Negli ultimi mesi le strategie degli禧hacker che colpiscono le imprese italiane sono cambiate. In passato, un ransomware cifrava i dati appena riusciva a penetrare in rete, e all’azienda bastava ripristinare i file dal giorno precedente per ripartire. Oggi non funziona più così: prima di lanciare l’attacco visibile, i criminali dedicano settimane a localizzare, sabotare e cancellare le copie di sicurezza.
🛡️ La tua azienda è protetta contro i cyber attacchi?
Richiedi un'analisi preliminare delle vulnerabilità per mettere al sicuro i tuoi dati operativi.
Quando un’intrusione ha successo, scatta la cosiddetta fase di permanenza silenziosa (dwell time). Durante questo periodo, l’attaccante si muove tra i computer aziendali per individuare dove risiedono i dati critici.
Cancellazione delle copie shadow: Disattivazione dei punti di ripristino automatici di Windows su client e server.
Scansione delle cartelle di rete condivise: Ricerca dei dischi NAS e delle cartelle denominate “Backup” collegate direttamente ai server.
Compromissione delle console di gestione: Tentativi di accesso con credenziali rubate ai software di salvataggio per svuotare i repository storici.
Solo quando sono certi che l’azienda non abbia un piano di recupero immediato, i malintenzionati bloccano i sistemi ed espongono la richiesta di riscatto, spesso raddoppiata dalla minaccia di pubblicare i dati riservati online. Le comunicazioni e i bollettini diramati dal portale del CSIRT Italia confermano come questa doppia estorsione sia ormai la prassi prevalente.
Per anni il modello di riferimento per proteggere i dati è stato il “3-2-1” (tre copie dei dati, su due supporti diversi, di cui uno delocalizzato). Tuttavia, se la copia remota o su NAS rimane costantemente connessa in rete con permessi di scrittura aperti, il ransomware la raggiungerà e la renderà inutilizzabile come i dati di produzione.
È qui che entra in gioco l’evoluzione della regola: la tecnologia WORM (Write Once, Read Many), ovvero il backup immutabile.
Si tratta di uno spazio di archiviazione (in cloud o su apparato dedicato) in cui i file salvati vengono “congelati” per un intervallo di tempo prestabilito (ad esempio 30 o 60 giorni). Durante questo periodo:
Nessuno può modificare o cancellare i dati: Nemmeno l’amministratore di sistema o un utente con privilegi elevati.
Il ransomware viene neutralizzato: Anche se un malware infetta l’intera infrastruttura, la copia immutabile rimane intatta e subito disponibile per il ripristino.
Test di ripristino a caldo: Effettuare una simulazione di restore completo almeno una volta al mese. Un backup che non è mai stato testato non garantisce la ripartenza.
Isolamento delle credenziali di backup: L’accesso alle console di salvataggio e ai dischi NAS deve essere protetto da credenziali dedicate, diverse da quelle del dominio di rete, e vincolato all’autenticazione a due fattori.
Attivazione dell’immutabilità: Configurare policy di retention con blocco alla scrittura (Object Lock / WORM) per garantire che i salvataggi recenti non siano azzerabili.
Verifica della continuità operativa: Valutare con specialisti l’adozione di soluzioni di backup immutabile e disaster recovery per le imprese, calcolando i tempi effettivi di ripristino (RTO) e la massima perdita di dati tollerabile (RPO).