Ransomware e backup: come proteggere le copie aziendali

Il programma di backup segnala “operazione riuscita”, ma le copie sono raggiungibili dagli stessi PC e dagli stessi account che usi ogni giorno. Se un ransomware o un aggressore ottiene quegli accessi, può tentare di cifrare, modificare o cancellare anche i punti da cui pensavi di ripartire. Il primo controllo non riguarda la marca del NAS: riguarda chi può raggiungere le copie, chi può eliminarle e se esiste una versione precedente all'incidente che sai ripristinare.

Nessuna configurazione offre una garanzia assoluta. Una copia separata, credenziali con privilegi limitati e prove di ripristino riducono però la possibilità che un solo incidente coinvolga tutto. Se i file sono già cifrati, evita di usare il PC sospetto per accedere ai backup o avviare ripristini improvvisati: occorre prima delimitare l'incidente e conservare le copie disponibili.

Come arriva un ransomware fino al backup?

Può raggiungere una destinazione di backup lasciata montata sul PC, una cartella condivisa scrivibile, oppure un servizio gestito con credenziali compromesse. Una sincronizzazione può propagare file già cifrati verso altri dispositivi o il cloud. Nel caso di attacchi condotti da persone, il bersaglio può essere anche la console di amministrazione del backup: cancellare le versioni utili rende più difficile il ripristino.

Per questo “ho una seconda copia” non basta. Occorre sapere se la copia è indipendente dall'ambiente colpito e quali identità possono modificarla. La guida al backup 3-2-1 per il piccolo ufficio spiega come distribuire le copie tra PC, NAS e fuori sede; qui il punto è verificare le vie con cui un attacco può raggiungerle.

Una copia offline aiuta se è davvero scollegata

Una copia offline non è accessibile dalla rete mentre è scollegata. Può essere un supporto esterno usato secondo una procedura di collegamento e rimozione. Una destinazione sempre connessa, anche se isolata con controlli di rete, non diventa per questo offline. Un disco USB lasciato sempre collegato al PC non offre la stessa separazione: se il sistema compromesso può scriverci, anche la copia può essere esposta.

La separazione richiede un processo: chi esegue il backup, dove viene custodito il supporto, quando viene aggiornato e come si controlla che contenga una versione utile. Una copia scollegata ma troppo vecchia può lasciare scoperto molto lavoro. Inoltre nessun HDD, SSD o NAS è immune da guasti; i dati importanti richiedono più di un punto di recupero, con almeno una copia separata.

Che cosa significa backup immutabile?

Una copia immutabile è conservata con regole che impediscono di modificarla o cancellarla prima della scadenza prevista. La protezione dipende però dal servizio, dalla configurazione, dai permessi e dalla durata impostata: la parola “immutabile” sulla scheda commerciale non dimostra da sola che la tua copia sia protetta. Le funzioni vanno verificate nell'ambiente realmente usato.

L'immutabilità non rende puliti file già cifrati prima del salvataggio, non corregge dati esclusi dal backup e non sostituisce una prova di ripristino. Serve anche una cronologia abbastanza lunga da raggiungere una versione precedente all'incidente. Prima di scegliere retention e destinazione, valuta quanti dati devono essere conservati, per quanto tempo servono e chi può cambiare quelle regole.

Se non sai quali copie restano raggiungibili dagli account dei PC o chi può cancellarle, puoi richiedere una verifica della strategia di backup del tuo ufficio. La valutazione parte dalle destinazioni e dai permessi effettivi, senza presumere che una funzione di immutabilità sia già disponibile.

Gli account di backup sono separati dagli account dei PC?

Se lo stesso amministratore può gestire postazioni, NAS e cancellazione delle copie, la compromissione di quell'identità può superare molte barriere. Verifica che il lavoro quotidiano usi privilegi limitati, che l'amministrazione del backup sia separata dove possibile e che le azioni distruttive richiedano protezioni adeguate. L'autenticazione multifattore è utile per gli accessi amministrativi, ma va accompagnata da permessi, registrazione degli eventi e modalità di recupero degli account.

Non lasciare password o chiavi necessarie al restore in una cartella sincronizzata con gli stessi PC. Allo stesso tempo, documenta come le persone autorizzate possano recuperarle quando servono: una copia integra ma inaccessibile non risolve l'emergenza. Le procedure e i ruoli vanno verificati caso per caso, senza inviare credenziali nel primo messaggio di assistenza.

Come verificare che il backup sia ripristinabile?

Una prova utile seleziona una versione nota, ripristina un campione in un ambiente controllato e verifica che i file si aprano, che siano quelli attesi e che gli accessi necessari siano disponibili. Per i sistemi critici può servire una prova più ampia, concordata senza sovrascrivere la copia di lavoro. Registra data, versione, dati provati, esito ed eventuali elementi esclusi.

Controlla anche gli avvisi: un'interruzione dei backup, un numero anomalo di file modificati o un tentativo di cambiare la retention devono arrivare a qualcuno che possa intervenire. Un alert che nessuno legge non protegge le copie. Le prove vanno ripetute dopo modifiche importanti a dati, applicativi, account o destinazioni.

Checklist per un piccolo ufficio

• Destinazioni: individua quali copie sono sempre raggiungibili da PC, server o NAS e quale resta separata.
• Accessi: elenca gli account che possono scrivere, cancellare, modificare retention o disattivare gli avvisi.
• Versioni: verifica quanto indietro puoi tornare e se la versione scelta precede un possibile incidente.
• Copertura: controlla che siano inclusi dati e configurazioni necessari al lavoro, anche fuori dalle cartelle più ovvie.
• Ripristino: prova file e sistemi rappresentativi in modo controllato, documentando ciò che è stato realmente verificato.
• Custodia: conserva separatamente le istruzioni e le credenziali di emergenza, con accesso per le persone autorizzate.

Un NAS con RAID può mantenere disponibili i dati in alcuni guasti ai dischi, ma non impedisce che file cifrati o cancellati si riflettano nella cartella condivisa. La guida RAID 1 non è un backup chiarisce questa distinzione. Anche la sincronizzazione fra PC e NAS richiede una copia indipendente e versionata.

Se sospetti un attacco, puoi già ripristinare?

No: prima va verificato se l'incidente è ancora attivo e quali sistemi sono coinvolti. Usare account o postazioni compromesse per aprire i backup può esporre anche le copie rimaste. Se noti file improvvisamente illeggibili, note di riscatto o modifiche anomale, interrompi l'uso dei sistemi sospetti secondo le procedure aziendali, annota ciò che osservi e coinvolgi il referente IT. Evita di cancellare prove o di sovrascrivere gli originali con un restore non pianificato.

Per un'azienda di Torino e provincia, richiedi a TecnoTorino e Unico System una valutazione della strategia di backup aziendale: indica PC, NAS, dati, copie esistenti e ultima prova di ripristino, senza inviare credenziali. L'effettiva configurazione e il preventivo dipendono dal caso. Il laboratorio è in C.so Unione Sovietica 322/A, 10135 Torino; il numero indicato nella pagina Contattaci è 011 20.77.662. Per il contesto dell'assistenza consulta anche i servizi IT per aziende.

Domande frequenti

Un backup nel cloud è automaticamente al sicuro dal ransomware?

No. Bisogna controllare sincronizzazione, versioni, permessi, retention e capacità di ripristino. Anche l'account che gestisce la copia può essere compromesso.

Un disco esterno sempre collegato è una copia offline?

No. Se il PC può scriverci mentre è collegato, un incidente su quel PC può coinvolgere anche il disco. Serve una procedura che preveda separazione e controlli.

Immutabile significa impossibile perdere i dati?

No. Una retention correttamente configurata può impedire modifiche o cancellazioni anticipate, ma non corregge backup incompleti, dati già alterati o errori di ripristino.

Basta conservare più versioni sullo stesso NAS?

No. Le versioni possono aiutare contro modifiche indesiderate, ma un guasto, un account compromesso o la perdita dell'intero NAS possono coinvolgerle. Occorre almeno una copia separata.

Che cosa devo preparare per chiedere una verifica?

Un elenco dei sistemi, dei dati essenziali, delle destinazioni di backup e dell'ultima prova di restore. Non inviare password, chiavi o documenti riservati nel primo contatto.