Argumentul pentru recuperare imutabilă și izolată fizic (air-gapped)

Raportul Helixstorm indică sistemele de backup imutabile și izolate fizic ca fiind cea mai puternică apărare împotriva acestei tendințe. Copiile de rezervă imutabile nu pot fi modificate sau șterse, chiar și de cineva cu credențiale administrative, pentru o perioadă de retenție stabilită. Copiile de rezervă izolate fizic sunt izolate fizic sau logic de rețeaua principală, ceea ce înseamnă că un atacator care compromite sistemele de producție nu poate pur și simplu să pivoteze în mediul de backup.

Împreună, aceste două abordări închid decalajul pe care grupurile de ransomware au învățat să îl exploateze. Dacă atacatorii nu pot ajunge la sau modifica o copie de rezervă, scurtarea ferestrelor de retenție sau coruperea punctelor de recuperare devine mult mai dificilă. Aceasta nu elimină riscul în totalitate, dar elimină cea mai ușoară cale pe care atacatorii o folosesc în prezent pentru a-i dezbrăca pe victime de pârghia lor.

La nivel de industrie, acesta este un semn că ransomware-ul nu a încetinit, ci pur și simplu a evoluat. Analizele recente care arată că activitatea ransomware s-a rearanjat mai degrabă decât a scăzut în 2025 susțin această idee. Atacatorii nu dispar; ei rafinează care părți din infrastructura unei organizații le vizează mai întâi.

Ce înseamnă acest lucru pentru tine

Dacă gestionezi infrastructura IT pentru o afacere, sau chiar doar supraveghezi copiile de rezervă pentru o echipă mică, această schimbare modifică ceea ce înseamnă „igienă bună a backup-urilor". Nu mai este suficient să rulezi copii de rezervă regulate. Trebuie să verifici că acele copii de rezervă sunt efectiv protejate împotriva manipulării, că accesul la consolele de backup este strict restricționat și monitorizat și că punctele de recuperare sunt testate în mod regulat, nu doar presupuse că funcționează.

Pentru consumatorii obișnuiți, concluzia este mai indirectă, dar totuși importantă. Când o companie cu care faci afaceri suferă un atac ransomware care compromite și copiile sale de rezervă, amploarea datelor personale expuse poate fi mai mare decât cea raportată inițial. Merită să fii atent la notificările de încălcare a securității datelor care menționează în mod specific sistemele de backup sau arhivare, deoarece aceasta semnalează adesea o expunere mai largă a datelor decât o încălcare tipică a unui singur sistem.

Concluzii cheie

Atacurile ransomware asupra copiilor de rezervă reprezintă o schimbare semnificativă în modul în care aceste amenințări operează, iar implicațiile depășesc timpul de nefuncționare și plățile de răscumpărare. Organizațiile ar trebui să auditeze dacă copiile lor de rezervă sunt cu adevărat imutabile și izolate de rețeaua principală, să verifice cine are acces la consolele de gestionare a backup-urilor și să testeze procedurile de recuperare în mod regulat, în loc să trateze copiile de rezervă ca pe o plasă de siguranță de tipul „setează și uită". Consumatorii ar trebui să rămână vigilenți la modul în care companiile descriu amploarea oricărei încălcări, în special când sunt menționate sistemele de backup, deoarece aceasta indică adesea un volum mai mare de date personale expuse decât sugerează titlul inițial.