I ransomware sono tra le minacce informatiche più insidiose, poiché non si limitano a cifrare i file sul tuo computer, ma cercano attivamente di infettare e distruggere anche i tuoi backup. Se i backup sono raggiungibili dalla rete, il malware li renderà inutilizzabili, annullando la tua principale rete di sicurezza.
Per proteggere i tuoi backup dai ransomware devi applicare la regola del 3-2-1-1-0 e implementare copie “immutabili” o offline (air-gapped), impedendo al malware di modificarle o cancellarle anche in caso di infezione totale della rete aziendale o domestica.
📌 In sintesi
- Il rischio: I ransomware moderni prendono di mira i backup per costringerti a pagare il riscatto.
- La soluzione d’oro: Diversificare le copie e isolarle dalla rete (Backup offline/Air-gapping).
- La regola da seguire: Evoluzione del 3-2-1, introducendo l’immutabilità del dato.
- Cosa fare subito: Scollegare i vecchi hard disk esterni dopo il backup e attivare la Object Lock sul cloud.
1. Prevenzione: Come progettare un sistema di backup a prova di ransomware
La prevenzione non consiste solo nell’evitare il malware, ma nel progettare un’architettura di conservazione dei dati che presuppone che, prima o poi, un attacco avverrà.
- Come capire se hai subito un attacco ransomware: segnali e cosa fare subito
- Come fare il backup automatico del PC su cloud e locale
- Ransomware cosa fare in caso di attacco
La regola del 3-2-1-1-0
Per una sicurezza a prova di bomba, la classica regola del 3-2-1 si è evoluta:
- 3 copie dei dati: L’originale più due copie di riserva.
- 2 supporti diversi: Ad esempio, un NAS locale e il Cloud.
- 1 copia fuori sede: Per proteggerti da incendi, furti o disastri fisici.
- 1 copia offline (Air-gapped) o Immutabile: Una copia completamente isolata dalla rete o protetta da logiche di scrittura WORM (Write Once, Read Many).
- 0 errori: Verificando e testando regolarmente il ripristino dei dati.
L’importanza dei Backup Immutabili (Object Lock)
Se utilizzi il cloud (come AWS S3, Backblaze, Azure), attiva la funzione di immutabilità. Questa tecnologia blocca i file per un periodo di tempo prestabilito (es. 30 giorni). Durante questo arco di tempo, nessuno – nemmeno un amministratore con pieni poteri o un ransomware che ha rubato le tue credenziali – può cancellare o modificare quei dati.
2. Riconoscimento: Capire se il ransomware sta colpendo i tuoi backup
I ransomware moderni sono silenti. Prima di palesarsi con la schermata di riscatto, analizzano la rete per giorni. Ecco come accorgersi delle anomalie:
- Picchi insoliti di traffico di rete: Grandi volumi di dati trasferiti verso il cloud o il NAS in orari insoliti.
- Modifiche massive dei file: Se il tuo software di backup segnala improvvisamente che milioni di file sono stati “modificati” e devono essere aggiornati, potrebbe essere in corso la cifratura.
- Fallimento improvviso dei backup: Errori sistematici nei log di sincronizzazione dovuti a permessi modificati o file d’origine bloccati.
3. Azione: Cosa fare se si sospetta un attacco
Se ti accorgi che il ransomware è in azione, la tempestività è tutto per salvare i backup residui.
📋 Lista delle azioni immediate
- Isola la macchina: Scollega immediatamente il computer compromesso dalla rete Wi-Fi o stacca il cavo Ethernet. Non spegnerlo brutalmente se non necessario, ma isolalo dal mondo.
- Scollega i supporti fisici: Stacca istantaneamente hard disk esterni o chiavette USB collegate al computer infetto.
- Sospendi le sincronizzazioni Cloud: Accedi al tuo pannello cloud da un dispositivo sicuro (es. lo smartphone via rete dati cellulare) e metti in pausa o revoca i permessi di sincronizzazione dell’app desktop.
- Non sovrascrivere: Non avviare nuovi backup manuali per evitare di copiare i file già cifrati sopra le vecchie versioni sane.
FAQ – Domande Frequenti
Un hard disk esterno sempre collegato al PC è sicuro?
No. Se l’hard disk è collegato tramite USB, il ransomware lo vedrà come una normale cartella di sistema e cifrerà tutti i dati al suo interno. Bisogna collegarlo solo per il tempo strettamente necessario al backup e poi scollegarlo fisicamente.
I backup su Google Drive, OneDrive o Dropbox sono protetti?
Solo parzialmente. Se i file sul PC vengono cifrati, l’applicazione desktop sincronizzerà i file cifrati nel cloud. Tuttavia, questi servizi offrono una “Cronologia versioni”. Potrai ripristinare lo stato precedente, a patto che il ransomware non abbia preso il controllo dell’account Cloud stesso o eliminato il cestino.
Cos’è il backup “Air-Gapped”?
L’Air-gapping è una misura di sicurezza che consiste nell’isolare fisicamente una copia del backup da qualsiasi rete (Internet o locale). Se non c’è connessione fisica o wireless, il ransomware non può raggiungerla.
