Ransomware e backup cifrati: il rischio nascosto nelle chiavi
L'attacco rivendicato a PQE Group evidenzia una falla comune: se le chiavi di cifratura risiedono sugli stessi sistemi dei backup, la protezione è illusoria. Ecco come verificare la sicurezza dei propri archivi offline.
Il gruppo ransomware Panzer ha rivendicato un attacco contro PQE Group, una società fiorentina di consulenza per il settore life sciences, affermando di aver sottratto 200 GB di backup cifrati. Sebbene l'azienda non abbia confermato ufficialmente i dettagli dell'incidente, la vicenda porta alla luce una vulnerabilità strutturale spesso ignorata: la gestione errata delle chiavi di cifratura. Se le chiavi necessarie per decifrare i dati sono conservate sugli stessi server o infrastrutture raggiungibili dagli aggressori, la cifratura dei backup perde la sua efficacia protettiva.
Il contesto tecnico: perché la cifratura da sola non basta
La cifratura è uno strumento fondamentale, ma non è una soluzione magica. Il suo valore dipende interamente dalla segregazione delle chiavi di accesso. In un attacco ransomware, gli aggressori spesso non si limitano a crittografare i file attivi, ma cercano attivamente i backup per impedire il ripristino. Se le chiavi di decifratura sono archiviate in modo accessibile, il ransomware può decifrare i backup e renderli inutilizzabili, o peggio, esfiltrarli.
- Segregazione delle chiavi: Le chiavi di cifratura devono essere conservate in un ambiente fisico o logico completamente separato dai sistemi di produzione e dai backup stessi.
- Accesso offline: I backup critici dovrebbero essere mantenuti in modalità air-gapped (disconnessi dalla rete) per evitare che il malware li raggiunga attraverso la rete interna.
- Verifica periodica: È essenziale testare regolarmente la capacità di ripristino dei dati per assicurarsi che i backup siano integri e decifrabili senza dipendere da componenti compromessi.
Cosa significa per chi compra in Italia
Per le piccole e medie imprese italiane e per gli utenti avanzati che gestiscono dati sensibili, questa vicenda è un promemoria che la sicurezza non si ferma all'installazione di un antivirus. Quando si acquistano soluzioni di backup o servizi cloud, è fondamentale chiedere esplicitamente come vengono gestite le chiavi di cifratura. Le soluzioni che offrono la "cifratura end-to-end" con chiavi gestite dall'utente (BYOK, Bring Your Own Key) offrono un livello di controllo superiore rispetto a quelle dove il provider gestisce tutto in modo opaco. Verificare che i backup siano effettivamente offline o immutabili è un passo concreto per ridurre il rischio di estorsione.
La sicurezza informatica richiede un approccio proattivo, non reattivo. Proteggere i backup è proteggere la continuità operativa dell'azienda o del progetto personale. Senza un piano di ripristino solido e chiavi ben custodite, la cifratura resta solo una barriera di carta.
Domande frequenti
La cifratura dei backup mi rende invulnerabile?
No. La cifratura protegge i dati da occhi indiscreti, ma se gli aggressori ottengono le chiavi di decifratura, possono comunque accedere o corrompere i backup. La sicurezza dipende dalla segregazione delle chiavi.
Cosa devo fare se sospetto che i miei backup siano compromessi?
Isola immediatamente i sistemi interessati, cambia tutte le credenziali di accesso e verifica l'integrità dei backup da un ambiente sicuro. Non provare a ripristinare i dati finché non sei certo che la minaccia sia stata neutralizzata.
È necessario avere backup offline?
Sì, per i dati critici è raccomandato avere almeno una copia offline o air-gapped. Questo impedisce al ransomware di raggiungere i backup attraverso la rete, garantendo una via di fuga sicura in caso di attacco.