Deadbolt ransomware: l’attacco ai backup aziendali sui NAS

La maggior parte dei ransomware cifra i dati di produzione e lascia alla vittima una speranza: il backup. Deadbolt ha ribaltato lo schema, ed è per questo che resta un caso di studio: attacca direttamente i dispositivi dove i backup risiedono — i NAS, in particolare quelli di QNAP — togliendo alla vittima proprio la via di fuga. Comparso nel gennaio 2022, ha colpito a ondate migliaia di dispositivi, e la sua logica ha fatto scuola: campagne dello stesso tipo, insieme al ransomware ech0raix, continuano a colpire i NAS esposti su internet ancora oggi, e non solo quelli QNAP.

In questa guida vediamo come funziona Deadbolt, perché i NAS sono un bersaglio così redditizio e quali difese contano davvero.

1. Perché i NAS sono il bersaglio
2. Come agisce Deadbolt
3. Il doppio ricatto: alle vittime e al produttore
4. Deadbolt oggi: una minaccia che non è finita
5. Come difendersi
6. Domande frequenti

Perché i NAS sono il bersaglio

I NAS (Network Attached Storage) sono dispositivi di archiviazione collegati alla rete: ospitano file condivisi, backup automatici e accesso remoto ai dati per uffici e piccole-medie imprese. È esattamente questa combinazione a renderli appetibili: concentrano in un punto solo i dati e le loro copie di sicurezza, e molto spesso sono esposti direttamente su internet per comodità di accesso remoto — con firmware non aggiornati e porte aperte sul router.

Per un attaccante, compromettere un NAS significa colpire due volte con un’azione sola: cifrare i dati e cifrare i backup che dovrebbero permettere di recuperarli. È il caso concreto di una tendenza che abbiamo analizzato nella guida sul perché il backup da solo non basta: le copie di sicurezza raggiungibili in rete sono diventate un bersaglio primario, non una garanzia.

Come agisce Deadbolt

Deadbolt sfrutta vulnerabilità nel sistema operativo dei NAS QNAP (QTS e QuTS hero) — in più occasioni veri e propri zero-day di tipo Remote Code Execution — per eseguire codice sul dispositivo senza bisogno di credenziali. Una volta dentro, cifra i file aggiungendo l’estensione .deadbolt (documento.pdf diventa documento.pdf.deadbolt) e dirotta la schermata di accesso del NAS sostituendola con la nota di riscatto, impedendo persino di raggiungere il pannello di amministrazione.

La crittografia asimmetrica usata dal ransomware lega ogni vittima a una chiave di decrittazione unica: pagando il riscatto — la richiesta tipica si aggirava su 0,03 bitcoin — si riceve la chiave per i propri file, e non esiste modo di usare quella di qualcun altro. Come per ogni ransomware, il pagamento non garantisce nulla: finanzia la campagna successiva.

Il doppio ricatto: alle vittime e al produttore

Deadbolt ha introdotto una variante d’estorsione rimasta nella storia del ransomware: il ricatto al produttore stesso. Oltre a chiedere il riscatto alle singole vittime, il gruppo offriva a QNAP i dettagli della vulnerabilità zero-day sfruttata in cambio di 5 bitcoin, e la chiave master capace di sbloccare tutte le vittime per 50 bitcoin — circa 1,9 milioni di dollari dell’epoca. Un “bug bounty” capovolto, che monetizza la falla due volte: sulle vittime e su chi dovrebbe correggerla.

Deadbolt oggi: una minaccia che non è finita

Le grandi ondate del 2022 — quattro nel solo primo anno — hanno infettato migliaia di dispositivi, ma sarebbe un errore archiviare il caso. Episodi che sfruttano vulnerabilità QNAP per attacchi ransomware in stile Deadbolt sono stati documentati anche nel 2024 e nel 2025, e a inizio 2026 era attiva una campagna che combinava Deadbolt ed ech0raix contro NAS di QNAP e di altri produttori, Synology inclusa. Il modello non invecchia perché la sua condizione di successo non cambia: dispositivi esposti su internet con firmware non aggiornato. Finché esistono, esisterà chi li cifra.

Come difendersi

La prima difesa è togliere il bersaglio da internet: un NAS non deve essere raggiungibile direttamente dalla rete pubblica. Niente port forwarding sul router, UPnP disattivato, e accesso remoto solo attraverso VPN con autenticazione forte. La seconda è l’aggiornamento sistematico di firmware e applicazioni del NAS: tutte le ondate di Deadbolt hanno colpito versioni non aggiornate, e le patch correttive esistevano spesso da mesi.

Sul piano della strategia, vale quanto visto per ogni backup raggiungibile: il NAS non può essere l’unica copia. La regola 3-2-1-1-0 richiede almeno una copia offline o immutabile, fuori dalla portata di qualsiasi compromissione di rete — il backup immutabile è nato esattamente per lo scenario che Deadbolt ha reso famoso. E poiché ogni ondata è partita da una vulnerabilità nota o ignota dei dispositivi, individuare le falle prima degli attaccanti — sui NAS come su tutta l’infrastruttura — resta la contromisura a monte.

Deadbolt ha dimostrato che i sistemi di backup sono bersagli, non spettatori. Cyberment affianca le imprese italiane con il Vulnerability Assessment e il Penetration Test certificati ISO 27001, che individuano dispositivi esposti, firmware vulnerabili e configurazioni a rischio — NAS e infrastrutture di backup compresi — prima che diventino la prossima ondata.

Domande frequenti

Cos’è il ransomware Deadbolt?

È un ransomware comparso nel 2022 che attacca direttamente i NAS — in particolare quelli QNAP — cifrando i file con estensione .deadbolt e sostituendo la schermata di accesso con la nota di riscatto. Si distingue perché colpisce i dispositivi dove risiedono i backup, togliendo alla vittima la via di recupero.

Deadbolt è ancora attivo?

Il modello di attacco resta attuale: episodi su vulnerabilità QNAP sono stati documentati anche nel 2024 e 2025, e a inizio 2026 era segnalata una campagna che combinava Deadbolt ed ech0raix contro NAS di più produttori. Il bersaglio sono sempre i dispositivi esposti su internet con firmware non aggiornato.

Come proteggo il mio NAS da Deadbolt?

Non esponendolo direttamente su internet: niente port forwarding, UPnP disattivato, accesso remoto solo via VPN con autenticazione forte. Vanno inoltre aggiornati sistematicamente firmware e applicazioni, e mantenuta almeno una copia di backup offline o immutabile, fuori dalla portata della rete.

Se pago il riscatto recupero i file?

Ogni vittima ha una chiave di decrittazione unica e il pagamento non offre alcuna garanzia: i criminali possono non fornire la chiave o fornirne una parziale. La strada corretta è il ripristino da una copia non compromessa — ed è il motivo per cui serve sempre un backup isolato dalla rete.