Backup immutabile: perché la regola del 3-2-1 non basta più

Per vent’anni il backup è stato una copia: la facevi, la mettevi da parte, speravi di non doverla usare mai. Oggi il backup è un bersaglio. Nel 2024 il 94% delle aziende colpite da un ransomware ha dichiarato che gli attaccanti hanno cercato di compromettere anche i backup, e in oltre la metà dei casi ci sono riusciti. La regola del 3-2-1 non è sbagliata: è stata pensata contro gli incendi e i guasti, che non vanno a cercare la seconda copia. Chi ti attacca oggi la cerca.

Il numero che ha cambiato tutto

Comincio dalla ricerca più recente, perché contiene la frase che tiene insieme tutto il resto di questo articolo. Nel report State of Ransomware 2026 di Sophos, pubblicato a luglio, il 79% degli attacchi ransomware è partito da un’identità compromessa: non da una vulnerabilità esotica, ma da credenziali valide finite nelle mani sbagliate. L’indagine è stata condotta da Vanson Bourne nel primo trimestre del 2026 su 2.158 responsabili informatici in diciassette paesi, Italia compresa.

Fermiamoci un attimo su cosa significa davvero. Se chi entra ha in mano l’account dell’amministratore, ha anche i permessi dell’amministratore sul sistema di backup. Tutte le protezioni che si reggono sulla frase «solo l’amministratore può cancellare quei file» smettono di funzionare nel momento esatto in cui l’amministratore è lui.

È da qui che nasce tutto quello che segue.

Nove attacchi su dieci passano prima dal backup

Sophos ha dedicato al tema un’indagine specifica, The Impact of Compromised Backups on Ransomware Outcomes, su 2.974 professionisti di aziende colpite. I numeri raccontano una strategia precisa, non una coincidenza.

C’è un dato che spiega perché lo fanno, ed è il più eloquente di tutti: alle aziende con i backup compromessi è stato chiesto un riscatto mediano di 2,3 milioni di dollari, contro il milione chiesto a chi aveva ancora le copie. Più del doppio, per lo stesso tipo di attacco.

Non è vendetta né dispetto. È che il prezzo lo fa la tua alternativa. Se hai una copia da cui ripartire, la cifra è trattabile: hai una via d’uscita. Se non ce l’hai, l’unica via d’uscita è quella che vendono loro, e costa quello che decidono loro. Distruggere il backup non fa parte dell’attacco: è la parte che stabilisce il prezzo.

In Italia non è un problema teorico

L’Agenzia per la cybersicurezza nazionale ha contato 181 eventi ransomware a danno di soggetti italiani nei primi sei mesi del 2026, contro i 206 dello stesso periodo del 2025: un calo del 12%, che è una buona notizia ma resta un’azienda o un ente colpito ogni giorno, festivi inclusi. I settori più esposti sono il manifatturiero, il commercio al dettaglio e quello tecnologico: piccole e medie imprese, in gran parte.

Un calo del 12% non vuol dire che il problema stia passando. Vuol dire che gli attacchi sono diventati più selettivi.

Perché il 3-2-1 era giusto e oggi non basta

La regola del 3-2-1 — tre copie, su due supporti diversi, una fuori sede — nasce nel mondo della fotografia digitale e ha protetto i dati di mezzo mondo per vent’anni. Continua ad avere senso: se ne parlo diffusamente nell’articolo su come fare il backup in modo che serva davvero, ed è ancora il punto di partenza giusto.

Ma va capito contro cosa era stata pensata. Contro l’incendio, il furto, il disco che si rompe, la cancellazione per sbaglio. Sono tutti eventi che hanno una caratteristica in comune: sono ciechi. Un incendio brucia quello che trova nella stanza, non va a cercare in cantina la copia che hai messo via. Un disco che si rompe non ha idea che ne esista un secondo.

Un attaccante sì. Entra, resta nella rete giorni o settimane, guarda che software di backup usi, trova dove scrivono le copie, si prende le credenziali che servono e cancella le copie prima di far partire la cifratura. Nell’ordine giusto: prima toglie l’alternativa, poi presenta il conto.

La regola del 3-2-1 risponde alla domanda «e se perdo i dati?». La domanda di oggi è diversa: «e se qualcuno vuole che io perda i dati?».

Deadbolt: il NAS comprato apposta per il backup

Il caso che spiega meglio il cambiamento è del gennaio 2022 e riguarda i NAS QNAP, quelle scatole con dentro i dischi che moltissime famiglie e piccoli studi comprano proprio per tenerci le copie.

Il ransomware Deadbolt non si comportava come gli altri. Invece di cifrare tutto quello che trovava, si concentrava sui dischi di backup, e poi sostituiva la schermata di accesso del dispositivo con la richiesta di riscatto. Chi apriva il pannello del proprio NAS non trovava i suoi file: trovava il conto. Oltre 3.600 dispositivi risultarono colpiti nel giro di pochi giorni, in gran parte in Europa e negli Stati Uniti; QNAP pubblicò un avviso di sicurezza e arrivò a forzare un aggiornamento del firmware sui dispositivi dei clienti.

La lezione è scomoda ma semplice. Un NAS raggiungibile da internet non è un armadio: è un computer esposto su internet, con un sistema operativo che va aggiornato come tutti gli altri. E se ci tieni dentro l’unica copia dei tuoi dati, l’hai messa sulla macchina più esposta che hai.

Quando entrano dal software di backup

C’è un gradino ancora più alto: attaccare direttamente il programma che fa i backup.

Nel settembre 2024 è stata corretta la CVE-2024-40711 in Veeam Backup & Replication, uno dei sistemi di backup aziendali più diffusi al mondo. Gravità 9.8 su 10: permetteva di eseguire codice sul server di backup senza nemmeno doversi autenticare. Nel giro di poche settimane i gruppi Akira e Fog la stavano già sfruttando, e poco dopo Sophos ha documentato un altro ransomware, Frag, che usava la stessa strada.

Il dettaglio che conta è come ci arrivavano: in tutti i casi analizzati l’ingresso iniziale era una VPN senza verifica in due passaggi, a volte con software non più supportato. Credenziali valide, di nuovo. Il 79% di prima, visto da vicino.

Il cloud che credi un backup

OneDrive, Google Drive, Dropbox e iCloud sono servizi di sincronizzazione. Il loro mestiere è fare in modo che il file che hai qui sia identico a quello che hai lì. Se il file qui viene cifrato, il servizio fa il suo mestiere e rende identico anche quello lì — su tutti i dispositivi collegati, in pochi secondi.

È vero che quasi tutti offrono una cronologia delle versioni, ed è una rete di sicurezza reale che vale la pena conoscere prima di averne bisogno. Ma ha dei limiti che vanno saputi:

• la cronologia copre in genere trenta giorni: se l’attacco è avvenuto prima e te ne accorgi dopo, non c’è più niente da ripristinare;
• Dropbox spiega chiaramente che la sua funzione di ripristino completo, Rewind, è disponibile solo sui piani a pagamento;
• su OneDrive for Business la cronologia delle versioni non copre allo stesso modo i file che non provengono dai programmi Office;
• e soprattutto: il ripristino va fatto file per file o cartella per cartella, con le mani, su decine di migliaia di elementi.

La sincronizzazione è comodissima e non va tolta. Semplicemente non è un backup, e contarci come se lo fosse è una delle cose che vedo più spesso.

La regola di oggi: 3-2-1-1-0

La formula che ha preso piede in questi anni aggiunge due cifre a quella classica, e ognuna delle due risponde a un problema che abbiamo appena visto.

Cosa vuol dire «immutabile» davvero

È la parola che sento usare più a sproposito, quindi vale la pena essere precisi.

Immutabile non vuol dire «protetto da una password robusta». Non vuol dire «solo l’amministratore può cancellarlo». Non vuol dire «c’è un permesso di sola lettura». Tutte queste sono protezioni che si reggono su chi sei, e cadono nel momento in cui qualcuno riesce a essere te — che, come abbiamo visto, è il modo in cui comincia il 79% degli attacchi.

Immutabile vuol dire che il dato non può essere modificato né cancellato fino a una data stabilita, da nessuno, nemmeno da chi possiede l’account principale. Non è un permesso: è una proprietà del sistema di archiviazione. Backblaze, che offre questa funzione con il nome di Object Lock, la descrive così: i file bloccati non possono essere cancellati «nemmeno dall’utente root dell’account» finché il periodo di conservazione non è scaduto.

Quella è la differenza fra una porta chiusa a chiave e una porta murata a tempo. Alla prima, chi ha la chiave entra. La seconda si apre quando ha deciso il calendario, e la chiave non c’entra niente.

Nella pratica ci sono tre modi di ottenerla, in ordine di costo:

Lo zero è la cifra che salta sempre

Delle cinque cifre, quella che vedo trascurata più spesso è l’ultima. Le prime quattro riguardano fare il backup, e sono le uniche che qualcuno controlla. L’ultima riguarda rimetterlo a posto, e non la controlla quasi nessuno.

Un backup che non è mai stato ripristinato non è un backup: è un’ipotesi. I modi in cui questa ipotesi si rivela sbagliata sono sempre gli stessi, e li ho visti tutti almeno una volta:

• il lavoro andava in errore da mesi e nessuno leggeva le notifiche, perché arrivavano su una casella che non guardava più nessuno;
• si salvavano i documenti ma non il database del gestionale, che era l’unica cosa davvero insostituibile;
• l’archivio era protetto da una password che sapeva solo una persona, che nel frattempo era andata via;
• i dati c’erano tutti, ma servivano quattro giorni per rimetterli al loro posto, e l’azienda ne poteva reggere uno.

Quest’ultimo punto è quello che sorprende di più. Nel report Sophos del 2026, il 55% delle aziende colpite ha impiegato fino a una settimana per tornare operativo, e solo il 16% ce l’ha fatta in meno di un giorno; il costo medio di ripristino, riscatto escluso, è di 1,7 milioni di dollari. Non sono soldi pagati ai criminali: sono i giorni di fermo.

Due questioni che ruotano attorno a quell’elenco e che ho trattato a parte: chi risponde formalmente dei sistemi, cioè l’amministratore di sistema che la legge chiede di designare per nome, e il fatto che fare ordine negli apparati riduce insieme la superficie di attacco e la bolletta.

La prova di ripristino non deve essere complicata. Una volta al trimestre, prendi un file a caso di sei mesi fa e riportalo indietro davvero, cronometrando quanto ci metti. Se non riesci a farlo, hai appena scoperto una cosa importante in un giorno in cui non ti costa niente saperla.

In pratica, a casa

In pratica, in azienda

Quello che è cambiato davvero

Il backup era una polizza contro la sfortuna. Adesso è una posizione contrattuale: è la cosa che decide se, davanti a una richiesta di riscatto, hai un’alternativa o no. Chi attacca lo sa da anni ed è per questo che i backup li cerca per primi — non per accanimento, ma perché è lì che si decide il prezzo.

Se stai partendo da zero, l’articolo su come fare il backup in modo che serva davvero spiega le basi, e quello su come non ritrovarsi con i file criptati copre il resto della difesa. Se invece è già successo, la cosa più utile che puoi leggere adesso è cosa fare nelle prime ore: le decisioni della prima mezz’ora contano più di tutto quello che viene dopo.

E se ti stai chiedendo se i tuoi file siano recuperabili, la risposta dipende da chi ti ha colpito e non da quanto sei disposto a spendere: nello storico delle famiglie di ransomware c’è l’elenco di quelle per cui esiste una soluzione gratuita.