Negli ultimi mesi, il gruppo ransomware DragonForce è diventato protagonista di una serie di attacchi andati a segno nel Regno Unito. Tra le vittime confermate compaiono nomi noti come Co-op, Harrods e Marks & Spencer, con milioni di dati personali sottratti e, in alcuni casi, interruzioni dei servizi prolungate.
DragonForce adotta un modello operativo white-label: sviluppa il ransomware e lo fornisce ad affiliati che lo utilizzano in campagne autonome. Questo meccanismo decentralizzato rende difficile attribuire gli attacchi e ne amplia la portata, rendendo vulnerabili aziende di qualsiasi settore e dimensione.
Sebbene non siano sempre pubblici i dettagli tecnici degli ingressi iniziali, le ricostruzioni disponibili indicano che DragonForce sfrutta spesso social engineering, servizi esposti e configurazioni deboli, piuttosto che vulnerabilità sofisticate.
È un approccio che conferma una realtà nota: spesso è la mancata protezione e formazione di base a permettere un attacco devastante.
Indice degli argomenti
DragonForce: esfiltrazione dati e impatto reputazionale
La strategia del gruppo non si limita a bloccare i sistemi: DragonForce utilizza una forma avanzata di doppia estorsione, che prevede la sottrazione dei dati prima della cifratura. Anche se un’azienda è in grado di ripristinare i sistemi, resta esposta al ricatto sulla pubblicazione dei dati sensibili.
I file rubati vengono spesso minacciati di divulgazione su canali pubblici – dark web, social media e non solo – amplificando il danno reputazionale.
Nel caso di Co-op, ad esempio, i dati sottratti riguardavano milioni di clienti del programma fedeltà. L’impatto non è stato solo tecnico, ma anche sulla fiducia degli utenti, sulla continuità operativa e sul rischio normativo. Il vero messaggio? Nessuna azienda è esclusa.
Proprio per questo, la risposta non può limitarsi al ripristino dei dati: serve una protezione preventiva, che garantisca l’inaccessibilità del dato anche in caso di breach. Tecnologie come il cyber storage stanno emergendo proprio in quest’ottica: sistemi di archiviazione progettati nativamente per resistere a tentativi di accesso non autorizzato, esfiltrazione e compromissione.
Gli analisti di Gartner hanno infatti identificato il cyber storage tra i sei principali trend strategici IT del 2025, consigliando alle aziende di dotarsi di soluzioni capaci di frammentare, distribuire e proteggere il dato su più sedi geografiche, minimizzando così il rischio di compromissione.
La vera vulnerabilità: farsi trovare impreparati
In uno scenario di attacco, la differenza non la fa il firewall, ma la capacità di recuperare rapidamente dati e servizi essenziali.
Molte aziende, anche di grandi dimensioni, confondono il backup con il disaster recovery. Il primo è una copia dei dati. Il secondo è un piano strutturato e testato, che risponde a domande come:
- Quanto tempo il mio business può rimanere offline senza danni economici?
- Quali dati devo ripristinare per primi?
- Chi prende decisioni, e con quali strumenti?
- Dove sono conservate le copie dei dati, e sono al sicuro?
A queste domande se ne aggiunge oggi una altrettanto critica: i dati salvati sono anche protetti da accessi non autorizzati?
La capacità di ripristinare è fondamentale, ma lo è anche la prevenzione della perdita dei dati prima che avvenga la cifratura, come ci dimostra il caso DragonForce.
Un piano di disaster recovery moderno deve includere storage resilienti agli attacchi, controlli di accesso rigorosi, policy di segregazione dei ruoli e sistemi progettati per la sicurezza by design.
Il contesto normativo: NIS2 e responsabilità operative
Con l’entrata in vigore della direttiva NIS2, molte organizzazioni italiane – pubbliche e private – sono chiamate a garantire resilienza operativa, continuità dei servizi critici e protezione dei dati.
In caso di attacco, non basta dire “abbiamo un backup”: occorre dimostrare di aver adottato misure organizzative e tecniche adeguate, come richiesto anche dal GDPR.
Una strategia incompleta può portare a interruzioni prolungate, perdite economiche e sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale sia il valore più elevato.
La regola 3-2-1-1-0: più che una best practice, una necessità
Tra gli approcci più consolidati a livello internazionale, il modello 3-2-1-1-0 backup consigliato da Veeam offre una guida concreta per strutturare una strategia di backup resiliente:
- 3 copie dei dati;
- 2 supporti diversi;
- 1 copia offsite, separata fisicamente o logicamente;
- 1 copia immutabile, non modificabile nemmeno dagli amministratori;
- 0 errori nei test di ripristino.
Applicare questa strategia significa prepararsi al peggio, ridurre al minimo i tempi di interruzione e aumentare la capacità di reazione anche in caso di attacco ransomware.
Backup offsite e immutabile: un tassello chiave
Uno degli elementi più critici – e spesso trascurati – è la copia offsite. Quando tutte le copie dei dati si trovano nella stessa infrastruttura (in locale o cloud principale), un attacco ben condotto può comprometterle simultaneamente.
Una copia offsite efficace deve essere:
- fisicamente o logicamente isolate;
- immutabile per un periodo definito;
- conservata su territorio europeo, per garantire compliance e sovranità del dato.
Questi requisiti sono sempre più centrali anche nei controlli dell’ACN e nelle valutazioni del rischio ICT in ambito enterprise.
Esempio concreto: cloud europeo per backup offsite
Alcune organizzazioni italiane – anche in ambito sanitario e pubblico – stanno adottando soluzioni di cloud object storage compatibili con S3, progettate per rispondere a questi requisiti.
Tra queste, Cubbit rappresenta un esempio pratico: consente di archiviare copie immutabili, frammentate e cifrate dei backup in ambiente europeo e geo-distribuito, integrabile velocemente nei workflow con standard S3 (come Veeam) e con un modello di costo prevedibile.
Non è una soluzione completa, ma può essere un tassello importante in una strategia 3-2-1-1-0 ben progettata.
Non si tratta di sé, ma di quando
Gli attacchi condotti da gruppi come DragonForce dimostrano che nessuna azienda è troppo piccola o troppo preparata per essere colpita.
Il vero rischio non è subire un attacco, ma non essere in grado di reagire in modo efficace.
Nel 2025, essere pronti significa saper conservare i dati in maniera sicura e sovrana e saperli ripristinare integramente e con processi chiari – non solo “avere un backup”.
Se stiamo valutando di integrare il nostro piano di disaster recovery con una soluzione di cloud storage anti-ransomware, 100% europea, ed economicamente efficiente, puoi attivare una prova gratuita di Cubbit o contattare direttamente il team sul sito ufficiale.
Articolo realizzato in collaborazione con Cubbit.
