El correo llega un martes cualquiera: archivos cifrados, una nota de rescate y un reloj que avanza. En ese momento, la pregunta que define el desenlace no es cuánto cuesta el rescate, sino una mucho más incómoda: ¿podemos restaurar todo desde un backup que sepamos que está limpio? Demasiadas organizaciones descubren, justo en ese instante, que sus copias de seguridad también fueron cifradas. Tener backups no es lo mismo que tener recuperación.
En corto: El ransomware moderno busca y ataca primero sus copias de seguridad. Un backup solo sirve para recuperarse si es inmutable, está aislado de la red de producción y existe en varias copias (regla 3-2-1). Y nada de eso cuenta si usted nunca probó la restauración completa de extremo a extremo.
Durante años, el respaldo se diseñó pensando en fallas de hardware, borrados accidentales o desastres físicos. El ransomware cambió las reglas: ya no es un evento aleatorio, sino un adversario que estudia su infraestructura antes de actuar.
Los atacantes saben que su mejor defensa es el backup, así que lo convierten en su primer objetivo. Entre las causas más comunes de fallo encontramos:
El resultado es siempre el mismo: la copia existe, pero no sirve. Recuperarse exige diseñar el respaldo asumiendo que el atacante intentará destruirlo.
La inmutabilidad significa que, una vez escrito, un backup no puede modificarse ni eliminarse durante un período definido, ni siquiera por un administrador con credenciales válidas. Es la diferencia entre "tengo copias" y "tengo copias que el ransomware no puede tocar".
Existen varias formas de lograrlo:
La clave es que la protección no dependa solo de la buena voluntad o de un permiso que pueda revocarse. Si un operador comprometido puede borrar la copia, esa copia no es realmente inmutable.
El aislamiento consiste en mantener al menos una copia fuera del alcance directo de la red de producción. El concepto clásico es el air gap: una brecha de aire entre sus datos vivos y su respaldo, de modo que un ataque que se propaga por la red no encuentre camino hacia las copias.
El air gap tradicional eran cintas guardadas físicamente fuera de línea. Hoy conviven varios enfoques:
El principio rector es sencillo: si su producción y su backup se comprometen con la misma llave, no tiene dos defensas, tiene una sola con copia de respaldo inútil.
La regla 3-2-1 sigue siendo el punto de partida más sólido para pensar en respaldo:
Frente al ransomware, muchas organizaciones la extienden a 3-2-1-1-0: añaden 1 copia inmutable o aislada (offline/air gap) y exigen 0 errores en las pruebas de recuperación. La idea no es memorizar números, sino entender que la diversidad de copias y la separación física o lógica son lo que rompe la capacidad del atacante de destruir todo a la vez.
Cuando el ataque detona, el instinto es restaurar la copia más nueva. Pero si el ransomware llevaba semanas cifrando o corrompiendo datos de forma silenciosa, la copia más reciente puede estar ya contaminada. Recuperarse bien implica identificar un punto de restauración confiable: el último estado conocido como limpio.
Para lograrlo necesita:
La recuperación también es una decisión de tiempo. Sus objetivos de RPO (cuántos datos puede permitirse perder) y RTO (en cuánto tiempo debe volver a operar) determinan con qué frecuencia respalda y qué tan rápido puede levantarse. Una solución como SyncDR está pensada para replicar y orquestar la recuperación con esos objetivos en mente.
Un respaldo no probado es una hipótesis, no un seguro. La única forma de saber que puede recuperarse es ensayarlo, de forma regular y realista. Las pruebas deben responder con datos, no con suposiciones:
Estas pruebas son el corazón de un plan de recuperación ante desastres bien gobernado. Si quiere estructurar ese plan, su alcance y su cadencia de pruebas, nuestra práctica de planes de recuperación ante desastres ayuda a llevarlo de la teoría a algo verificable.
Porque los atacantes saben que el respaldo es su salida sin pagar. Si las copias están en la red con credenciales accesibles, las cifran o borran junto con producción. Por eso la inmutabilidad y el aislamiento son hoy parte del diseño básico, no un lujo.
La nube ayuda solo si esa copia está realmente aislada: con autenticación independiente, inmutabilidad activada y separada del directorio de su entorno principal. Una copia en la nube accesible con las mismas llaves comprometidas se cifra igual que cualquier carpeta de red.
Con la frecuencia suficiente para tener confianza antes de necesitarla, y cada vez que cambie de forma relevante su infraestructura o sus sistemas críticos. Lo importante es que la prueba sea completa y medida contra sus objetivos de RTO y RPO, no una verificación superficial.
El backup es la copia de los datos; la recuperación ante desastres es la capacidad de volver a operar usando esas copias, con procesos, roles y tiempos definidos. Tener lo primero sin lo segundo es justamente lo que falla cuando llega el ataque.
No espere al martes del correo cifrado para descubrir si sus copias funcionan. El primer paso es honesto y concreto: revisar si sus backups actuales son inmutables, si al menos una copia está aislada de producción y si alguna vez se restauraron de extremo a extremo. Si la respuesta a cualquiera de esas preguntas es "no estoy seguro", ahí está su brecha. En SUMāTO acompañamos a las organizaciones de LATAM a diseñar respaldo y recuperación que resisten al ransomware, no que solo lo aparentan. Conversemos sobre su plan de recuperación y convirtamos sus copias en una salida confiable.