Protezione dal ransomware per le aziende: come rimanere ripristinabili quando un attacco va a segno

Il 19 ottobre 2025, il ransomware ha bloccato tutte le spedizioni dai centri logistici di Askul, un’azienda giapponese di forniture per ufficio ed e-commerce. Gli aggressori erano entrati tramite un account amministratore rilasciato a un appaltatore esterno—l’unico account che l’azienda aveva esentato dall’autenticazione a più fattori (MFA). Quando gli aggressori hanno cifrato i server di Askul, hanno anche eliminato i suoi file Backup e parte dei dati sottratti è stata successivamente pubblicata online. ^[1]

L’indagine interna di Askul ha rilevato che i suoi backup online non erano stati progettati per resistere a un attacco ransomware, quindi gli aggressori sono riusciti a cifrarne alcuni insieme a tutto il resto, ritardando in modo significativo il ripristino. ^[1] Askul è tutt’altro che un caso isolato. Il ransomware prende di mira i backup in 4 attacchi su 5, con l’obiettivo di forzare il pagamento del riscatto distruggendo la tua capacità di ripristinare. ^[2]

Questa guida illustra come si sviluppa un attacco in ambito enterprise, i livelli che lo fermano, perché Backup Storage con Immutabilità Assoluta è la tua Difesa contro il ransomware definitiva e come valutare le soluzioni che dichiarano di fornirla.

Punti chiave

• Su scala enterprise, la protezione dal ransomware dipende dal fatto che un singolo set di credenziali sottratte possa raggiungere tutto, inclusi i backup, perché nella maggior parte dei casi gli aggressori usano i privilegi di amministratore per distruggere le opzioni di ripristino prima o mentre cifrano.

• Il ransomware è ormai una minaccia quasi certa: più di 4 organizzazioni su 5 hanno subito almeno un attacco negli ultimi due anni. ^[2] Nessun singolo prodotto è sufficiente; la protezione richiede un insieme stratificato di controlli che copra identità e accesso, email ed endpoint, rete, rilevamento e Backup e ripristino.

• L’immutabilità standard spesso presenta eccezioni e scappatoie nascoste che potrebbero consentire l’eliminazione dei backup, ma con Absolute Immutability nessuno può alterare o eliminare i dati Backup, nemmeno con credenziali di amministratore. Mentre il 93% dei leader tecnologici afferma che Storage di backup immutabile assolutamente è fondamentale per la protezione dal ransomware, solo il 16% lo possiede. ^[2]

Che cos’è la protezione dal ransomware?

La protezione dal ransomware è la combinazione di controlli tecnici, policy e capacità di ripristino che protegge un’organizzazione dagli attacchi ransomware e limita i danni quando questi attacchi vanno a segno. Ha due compiti: impedire agli aggressori di entrare e propagarsi nella rete e garantire che l’organizzazione possa ripristinare anche quando un attacco ha comunque successo.

Entrambi i compiti diventano più difficili su scala enterprise. Una singola console di virtualizzazione può eseguire centinaia di macchine virtuali; gli account privilegiati e di servizio si moltiplicano tra reparti e partner; e il sistema Backup ha la propria console di amministrazione, alla quale un aggressore con credenziali sottratte può accedere proprio come un amministratore legittimo.

Il ripristino, a sua volta, significa centinaia di ripristini eseguiti in ordine di priorità aziendale. Con così tanto raggiungibile da così pochi account, la protezione enterprise si riduce al fatto che un singolo set di credenziali sottratte possa raggiungere tutto, inclusi i backup. Chiudere quel percorso, in modo che nessun singolo account possa distruggere sia i dati di produzione sia le loro copie di ripristino, è il fondamento della resilienza al ransomware.

Come si sviluppa un attacco ransomware all’interno di un’azienda enterprise?

Un singolo set di credenziali che raggiunge tutto è esattamente ciò che gli aggressori cercano. Più di 4 organizzazioni su 5 hanno subito almeno un attacco ransomware negli ultimi due anni. ^[2]

La sequenza seguente ripercorre le fasi di un attacco ransomware nel suo scenario peggiore, in cui la protezione dal ransomware fallisce a ogni passaggio e gli aggressori raggiungono il loro obiettivo.

1. Entrare. La maggior parte degli attacchi inizia con un’email o un accesso sottratto: email malevole, phishing e credenziali compromesse sono le tre principali cause alla radice degli attacchi ransomware, rispettivamente al 26%, 24% e 23%. ^[3] Gli aggressori di Askul hanno semplicemente effettuato l’accesso usando l’account amministratore di un appaltatore senza MFA. ^[1]
2. Restare fuori dalla vista. Una volta dentro, gli aggressori spesso trascorrono settimane a mappare la rete, disabilitare gli strumenti Sicurezza e cancellare i log man mano che procedono. Gli intrusi di Askul hanno fatto lo stesso, disabilitando il software di endpoint detection and response (EDR) e utilizzando diverse varianti di ransomware, alcune delle quali all’epoca sono riuscite a eludere le firme EDR di Askul. ^[1]
3. Raccogliere le chiavi. Ogni sistema raggiunto dagli aggressori fornisce ulteriori credenziali, ma i principali obiettivi sono gli account che controllano l’infrastruttura: amministratori di dominio, di virtualizzazione e del sistema Backup.
4. Propagarsi nell’intero perimetro. Con i privilegi di amministratore, gli aggressori si spostano lateralmente da server a server finché non controllano i sistemi che gestiscono tutto il resto, dagli hypervisor che eseguono centinaia di macchine virtuali alle console che gestiscono i backup.
5. Sottrarre i dati. Prima che qualsiasi cosa venga cifrata, i dati sensibili vengono spesso copiati fuori dalla rete. Quella copia è la base della doppia estorsione: la vittima viene spinta a pagare una prima volta per una chiave di decifratura e una seconda volta per impedire che i dati vengano pubblicati. Un ripristino pulito risolve solo il primo problema. Askul ha rifiutato di negoziare e parte dei suoi dati sottratti è comparsa online. ^[1]
6. Rimuovere la via del ritorno. Nella maggior parte dei casi, gli aggressori si muovono per eliminare le opzioni di ripristino prima o mentre viene rilasciato il payload di cifratura, usando i privilegi raccolti al passaggio 3. Un sistema Backup che accetta un accesso valido non può distinguere un intruso dal proprio amministratore. I file Backup di Askul sono stati eliminati nello stesso momento in cui i suoi server venivano cifrati. ^[1]
7. Cifrare tutto in una volta. La cifratura poi si estende simultaneamente su molti server, spesso a livello di virtualizzazione, così centinaia di sistemi vanno giù insieme invece che uno alla volta. I sistemi cifrati di Askul includevano quelli che gestivano i suoi centri logistici altamente automatizzati e le spedizioni si sono fermate completamente. ^[1]
8. La richiesta. La nota di riscatto arriva con due condizioni: pagare per la chiave di decifratura e pagare per mantenere privati i dati sottratti. Con i backup spariti, la chiave è l’unico percorso rimasto verso i dati.

I cinque livelli della protezione dal ransomware in ambito enterprise

Nessun singolo controllo in una strategia di Difesa contro il ransomware può interrompere la sequenza sopra, perché ciascun controllo blocca solo alcuni passaggi dell’attacco.

Poiché nessun sistema è impenetrabile, la protezione dal ransomware negli ambienti enterprise segue un modello Semplice: assumere una violazione, costruire più livelli di cybersecurity e prepararsi al ripristino. ^[4]

Il National Institute of Standards and Technology (NIST) adotta lo stesso approccio nel suo profilo di gestione del rischio ransomware, che colloca il ripristino accanto a protezione e rilevamento all’interno di un unico framework. ^[5]

Identità e accesso

I controlli di identità mirano ai passaggi 1 e 3 perché la maggior parte degli attacchi richiede un accesso valido prima di qualsiasi altra cosa. L’MFA su ogni account remoto e amministrativo rende una password sottratta molto meno utile da sola. L’accesso con privilegi minimi limita ciascun account ai soli sistemi e dati richiesti dal suo ruolo specifico, così un account sottratto apre solo una piccola parte dell’ambiente.

Il privileged access management (PAM) aggiunge un controllo più rigoroso sugli account che gli aggressori prendono maggiormente di mira. Uno strumento PAM concede i privilegi di amministratore solo quando sono necessari e registra come vengono utilizzati.

Tutti e tre funzionano solo se non vengono lasciati account come eccezioni, inclusi quelli rilasciati a partner e appaltatori.

Email ed endpoint

Il filtraggio delle email aiuta a prevenire gran parte del phishing alla base del passaggio 1 verificando mittenti, link e allegati prima che i messaggi raggiungano le caselle di posta.

Gli strumenti EDR poi monitorano server e laptop per individuare comportamenti malevoli durante il passaggio 2, come processi insoliti o tentativi di disabilitare il software Sicurezza. Gli aggressori si aspettano che l’EDR sia presente, quindi spegnerlo è spesso una delle loro prime mosse dopo aver ottenuto accesso alla rete.

Il ransomware basato sull'IA aggiunge un’ulteriore sfida. Può generare o riscrivere il proprio codice in modo che ogni versione appaia diversa, lasciando gli strumenti basati su firme senza un pattern stabile da confrontare.

Il filtraggio delle email e l’EDR funzionano al meglio quando i loro avvisi alimentano il livello di rilevamento invece di restare isolati.

Rete

La segmentazione di rete rallenta il passaggio 4 dividendo la rete dell’organizzazione in zone separate che un aggressore deve attraversare una alla volta.

I sistemi critici, come la gestione degli hypervisor e i server di identità, dovrebbero trovarsi in zone che le workstation standard non possono raggiungere direttamente, così un laptop compromesso non è mai a un solo salto dall’infrastruttura.

Il monitoraggio del traffico che attraversa le zone aiuta a rivelare un aggressore che si muove nella rete. La maggior parte dei sistemi segue pattern prevedibili, quindi una connessione insolita, come una sessione di desktop remoto tra due server che comunicano raramente, risalta come segnale di allarme.

Rilevamento e allerta precoce

Il rilevamento riduce il tempo che gli aggressori trascorrono all’interno della rete e può attivarsi in qualsiasi passaggio dal 2 al 6. Il monitoraggio comportamentale apprende come utenti, sistemi e applicazioni si comportano normalmente e segnala l’attività che rompe lo schema, intercettando minacce che gli strumenti basati su firme non rilevano.

I team Sicurezza in genere convogliano questi avvisi in un sistema Sicurezza di gestione delle informazioni e degli eventi di sicurezza (SIEM), che raccoglie segnali da tutti i sistemi dell’organizzazione in un unico punto, così gli analisti possono collegare eventi correlati e rispondere più rapidamente.

L’insieme più ampio di tecniche di rilevamento del ransomware include anche i decoy. Un decoy di rete imita un obiettivo Backup legittimo per attirare gli aggressori e indurli a scoprirsi prima che qualsiasi dato reale sia a rischio.

Object First Honeypot è un esempio. Distribuisce un ambiente decoy Veeam Backup & Replication (VBR) all’interno dell’appliance Object First in pochi clic, fungendo da filo d’inciampo per rilevare attività sospette che prendono di mira l’infrastruttura Backup.

Backup e ripristino

I quattro livelli di protezione sopra riducono la probabilità che un attacco vada a segno, ma nessuno di essi determina cosa accade quando invece ci riesce. Questo dipende dal livello Backup e ripristino, dove gli esiti stanno peggiorando: solo il 39% delle organizzazioni ha recuperato almeno il 75% dei propri dati dopo un attacco, in calo rispetto al 57% nel 2024. ^[2]

Un pilastro del ripristino del Backup dei dati è mantenere backup immutabili, cioè che durante una finestra temporale predefinita un Backup non possa essere alterato o eliminato. Qui però serve attenzione, perché molti sistemi che dichiarano di offrire backup immutabili presentano eccezioni e scappatoie nascoste.

La soluzione a queste scappatoie è Absolute Immutability, il che significa che anche l’amministratore con i privilegi più elevati, o un aggressore con accesso a Backup Storage, non può modificare o eliminare i dati.

Absolute Immutability: Le fondamenta della protezione dal ransomware di livello enterprise

Il divario tra credere che i backup siano protetti e disporre davvero di tale protezione è ampio: il 76% dei leader tecnologici afferma che la propria soluzione Backup principale utilizza storage immutabile, ma solo il 16% afferma che il proprio Backup Storage attuale è assolutamente immutabile. ^[2]

Absolute Immutability può essere ottenuto solo utilizzando un sistema Backup Storage che sia “Secure by Design,” con Zero Access per eseguire azioni distruttive, e questo Zero Access deve essere verificato tramite test di terze parti. ^[4]

Una delle scappatoie più comuni risiede nel modo in cui viene configurato S3 Object Lock. In modalità Compliance, i periodi di conservazione vengono applicati rigorosamente: persino gli amministratori non possono modificare o eliminare i dati protetti finché il periodo di conservazione non scade. La modalità Governance, invece, consente agli utenti con privilegi di sovrascrivere le impostazioni di Object Lock, quindi un attaccante che ottiene accesso amministrativo può disabilitare l’immutabilità e distruggere i dati Backup. ^[4]

L’implementazione pratica di Absolute Immutability richiede tre principi fondamentali:

• S3 Object Storage: Uno standard aperto, completamente documentato, con immutabilità nativa, che abilita penetration test indipendenti e verifica di terze parti.

• Immutabilità immediata: i dati Backup diventano immutabili nel momento in cui vengono scritti, senza lacune e senza landing zone.

• Appliance Storage di destinazione: Un’appliance Dedicato separa Backup Storage da Software di backup ed elimina i rischi del Storage fai-da-te autogestito durante configurazione, aggiornamenti e manutenzione. Non è richiesta alcuna competenza Sicurezza, perché la Sicurezza operativa passa al fornitore.

Seguendo questi tre principi, le organizzazioni possono ottenere Absolute Immutability, che mantiene i dati Backup protetti e ripristinabili per il periodo di conservazione definito, che la minaccia sia ransomware, un insider o credenziali rubate. ^[4]

Protezione dal ransomware con Object First

Quando—non se—il ransomware colpisce, il futuro della tua azienda è in bilico. In quel momento, il ripristino è ciò che conta di più: tornare operativi il più rapidamente possibile, senza complessità indesiderata.

Rendiamo la resilienza informatica Semplice con Backup Storage assolutamente immutabile e progettato appositamente per Veeam. È la tua difesa definitiva contro il ransomware.

Object First si basa sulle best practice Zero Trust ed è testato e verificato da terze parti per essere Sicuro. È Semplice da distribuire e gestire con NESSUNA competenza di sicurezza necessaria ed è abbastanza Potente per backup fulminei e Instant Recovery potenziato per scalare con la tua azienda.

Quando Backup Storage è così Sicuro, Semplice e Potente, tu e la tua organizzazione siete Simply Resilient.

Le otto best practice di Object First per la protezione dal ransomware di livello enterprise

In Object First, stiamo lavorando verso un mondo in cui nessuna organizzazione debba pagare un riscatto per dati cifrati. Queste sono le otto best practice di protezione dal ransomware che consigliamo a ogni azienda.

1. Imponi l’MFA su ogni account remoto e amministrativo, iniziando dalle console di gestione Backup, e non fare eccezioni per partner, appaltatori o fornitori di servizi, perché un singolo account esentato può compromettere l’intera rete.
2. Assegna ai sistemi Backup account amministratore dedicati, separati dagli account utente quotidiani e dagli account amministratore di dominio, e applica l’accesso con privilegi minimi affinché una credenziale di dominio sottratta non apra anche la console Backup.
3. Richiedi l’approvazione di più persone per le azioni distruttive come reset, modifiche alla conservazione o modifiche Sicurezza. Un protocollo Eight-Eyes, con due persone lato cliente e due membri dello staff lato fornitore che approvano ogni azione, colma il divario che altrimenti creerebbe un singolo account amministratore compromesso.
4. Cifra end-to-end i dati Backup dal momento in cui vengono creati, usando chiavi che cambiano a ogni sessione Backup. L’immutabilità impedisce agli attaccanti di alterare o eliminare i backup, mentre la cifratura con rotazione delle chiavi rende illeggibili eventuali dati Backup che riescano a sottrarre.
5. Mantieni tre copie dei tuoi dati su due diversi tipi di supporto, con una offsite, una immutabile e zero backup non verificati, come specifica la regola 3-2-1-1-0 Backup. Collocare tali copie in zone di resilienza separate, una parte fondamentale di Protezione del backup contro il ransomware, significa che una violazione di una zona non raggiunge le altre.
6. Genera avvisi per modifiche alle policy di conservazione, tentativi di eliminazione anomali e autenticazioni fallite contro il repository Backup e instrada tali avvisi allo stesso team e allo stesso percorso di escalation degli avvisi Sicurezza di produzione.
7. Testa i ripristini con una cadenza fissa, coprendo i sistemi critici trimestralmente e l’intero ambiente di produzione almeno annualmente, e registra quanto tempo richiede ciascuno. Un Backup non testato è un’ipotesi, e il tempo registrato mostra se il ripristino soddisfa il tuo Recovery Time Objective (RTO).
8. Mantieni un numero sufficiente di punti di ripristino immutabili per recuperare da prima della compromissione iniziale, non solo dall’attacco visibile. Gli attaccanti spesso mantengono la persistenza per giorni o settimane prima di attivare la cifratura, quindi il Backup più recente può già contenere il loro punto d’appoggio.

Come valutare le soluzioni di protezione dal ransomware di livello enterprise

Le raccomandazioni sopra valgono solo se il Storage sottostante le supporta, e molti acquirenti non verificano mai se sia così. Sebbene l’89% dei leader tecnologici concordi sul fatto che le dichiarazioni dei fornitori sull’immutabilità debbano essere validate da un audit di terze parti, solo il 56% utilizza test e reportistica di terze parti. ^[2]

I controlli seguenti consentono a un’azienda di verificare tali affermazioni prima di scegliere tra le soluzioni Protezione del backup contro il ransomware, così che la decisione si basi su evidenze anziché su un Scheda tecnica.

• Scopri se il tuo fornitore o l’amministratore con maggiori privilegi può ridurre la conservazione o eliminare un Backup prima della scadenza. Se uno dei due può farlo, può farlo anche un attaccante in possesso delle stesse credenziali.

• Conferma che i dati Backup diventino immutabili nel momento in cui vengono scritti, non solo dopo il completamento del job Backup, poiché qualsiasi divario tra i due lascia una finestra per manomissioni.

• Richiedi risultati pubblicati di penetration test di terze parti invece di affidarti a un’affermazione Scheda tecnica. I test indipendenti sono possibili solo su protocolli aperti e documentati, quindi un sistema proprietario ti lascia dipendere dalla parola del fornitore.

• Esamina come il Storage funziona con il Software di backup che già utilizzi, perché un Storage progettato per quel software elimina il lavoro di configurazione personalizzata in cui le installazioni autogestite spesso introducono vulnerabilità.

• Chiarisci chi è responsabile di patching, aggiornamenti e hardening e quanta competenza Sicurezza serve al tuo team per gestire il sistema in sicurezza. Con un Storage autogestito, tali operazioni e i relativi rischi restano al tuo team.

• Prima di acquistare, testa la velocità di ripristino con i tuoi volumi di dati e carichi di lavoro, iniziando dai sistemi di cui l’azienda ha bisogno per primi, invece di affidarti ai benchmark del fornitore. Il risultato mostra quanto rapidamente puoi ripristinare i dati dopo un attacco ransomware.

• Esegui un’esercitazione tabletop che simuli una compromissione completa delle credenziali, in cui un attaccante possiede ogni account amministratore, inclusi quelli per Software di backup e Storage. Quindi conferma nella pratica che il Storage continui a rifiutare eliminazioni e modifiche alla conservazione da tali account. Solo allora puoi essere certo che i tuoi backup siano davvero A prova di ransomware.

FAQ

Qual è la migliore protezione contro il ransomware per un’azienda?

Nessun singolo controllo è sufficiente; la migliore protezione dal ransomware di livello enterprise è stratificata. Tra questi livelli, Backup Storage con Immutabilità Assoluta è quello che continua a funzionare dopo che prevenzione e rilevamento hanno fallito, perché nessun account rubato può ridurne la conservazione.

Come si testa se la tua protezione dal ransomware funziona?

Esegui test di ripristino secondo una pianificazione, registra ogni tempo di ripristino e confrontalo con il tuo RTO, e svolgi esercitazioni tabletop che presuppongano che un account amministratore sia già compromesso. Quindi conferma che il tuo Backup Storage rifiuti effettivamente un’eliminazione o una modifica della conservazione da quell’account, invece di affidarti a ciò che mostra la schermata di configurazione.

Qual è la prima cosa da fare in un attacco ransomware?

Determina quali sistemi sono interessati e isolali immediatamente dalla rete, spegnendo i dispositivi solo se non possono essere disconnessi. [6] L’isolamento arresta la propagazione preservando al contempo le evidenze di cui il tuo piano di risposta al ransomware ha bisogno per indagine e ripristino.

References

[1] Askul Corporation. "Report on the Results of the Investigation into the Impact of the Ransomware Attack and Initiatives to Strengthen Security (13th Report)." December 12th, 2025 (Japanese). https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

[2] Omdia. "Recovery without Compromise: The Data-Backed Case for Backup Storage with Absolute Immutability." Commissioned by Object First, June 2026. https://objectfirst.com/recovery-without-compromise/

[3] Sophos. "The State of Ransomware 2026." 2026. https://www.sophos.com/en-us/content/state-of-ransomware

[4] Object First. "Absolute Immutability: The Ultimate Ransomware Defense." White paper, 2025. https://objectfirst.com/absolute-immutability-whitepaper/

[5] National Institute of Standards and Technology. "NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile." June 2026. https://csrc.nist.gov/pubs/ir/8374/r1/final

[6] CISA, MS-ISAC, NSA, and FBI. "#StopRansomware Guide." September 2023. https://www.cisa.gov/stopransomware/ransomware-guide