Backup immutabile e prime 24 ore dopo un ransomware

Da 3-2-1 a 3-2-1-1-0

La regola classica del backup — tre copie, su due supporti diversi, di cui una fuori sede — è stata scritta per un mondo in cui il rischio era l’incendio, il guasto, l’errore umano. Nessuno di questi eventi va a cercare attivamente le copie di sicurezza per distruggerle. Il ransomware sì, e per questo alla regola sono state aggiunte due cifre.

La regola aggiornata

3 copie dei dati, inclusa quella in produzione.
2 supporti di tipo diverso, per non condividere lo stesso modo di guastarsi.
1 copia fuori sede, per gli eventi che colpiscono l’edificio.
1 copia immutabile o non raggiungibile dalla rete: object lock, tecnologia WORM, supporto scollegato. È la copia che il ransomware non può toccare nemmeno con privilegi amministrativi.
0 errori nei test di ripristino: la copia va provata, non presunta. Un backup mai testato è una speranza, non una difesa.

Le due cifre aggiunte rispondono esattamente ai due modi in cui il backup fallisce nella pratica: viene raggiunto e cancellato, oppure esiste ma non si riesce a ripristinarlo nei tempi che servono. Vale la pena di ripetere il punto già toccato nella seconda puntata, perché è quello che decide più esiti di qualsiasi acquisto: se il sistema di backup si autentica sullo stesso dominio che protegge, cade insieme al dominio. Le sue credenziali vanno tenute separate.

L’identità è il nuovo perimetro

Nella seconda puntata abbiamo visto che il 79% degli attacchi passa da un’identità. La conseguenza è che l’autenticazione a più fattori non è più una misura tra le altre: è la misura. Ma va detta con la precisione che l’argomento merita, perché su questo punto circola un dato che nel 2026 non regge più.

«L’autenticazione a due fattori blocca il 99% degli attacchi.» È la cifra più ripetuta nella divulgazione sulla sicurezza, ripresa da una statistica pubblicata anni fa e da allora citata come se fosse una costante di natura.

La rilevazione 2026 di Sophos racconta altro: fra le vittime la cui causa radice erano credenziali compromesse, il 97% aveva l’autenticazione a più fattori attiva in qualche forma al momento dell’attacco. E nei casi seguiti in incident response, l’MFA mancava proprio dove sarebbe servito nel 59% delle situazioni.

Fra le vittime entrate da credenziali rubate, i metodi più diffusi erano le password monouso (52%), le applicazioni con notifica da approvare (51%) e le passkey (51%), con una media di 2,5 metodi attivi per organizzazione. Solo il 3% non aveva alcun fattore aggiuntivo.

Formulazione corretta: l’MFA è necessario ma non sufficiente. Conta soprattutto dove è applicato — accessi remoti, VPN, pannelli di amministrazione, utenze di servizio, non solo la posta — perché una copertura parziale lascia aperta la porta che l’attaccante userà. E conta di che tipo è: i fattori legati crittograficamente al sito, come le chiavi FIDO2 e le passkey, resistono ad attacchi che un codice da digitare o una notifica da approvare non fermano.

Su quest’ultimo punto serve però una cautela: nel campione, la presenza di passkey non ha impedito la violazione. Il che riporta al primo problema — un fattore forte applicato solo ad alcuni sistemi protegge solo quei sistemi.

Le tecniche che aggirano l’MFA debole sono due, entrambe ampiamente documentate. La prima è l’affaticamento da notifica: decine di richieste di approvazione inviate di notte finché qualcuno, per farle smettere, tocca «consenti». La seconda è l’intercettazione in tempo reale attraverso una pagina che si interpone tra l’utente e il servizio autentico, cattura le credenziali e il codice temporaneo e li rigioca immediatamente. Contro entrambe, un fattore legato crittograficamente al dominio del sito funziona; un codice da digitare no.

Metà degli attacchi passa dalla posta

Se email malevole e phishing valgono insieme metà degli incidenti, la posta elettronica merita un investimento proporzionato — e la parte più efficace non costa nulla in licenze, solo un pomeriggio di configurazione DNS.

SPF, DKIM e DMARC sono tre record che dichiarano chi è autorizzato a spedire a nome del proprio dominio, firmano crittograficamente i messaggi in uscita e istruiscono i server riceventi su cosa fare quando la verifica fallisce. Configurati correttamente — con DMARC portato progressivamente da monitoraggio a rifiuto — rendono molto più difficile che qualcuno scriva ai vostri clienti fingendosi voi. È una misura che protegge la vostra reputazione presso terzi, ed è il motivo per cui va trattata come una misura di sicurezza e non come un dettaglio dell’infrastruttura.

La formazione del personale è l’altra metà, e funziona a una condizione: che sia esercizio e non lezione. Una simulazione periodica di phishing, seguita da un debriefing senza colpevolizzazione di chi ha cliccato, produce risultati misurabili. Un corso annuale in aula con le slide sulle password no.

Il protocollo delle prime ore sta in sei gesti. Il secondo — non spegnere — è quello che l’istinto suggerisce di violare.

Le prime 24 ore

Tutto ciò che precede riguarda il prima. Questo riguarda il momento in cui è già successo, quando nessuno ragiona con lucidità e l’istinto suggerisce esattamente le mosse sbagliate.

1 · Isolare Scollegare dalla rete i sistemi coinvolti. Sospendere le sincronizzazioni verso il cloud prima che propaghino i file cifrati.

2 · Non spegnere Lo spegnimento cancella la memoria volatile, dove risiedono tracce essenziali e talvolta chiavi. Isolare non significa spegnere.

3 · Attivare Convocare chi decide, non solo chi ripara. Coinvolgere subito il DPO se nominato e il supporto legale.

4 · Preservare Conservare la richiesta di riscatto, i log, gli orari. Fotografare le schermate. Annotare l’ora esatta della scoperta: da lì decorrono i termini.

5 · Contare Far partire gli orologi della terza puntata: 24 ore al CSIRT se si è in perimetro, 72 al Garante. Anche con informazioni incomplete.

6 · Comunicare Un messaggio unico e concordato verso dipendenti, clienti e fornitori. Il silenzio prolungato produce più danni reputazionali dell’incidente.

Ripristinare subito sopra i sistemi compromessi. Se l’accesso dell’attaccante è ancora attivo, il ripristino serve solo a fornire dati freschi da cifrare una seconda volta. Prima si accerta come sono entrati e si chiude quella via.

Trattare da soli. La negoziazione con un gruppo organizzato non è un’abilità che si improvvisa in stato di stress. Esistono professionisti che se ne occupano, e la prima cosa che fanno è dire di non rispondere per qualche ora.

Prima di pagare: la chiave potrebbe esistere già

Prima di qualsiasi valutazione sul riscatto vale la pena spendere venti minuti su una verifica che quasi nessuno fa. Il progetto No More Ransom, nato dalla collaborazione tra Europol, la polizia olandese e diversi operatori privati di sicurezza, mette a disposizione gratuitamente strumenti di decifratura per decine di famiglie di ransomware: chiavi recuperate durante operazioni di polizia, o ottenute da errori nell’implementazione crittografica dei criminali. Caricando un file cifrato e la richiesta di riscatto, il portale tenta di identificare la variante e indica se esiste un decryptor.

Non funziona per le famiglie più recenti e più curate — sarebbe ingenuo aspettarselo — ma per le varianti più vecchie, che continuano a circolare proprio perché il modello RaaS le rivende a affiliati poco esperti, la probabilità non è trascurabile. È il primo passo, prima ancora di calcolare quanto costerebbe il fermo.

Parallelamente va sporta denuncia. In Italia la competenza è della Polizia Postale, che raccoglie anche elementi utili a ricostruire campagne più ampie. La denuncia non recupera i dati, ma è un atto che ha effetti concreti: sul piano assicurativo, su quello contrattuale verso i clienti, e sulla dimostrazione di aver agito diligentemente qualora l’Autorità valuti la condotta successiva all’incidente.

Se puoi fare solo tre cose

Le tre che pesano di più

Una copia immutabile o scollegata, con credenziali fuori dal dominio, e un test di ripristino completato almeno una volta.
Autenticazione resistente al phishing su tutti gli accessi remoti e amministrativi, non solo sulla posta.
Un piano scritto per le prime ventiquattro ore, con nomi, numeri di telefono e la regola di non spegnere. Due pagine bastano; averle già stampate quando succede vale più di qualsiasi tecnologia acquistata in fretta.

Nessuna di queste tre misure richiede un budget straordinario. Richiedono una decisione e qualche giornata di lavoro. È la ragione per cui, tornando a dove siamo partiti nella prima puntata, questa storia riguarda molto meno la tecnologia di quanto sembri: il ransomware è cresciuto come industria perché dall’altra parte, per anni, l’organizzazione è mancata più degli strumenti.

Fine della serie

Hai letto le quattro puntate di Le nuove rotte del Ransomware. Se il lavoro ti è stato utile, puoi iscriverti alla newsletter per ricevere i prossimi report — il prossimo è già in lavorazione — e trovi la versione video dell’inchiesta sul canale YouTube, con i grafici animati e le sintesi di ciascuna puntata.

Fonti

Fonte	Data	Riferimento
Sophos, The State of Ransomware 2026 — dato sull’MFA nelle vittime da credenziali compromesse	luglio 2026	sophos.com
No More Ransom — repertorio di strumenti di decifratura gratuiti	in aggiornamento	nomoreransom.org
Polizia di Stato — Commissariato di PS online, denuncia di reati informatici	in aggiornamento	commissariatodips.it
ACN — linee guida per la gestione degli incidenti e canali di notifica	2025–2026	acn.gov.it

Nota di trasparenza e metodo. Le indicazioni operative contenute in questa puntata hanno finalità divulgativa e non sostituiscono una valutazione tecnica e legale sul caso concreto. Le percentuali citate provengono da rilevazioni campionarie il cui perimetro è indicato nelle fonti. Chi scrive svolge attività di consulenza in materia di protezione dei dati: l’articolo non contiene riferimenti a incarichi, clienti o documentazione riservata, e non contiene raccomandazioni su prodotti o fornitori specifici.