Por qué el ransomware convierte las copias de seguridad en el objetivo, no en la red de seguridad
Durante años, la copia de seguridad fue la excepción que hacía que el ransomware resultara superable: se cifraba la producción, se restauraba desde la copia de seguridad y se seguía adelante. Los atacantes se han puesto al día. En la encuesta 2025 Ransomware Trends de Veeam, realizada entre 1,300 organizaciones que habían sufrido un ataque, el 89% tuvo sus repositorios de backup como objetivo directo del ataque, no como algo secundario, sino como un objetivo de primer orden dentro de la cadena de ataque. Destruir o corromper la red de seguridad antes de cifrar la producción es ya un procedimiento operativo estándar, porque elimina la capacidad de negociación de la víctima antes incluso de que llegue la nota de rescate.
El resultado se refleja en las cifras de recuperación. El informe State of Ransomware 2025 de Sophos reveló que solo el 54% de las organizaciones utilizó copias de seguridad para restaurar sus datos tras un ataque, la tasa más baja en los seis años que lleva realizándose la encuesta. Entre las organizaciones que terminaron pagando más de lo que exigía originalmente el atacante, el 38% citó copias de seguridad fallidas o defectuosas como la razón por la que no tuvieron una opción mejor. Una copia de seguridad que existe sobre el papel no es lo mismo que una copia de seguridad que se restaura sin problemas bajo presión.
Esa brecha —entre «tenemos copias de seguridad» y «tenemos copias de seguridad resilientes frente al ransomware»— se reduce a tres pilares: inmutabilidad, aislamiento y recuperación probada. No son controles independientes que se puedan combinar a voluntad. Si falta alguno de ellos, los otros dos no lo compensan: una copia de seguridad inmutable a la que el atacante no puede acceder solo es útil si realmente se restaura, y un plan de restauración bien probado no vale nada si la copia de seguridad de la que depende fue eliminada antes de que empezara siquiera el simulacro.
Los tres pilares, en detalle
1. Inmutabilidad: copias de seguridad que el atacante no puede tocar
La inmutabilidad significa que una copia de seguridad no puede alterarse ni eliminarse durante su periodo de retención: ni por un script de retención mal configurado, ni por una cuenta de administrador comprometida, ni por el atacante que ya ha obtenido credenciales de administrador de dominio. En la práctica, se aplica mediante el bloqueo de objetos (object lock) en almacenamiento en la nube o de objetos, hardware Write Once Read Many (WORM), o un repositorio Linux reforzado con bloqueos de retención aplicados a nivel de almacenamiento, independientes de los controles de acceso propios de la aplicación de backup.
Esta distinción importa porque los operadores de ransomware actuales buscan activamente repositorios de backup accesibles con credenciales de producción y los eliminan o cifran primero, antes de tocar los datos principales. Si la misma cuenta administrativa que gestiona su software de backup también puede eliminar los puntos de restauración del mes pasado, la inmutabilidad no está realmente implementada: es una configuración que un atacante con suficientes privilegios puede desactivar en minutos.
La guía de CISA sobre ransomware es explícita en este punto: mantenga copias de seguridad offline, cifradas e inmutables, verifíquelas con regularidad y trátelas como la última línea de defensa, no como lo primero que el atacante tiene que superar.
2. Aislamiento: un plano de identidad independiente y una copia a la que el atacante no puede llegar en absoluto
La inmutabilidad protege una copia de seguridad frente a modificaciones. El aislamiento la protege, antes que nada, de que se pueda llegar hasta ella. Ambos conceptos son complementarios, no intercambiables, y las empresas que implementan solo uno de ellos suelen descubrir la brecha durante un incidente real, no durante una revisión de diseño.
El aislamiento tiene dos componentes. El primero es un plano de identidad independiente: la infraestructura de backup no debería confiar en el mismo dominio de Active Directory, las mismas credenciales administrativas ni el mismo segmento de red plano que la producción. Que un controlador de dominio se vea comprometido no debería significar automáticamente que el entorno de backup también lo esté; si lo está, el atacante solo necesitó comprometer una cosa, no dos. El segundo componente es una copia genuinamente offline o con air gap: como mínimo, una copia de los datos críticos que no tenga ninguna ruta de red permanente desde la producción, ya sea mediante rotación de cintas offline, un destino de replicación desconectado que solo está en línea brevemente para recibir datos, o un nivel en la nube sin credenciales persistentes almacenadas en ningún lugar accesible desde el entorno de producción.
La investigación de Veeam encontró que las organizaciones que priorizan este tipo de resiliencia aislada y por capas se recuperan de ataques de ransomware hasta siete veces más rápido que las que no lo hacen, con una pérdida de datos considerablemente menor en el proceso. El aislamiento es lo que hace posible esa diferencia: es la distancia entre un atacante que tiene que realizar un trabajo adicional real para llegar hasta su punto de recuperación y uno que ya tiene una sesión abierta hacia él porque comparte plano de identidad con los sistemas que acaba de comprometer.
3. Recuperación probada: demostrar que la restauración funciona antes de necesitarla
El menos vistoso de los tres pilares es también el que las organizaciones más suelen omitir, y eso se nota en los resultados. En una encuesta del sector realizada en 2025, el 62% de las organizaciones reconoció no realizar pruebas periódicas de backup y restauración, y el 37% afirmó no poder recuperarse dentro de su objetivo de tiempo de recuperación (RTO) exigido, específicamente porque faltaban copias de seguridad o simplemente nunca se habían validado. La confianza y la realidad divergen aquí de forma notable: más del 60% de las organizaciones cree que puede recuperarse de una interrupción en cuestión de horas, pero solo alrededor de un tercio lo consigue realmente cuando se pone a prueba.
Las restauraciones no probadas fallan de formas que permanecen invisibles hasta el momento en que más importan: cadenas de backup rotas, dependencias de consistencia de aplicaciones que faltan, credenciales de cuentas de servicio caducadas meses atrás, o runbooks escritos para una topología de infraestructura que ya no existe. Saltarse la validación conlleva además un riesgo más grave que el simple tiempo de inactividad: se estima que el 63% de las organizaciones corre el riesgo de reintroducir una infección durante la restauración porque, bajo presión de tiempo, se saltan el escaneo de integridad y de malware, recuperando en la práctica la misma carga maliciosa que causó la interrupción en primer lugar.
Un programa de recuperación realmente probada implica simulacros de restauración completos y programados en un entorno de recuperación aislado —no solo notificaciones de «trabajo de backup completado con éxito»— validados frente a los RTO que el negocio realmente necesita, no frente a cifras que simplemente resultan tranquilizadoras en una presentación.
Qué aspecto tiene cuando los tres pilares se sostienen
Los datos de Sophos de 2025 ofrecen un contraejemplo útil frente a las estadísticas más llamativas: entre las organizaciones que sí tuvieron datos cifrados por un atacante, el 97% aun así logró recuperarlos. La diferencia entre ese grupo y la pequeña minoría que no lo consiguió casi siempre se remonta a que uno de los tres pilares era, en la práctica, más débil de lo que parecía sobre el papel: un bloqueo de retención que podía anularse con el rol equivocado, una red de backup «independiente» que en realidad seguía confiando en el mismo dominio, o una restauración que nunca se había ensayado realmente de principio a fin.
El coste de hacerlo mal
Los tres pilares no son una lista de buenas prácticas abstracta: se traducen directamente en cuánto cuesta un incidente de ransomware y cuánto dura. El coste medio de recuperarse de un ataque de ransomware, sin contar ningún rescate pagado, asciende a aproximadamente $1.53 million. Solo el 53% de las víctimas se recuperó por completo en una semana; el resto pasó más de siete días en algún estado de interrupción, con el tiempo de inactividad, la pérdida de productividad y el trabajo de respuesta al incidente acumulándose día a día.
La postura de seguridad de backup es una de las pocas variables de esa ecuación que una organización controla por completo. Que el primer movimiento de un atacante contra su repositorio de backup tenga éxito o fracase depende por completo de decisiones tomadas meses antes, no durante el propio incidente. Para cuando un actor de amenazas tiene credenciales de administrador de dominio y está explorando en busca de su plataforma de backup, la inmutabilidad, el aislamiento y la recuperación probada ya están implementados o no lo están; no hay oportunidad de improvisarlos bajo presión.
Errores comunes que socavan silenciosamente los tres pilares
En las revisiones posteriores a incidentes se repite un puñado de patrones:
- Confundir las instantáneas (snapshots) con copias de seguridad. Una instantánea de VMware es un delta de un momento concreto almacenado en el mismo datastore que la VM que protege, no una copia independiente. Crece sin límite, degrada el rendimiento y desaparece en el momento en que lo hace el datastore. Las instantáneas son una función de conveniencia para reversiones de corta duración, no una estrategia de recuperación.
- Tratar «inmutable» como una casilla que marcar en lugar de una propiedad verificada. El bloqueo de objetos y las políticas de retención deben probarse frente al rol administrativo exacto que gestiona la plataforma de backup, no limitarse a documentarse en una guía de configuración.
- Llamar «aislada» a una segunda copia que está en el mismo dominio de identidad. Si las mismas credenciales que se vieron comprometidas en producción pueden autenticarse en el repositorio de backup, la separación geográfica o de plataforma no proporciona un aislamiento real.
- Medir el éxito por la finalización del backup y no por la verificación de la restauración. Una marca verde en el trabajo de anoche le indica que los datos se escribieron en algún sitio. No le indica que esos datos sean recuperables, consistentes a nivel de aplicación y estén libres del malware que motivó la restauración en primer lugar.
Aquí es donde entra BackupSec
En BackupSec, ayudamos a los equipos de las empresas a operar sus entornos de backup exactamente conforme a estos tres pilares, no sustituyendo su plataforma de backup, sino haciendo que la seguridad de backup sea observable, asesorable y demostrable.
Nuestro enfoque combina tres capas:
- ZeroMON ofrece observabilidad continua sobre todo el entorno de backup: monitorización lista para Veeam con seguimiento de trabajos en tiempo real, comprobaciones de seguridad automatizadas, registros de auditoría forense para detectar desviaciones de configuración e informes de cumplimiento con un solo clic. Esta es la capa que convierte «la inmutabilidad está configurada» de una suposición en una evidencia.
- ZeroTAM proporciona asesoramiento experto dedicado sobre arquitectura de backup, diseño de aislamiento y planificación de recuperación ante ransomware: la capa humana que la mayoría de las empresas necesita para interpretar lo que su entorno de backup les está diciendo realmente y para diseñar un aislamiento que sobreviva al contacto con un incidente real.
- ZeroPEN somete su infraestructura de backup a pruebas de penetración tal y como lo haría un adversario real —apuntando a los planos de gestión, los controles de acceso y la configuración de inmutabilidad— y después ejecuta escenarios de restauración reales para validar que puede recuperarse de forma limpia, completa y dentro del RTO establecido, no solo que un trabajo de backup informó de éxito.
BackupSec se implementa on-premise, se conecta a sus aplicaciones de backup mediante acceso de API de solo lectura y nunca traslada los datos de backup fuera de su entorno.
Hable con BackupSec sobre su postura de seguridad de backup →
¿Listo para descubrir si sus propias copias de seguridad resistirían? Evalúe su entorno con la evaluación gratuita de seguridad de backup.