Il punto debole non è più il singolo endpoint: se un attaccante entra nel piano di controllo Azure, può togliere fiducia a backup, immutabilità e resource lock e rendere il tenant irrecuperabile anche senza cifrare visibilmente una workstation. In questo schema, il danno vero è la perdita della capacità di ripristino, non il blocco di un solo host.
Tenable ha pubblicato nuove detection per Storm-0501 proprio per intercettare questo passaggio. Il gruppo usa identità cloud ad alto privilegio e controlli nativi di Azure per disattivare le protezioni che normalmente fermano o limitano il recupero; per questo il monitoraggio delle modifiche di configurazione è il segnale da guardare, non solo l’alert su malware o encryption.
La rilevanza non si ferma ad Azure: ovunque il ripristino dipenda da controlli amministrativi interni, la stessa logica vale. Quando quei controlli possono essere alterati dall’interno, la resilienza diventa una proprietà del tenant e non più solo dei backup.