Backup immutabile: cos’è, come funziona e perché ferma i ransomware

C’è un momento preciso in cui un attacco ransomware si decide, e non è quando i file vengono cifrati: è quando l’attaccante cerca i backup. Se li trova e riesce a distruggerli, la vittima resta senza alternative al riscatto. Se non può toccarli, l’attacco perde gran parte della sua leva. Il backup immutabile nasce esattamente per vincere quel momento: una copia che nessuno può modificare o cancellare, nemmeno chi possiede le credenziali di amministratore.

In questa guida vediamo cos’è l’immutabilità applicata ai backup, con quali tecnologie si realizza, in cosa differisce da un backup tradizionale e quali sono i suoi limiti — perché anche l’immutabilità, da sola, non è la soluzione definitiva.

1. Cos’è un backup immutabile
2. Come funziona: WORM, object lock e air gap
3. Immutabile vs tradizionale: cosa cambia davvero
4. I limiti: cosa l’immutabilità non garantisce
5. Domande frequenti

Cos’è un backup immutabile

Un backup immutabile è una copia di dati che, una volta scritta, non può essere alterata, sovrascritta né eliminata per un periodo di conservazione definito in anticipo. La protezione non dipende da chi tenta l’operazione: vale per i malware, per gli attaccanti con credenziali rubate e persino per gli amministratori legittimi. È la differenza sostanziale rispetto a qualsiasi protezione basata su permessi: i permessi si aggirano compromettendo l’account giusto, l’immutabilità no, perché è imposta a livello di storage e non di utente.

Il valore in chiave anti-ransomware è diretto: i ransomware moderni cercano sistematicamente le copie di sicurezza raggiungibili per cifrarle o cancellarle prima di colpire la produzione. Davanti a un repository immutabile, quel passaggio fallisce, e con esso la strategia di estorsione che fa leva sull’assenza di alternative.

Come funziona: WORM, object lock e air gap

Il principio tecnico alla base è il WORM — Write Once, Read Many: il dato si scrive una volta e da quel momento si può solo leggere. È un concetto più vecchio di quanto sembri: i backup su nastro lo garantivano per natura fisica, ed è uno dei motivi per cui il nastro è tornato d’attualità. Oggi lo stesso principio si applica allo storage moderno con l’object lock, la funzione dei sistemi a oggetti (tipica dei cloud storage compatibili S3) che blocca ogni oggetto scritto per la durata di retention impostata: fino alla scadenza, nessuna API e nessun account può modificarlo o cancellarlo.

A fianco dell’immutabilità lavora l’air gap: l’isolamento della copia dalla rete, fisico (il nastro nel caveau, il disco scollegato) o logico (un repository raggiungibile solo in finestre controllate e con canali dedicati). I due meccanismi rispondono a minacce leggermente diverse e si combinano: l’immutabilità impedisce di alterare ciò che è raggiungibile, l’air gap rende irraggiungibile ciò che non deve esserlo. Nella regola 3-2-1-1-0 — l’evoluzione moderna della 3-2-1 di cui parliamo nella guida sul perché il backup da solo non basta — il quarto numero è esattamente questo: almeno una copia offline o immutabile.

Immutabile vs tradizionale: cosa cambia davvero

Con un backup tradizionale, la sicurezza della copia coincide con la sicurezza delle credenziali che la gestiscono: chi compromette la console di backup o l’account di storage può distruggere tutto. Con un backup immutabile, anche l’attaccante che ha vinto su quel fronte si ferma davanti alla retention: può al massimo impedire i backup futuri, non toccare quelli esistenti.

Cambia anche la disciplina richiesta. L’immutabilità impone di decidere in anticipo i periodi di conservazione — e di dimensionare lo storage di conseguenza, perché ciò che è immutabile non si può nemmeno cancellare per liberare spazio. È un vincolo, ma è lo stesso vincolo che la rende efficace: un sistema in cui “in caso di emergenza si può sempre cancellare” è un sistema in cui può cancellare anche l’attaccante.

I limiti: cosa l’immutabilità non garantisce

Il primo limite è temporale: l’immutabilità congela la copia, non ne certifica il contenuto. Se l’attaccante era già nella rete quando il backup è stato eseguito — scenario frequente, le intrusioni precedono spesso di settimane l’attacco visibile — la copia immutabile conserva fedelmente anche la sua presenza: malware, backdoor, account compromessi. Il ripristino, in quel caso, reinstalla il problema. Per questo l’immutabilità va affiancata dalla verifica dell’integrità di ciò che si copia e dal test di ripristino.

Il secondo limite è infrastrutturale: il repository immutabile vive su sistemi che hanno vulnerabilità come tutti gli altri, e la storia recente lo conferma — la vulnerabilità critica CVE-2025-23120 in Veeam Backup & Restore colpiva proprio il software di gestione dei backup. L’immutabilità protegge i dati scritti, non l’infrastruttura che li scrive: quella va verificata e aggiornata come ogni altro sistema critico.

Il backup immutabile chiude la porta più sfruttata dai ransomware, ma poggia su un’infrastruttura che deve essere a sua volta solida. Cyberment affianca le imprese italiane con il Vulnerability Assessment e il Penetration Test certificati ISO 27001, che individuano le vulnerabilità dei sistemi — repository e software di backup compresi — prima che un attaccante le usi per aggirare anche le protezioni migliori.

Domande frequenti

Cos’è un backup immutabile?

È una copia di dati che, una volta scritta, non può essere modificata né cancellata da nessuno — nemmeno da un amministratore — per un periodo di conservazione stabilito in anticipo. La protezione è imposta a livello di storage, non di permessi utente.

Come si realizza l’immutabilità di un backup?

Con tecnologie WORM (Write Once, Read Many) e, nello storage moderno, con l’object lock dei sistemi a oggetti: ogni dato scritto resta bloccato fino alla scadenza della retention impostata. L’immutabilità si combina spesso con l’air gap, l’isolamento fisico o logico della copia dalla rete.

Il backup immutabile ferma i ransomware?

Impedisce ai ransomware e agli attaccanti di cifrare o cancellare le copie esistenti, togliendo all’estorsione la sua leva principale. Non impedisce però l’attacco ai sistemi di produzione, e non garantisce che i dati copiati fossero puliti al momento del backup.

Qual è la differenza tra backup immutabile e air gap?

L’immutabilità rende inalterabile una copia anche se raggiungibile; l’air gap rende la copia irraggiungibile isolandola dalla rete. Rispondono a rischi complementari e le strategie moderne, come la regola 3-2-1-1-0, li combinano.

Il backup immutabile basta da solo?

No. Non certifica che i dati copiati siano integri (se la rete era già compromessa, la copia conserva anche la compromissione) e non protegge l’infrastruttura di backup dalle sue vulnerabilità. Va affiancato da test di ripristino e dalla verifica periodica della sicurezza dei sistemi.