Backup compromis în ransomware: ce este un Cyber Vault | Medialine
De ce backup-ul este prima țintă într-un atac ransomware și cum asigură o copie izolată, imutabilă și verificată recuperarea reală a datelor critice.
Backup-ul este prima țintă într-un atac ransomware. Ce înseamnă o copie pe care te poți baza
Faptul că o companie are backup nu înseamnă că își va recupera datele. Într-un atac ransomware, copiile de rezervă sunt primele căutate, pentru că o companie care poate restaura nu are motive să plătească. Atacatorii știu asta, așa că neutralizează backup-ul înainte de a cripta sistemele de producție. Multe organizații află abia în timpul incidentului că plasa de siguranță pe care contau dispăruse cu câteva zile înainte.
ENISA Threat Landscape 2026, publicat pe 22 septembrie 2026, analizează 8.257 de incidente înregistrate în Uniunea Europeană în cursul anului 2025 și arată că ransomware-ul rămâne tipul de incident cu cel mai mare impact pe termen scurt asupra organizațiilor. Operatorii combină criptarea datelor cu furtul lor și cu extorcarea, iar efectele se resimt în mai multe sectoare în același timp.
„Diferența importantă este între a avea o copie a datelor și a ști că te poți întoarce la o copie sigură după un incident. Dacă backup-ul poate fi accesat și compromis odată cu infrastructura principală, simpla lui existență nu rezolvă problema recuperării în siguranță a datelor”
Elena Radu, Director Operațional Medialine România
De ce ajunge atacul la backup înainte de a ajunge la date
Un backup conectat permanent la rețeaua operațională este, din perspectiva atacatorului, încă un sistem în aceeași rețea. Dacă este administrat cu aceleași conturi ca restul infrastructurii și stă pe același storage, compromiterea unui cont de administrator de domeniu deschide direct consola de backup, politicile de retenție și repository-ul. Copiile sunt șterse sau criptate, retenția este redusă la zero, iar criptarea producției vine abia după aceea.
Ce face o copie să fie cu adevărat utilizabilă după incident
O copie a datelor critice separată de mediul operațional trebuie să îndeplinească trei condiții în același timp. Să nu poată fi modificată sau ștearsă în perioada de retenție stabilită. Să fie izolată fizic sau logic de infrastructura curentă. Să poată fi verificată înainte de recuperare. Dacă una lipsește, celelalte două nu acoperă golul.
În practică, referința folosită în industrie este regula 3-2-1-1-0, care cere trei copii ale datelor, pe două tipuri de suport, una păstrată în altă locație, una offline sau imutabilă și zero erori la testul de restaurare.
Regula 3-2-1-1-0
Imutabilitatea nu este automat o garanție
Mecanismele de tip WORM (Write Once, Read Many) permit scrierea datelor fără ca acestea să mai poată fi modificate pe durata retenției. Protecția ține însă doar atât timp cât retenția nu poate fi scurtată din aceleași conturi care administrează infrastructura compromisă.
Aici fac diferența câteva decizii de implementare. Modul de retenție contează, pentru că un mod permisiv lasă un administrator să reducă perioada de blocare. Identitățile trebuie separate complet, astfel încât platforma de păstrare să nu se autentifice în directorul companiei. Chiar și sursa de timp are importanță, fiindcă un sistem care își ia ora dintr-un serviciu compromis poate fi convins că retenția a expirat.
Ce este un Cyber Vault
Un Cyber Vault este un spațiu de stocare izolat fizic și logic de rețeaua operațională, în care se păstrează o copie imutabilă a datelor critice.
Spre deosebire de un backup obișnuit, care rămâne conectat la infrastructura pe care o protejează, vault-ul nu are legătură permanentă cu producția. Conexiunea se deschide în intervale scurte, cât să se sincronizeze datele, apoi se închide la loc.
În vault se păstrează și o versiune standby a aplicației de backup, astfel încât recuperarea să nu depindă de sistemele afectate de atac.
„Vorbim despre o copie a celor mai importante informații păstrată într-un mediu separat, la care sistemele operaționale nu au acces permanent. Cyber Vault-ul reprezintă locul în care păstrăm datele pe care trebuie să ne putem baza după un incident”
Elena Radu, Director Operațional Medialine România
Cea mai recentă copie nu este neapărat cea bună
O eroare frecventă de planificare este presupunerea că ultima copie este și cea curată. Dacă atacatorul a fost prezent în infrastructură două săptămâni înainte de criptare, copiile din acel interval conțin deja mecanismul lui de acces. O restaurare rapidă readuce în producție exact ceea ce a produs incidentul.
De aceea recuperarea presupune două lucruri pe care niciun backup nu le oferă singur. Primul este stabilirea momentului compromiterii, printr-o investigație care arată de unde se poate restaura în siguranță. Al doilea este verificarea copiilor înainte de repunere, într-un mediu separat de tip cleanroom, unde datele sunt scanate și validate fără contact cu rețeaua de producție. Vault-ul rămâne neatins pe toată durata operațiunii.
De ce exercițiile arată zile acolo unde planul spune ore
Un plan clasic de disaster recovery măsoară cât durează repornirea sistemelor după o defecțiune. Un incident ransomware se comportă altfel. Între detectare și revenirea în producție intră investigația, rotația completă a credențialelor, de multe ori reconstrucția controlerelor de domeniu și validarea fiecărui sistem restaurat. Așa ajunge un RTO de patru ore scris pe hârtie să însemne, în realitate, câteva zile.
Pentru conducere, întrebarea relevantă nu este dacă backup-ul rulează, ci în cât timp poate fi repusă în funcțiune o versiune verificată a datelor și cât poate funcționa compania până atunci. Răspunsul vine dintr-un exercițiu de restaurare, nu dintr-un raport care confirmă că job-ul s-a executat cu succes.
Ce cere NIS2 în România
Directiva (UE) 2022/2555, cunoscută drept NIS2, prevede la art. 21 alin. (2) lit. (h) măsuri de continuitate a activității care includ gestionarea copiilor de rezervă, redresarea în caz de dezastru și managementul crizelor. În România directiva a fost transpusă prin OUG nr. 155/2024, aprobată și modificată prin Legea nr. 124/2025, iar autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).
Obligația nu se oprește la existența copiilor de rezervă. Sunt necesare proceduri documentate de restaurare și roluri clare pentru situații de criză. Directiva prevede și responsabilități în sarcina organelor de conducere, care aprobă măsurile de gestionare a riscurilor și răspund pentru implementarea lor.
Cum abordăm subiectul la Medialine
Modelul descris mai sus este livrat prin Cyber Recovery as a Service (CRaaS). Datele critice sunt salvate izolat și replicate într-un Cyber Vault, planul de intervenție și manualul de criză sunt documentate și actualizate, iar testele periodice de recuperare arată unde sunt punctele slabe înainte ca ele să conteze. Recuperarea efectivă se face controlat, într-un mediu de tip cleanroom.
În spate stau peste două decenii de experiență a grupului în infrastructură, datacentere în România și Germania și certificări ISO 9001 și ISO/IEC 27001.
„În cazul unui incident major, timpul de recuperare poate avea un impact direct asupra activității companiei. De aceea, planul trebuie construit înainte de incident: ce date sunt critice, unde sunt păstrate copiile acestora și cum se face recuperarea într-un mediu sigur”
Elena Radu, Director Operațional Medialine România
Primul pas nu presupune nicio schimbare de infrastructură. Un exercițiu de recuperare pe sistemele critice arată în cât timp revine efectiv activitatea și unde se rupe planul actual.
Întrebări frecvente
Poate fi criptat backup-ul într-un atac ransomware?
Da. Un backup accesibil din rețeaua operațională și administrat cu aceleași conturi poate fi șters, criptat sau golit de retenție înainte ca atacul să ajungă la sistemele de producție.
Care este diferența dintre un backup imutabil și un Cyber Vault?
Backup-ul imutabil împiedică modificarea datelor pe durata retenției, dar rămâne de obicei în aceeași rețea. Cyber Vault-ul adaugă izolarea mediului, separarea identităților de administrare și verificarea datelor într-un cleanroom înainte de restaurare.
Ce înseamnă WORM?
Write Once, Read Many, un mecanism prin care datele pot fi scrise o singură dată și nu mai pot fi modificate sau șterse până la expirarea perioadei de retenție.
Ce este un cleanroom de recuperare?
Un mediu izolat în care copiile de siguranță sunt restaurate, scanate și validate înainte de a fi reintroduse în producție, ca să nu fie readus un sistem deja compromis.
De ce nu este suficientă cea mai recentă copie de backup?
Pentru că atacatorul poate fi prezent în infrastructură de săptămâni înainte de criptare, iar copiile din acel interval conțin deja mecanismul lui de acces. Punctul de restaurare se alege după ce se stabilește momentul compromiterii.
Ce cere NIS2 în România privind backup-ul?
Art. 21 alin. (2) lit. (h) din Directiva NIS2, transpus prin OUG nr. 155/2024 și aprobat prin Legea nr. 124/2025, impune măsuri de continuitate a activității care includ gestionarea copiilor de rezervă, redresarea în caz de dezastru și managementul crizelor, cu proceduri documentate și roluri definite.