Una cifra discreta que debería estar haciendo saltar las alarmas
Cada año, Sophos publica su informe State of Ransomware basado en una encuesta independiente de proveedores realizada a miles de líderes de TI y ciberseguridad. La edición de 2025 encuestó a 3.400 participantes en 17 países, incluidos 1.733 de organizaciones empresariales (más de 1.000 empleados). Los hallazgos principales resultan de lectura convincente: las tasas de cifrado de datos están cayendo, la recuperación es cada vez más rápida y más organizaciones se niegan a pagar el rescate.
Pero, enterrada dentro de los datos empresariales, hay una cifra que debería estar en la pizarra de todo CISO:
El uso de backups para recuperarse de ataques de ransomware cayó del 73% en 2024 al 53% en 2025, el nivel más bajo en cuatro años.
Léelo de nuevo. En el año en que los defensores supuestamente mejoraron a la hora de detener el ransomware, empeoraron de forma medible a la hora de confiar en sus propios backups para recuperarse de él.
Esto no es una nota a pie de página menor. Es el hallazgo estratégicamente más importante de todo el conjunto de datos de Sophos, y casi nadie está hablando de ello.
En BackupSec, leímos el informe de Sophos de 2025 de manera distinta a como lo hicieron la mayoría de los resúmenes de analistas. Las cifras principales cuentan una historia; los datos operativos subyacentes cuentan otra. Este artículo recorre lo que creemos que el informe revela realmente sobre la resiliencia moderna ante el ransomware, y por qué la confianza en los backups se ha convertido silenciosamente en la métrica más importante de la ciberdefensa empresarial.
La narrativa superficial: la defensa va ganando
Empecemos por las buenas noticias, porque realmente las hay.
Según Sophos:
- Las tasas de cifrado de datos cayeron al 50% a nivel mundial, el nivel más bajo en los seis años de historia del informe, frente al 70% del año anterior.
- En las organizaciones empresariales, las tasas de cifrado cayeron hasta apenas el 49%, frente al 66% de 2024.
- El porcentaje de ataques detenidos antes del cifrado se ha más que duplicado en dos años, pasando del 22% en 2023 al 47% en 2025.
- El coste medio de recuperación cayó de 2,73 millones de dólares a 1,53 millones de dólares a nivel mundial.
- El pago de rescate medio cayó un 50%, de 2 millones de dólares en 2024 a 1 millón de dólares en 2025.
- El 53% de las organizaciones se recuperaron por completo en una semana, un fuerte aumento frente al 35% del año anterior.
Si solo lees estas cifras, concluirías que el sector ha dado un giro decisivo. El EDR está madurando. Los tiempos de detección están bajando. La negociación se está volviendo más sofisticada. Las aseguradoras presionan con más fuerza en torno a los controles mínimos. Todo cierto.
Pero luego llegas a los datos de recuperación, y la historia deja de tener sentido.
La contradicción que lo revela todo
He aquí el dato que rompe la narrativa optimista:
Entre las organizaciones empresariales afectadas por el ransomware en 2025, solo el 53% utilizó backups para recuperar sus datos cifrados. Esa cifra era del 73% apenas un año antes. Mientras tanto, el 48% de las empresas pagó el rescate de todos modos, una cifra prácticamente estable frente a años anteriores.
Dicho de otro modo: el cifrado ocurre con menos frecuencia, pero cuando ocurre, menos organizaciones confían en sus backups para salir del paso. En su lugar, echan mano de la cartera.
El propio análisis de Sophos lo enmarca como una "confianza reducida en las capacidades de recuperación de los backups". Esa es una forma educada de decir algo más contundente:
La infraestructura de backup que se les dijo a las empresas que las protegería está, en incidentes reales, sin cumplir lo prometido.
Esta es la contradicción que está en el corazón del informe de 2025. Los defensores son cada vez mejores a la hora de detener los ataques de forma temprana. Pero, en el momento en que un ataque realmente tiene éxito y los datos se cifran, la capa de recuperación que debería ser la red de seguridad se está sorteando cada vez más en favor de pagar a los delincuentes.
Eso no es una historia sobre un ransomware cada vez más difícil. Es una historia sobre una arquitectura de backup que queda al descubierto.
¿Por qué fallan los backups en el momento de la verdad?
El informe de Sophos no responde directamente a esta pregunta, pero los datos que la rodean se conectan en una imagen coherente. Desde un punto de vista arquitectónico, tres patrones explican el desplome de la confianza en los backups.
Patrón 1: los backups se ven comprometidos junto con la producción
El informe de 2025 muestra que el 75% de los ataques de ransomware ahora implican exfiltración de datos antes del cifrado. Eso significa que los actores de amenazas modernos pasan días o semanas dentro de la red, identificando y accediendo a sistemas críticos —incluida la infraestructura de backup— antes siquiera de desplegar la carga de cifrado.
En las intervenciones de respuesta a incidentes que observamos en todo el sector, este tiempo de permanencia se utiliza de forma sistemática para hacer una cosa concreta: localizar el repositorio de backup, recolectar sus credenciales y, o bien cifrarlo, corromperlo o eliminar sus políticas de retención horas antes de que detone la carga de producción.
Si tu sistema de backup comparte un dominio, un proveedor de identidad o un conjunto de credenciales con tu entorno de producción, no es una capa de recuperación. Es el segundo objetivo de la cadena de ataque.
Patrón 2: "backup exitoso" no equivale a "restauración exitosa"
Los datos de Sophos muestran con claridad el coste humano: todos los encuestados de organizaciones que tuvieron datos cifrados informaron de que sus equipos de TI/ciberseguridad se vieron afectados de algún modo. El aumento del estrés (40% de los encuestados empresariales), el incremento de la presión por parte de la alta dirección (41%) y los cambios de liderazgo tras el incidente fueron resultados habituales.
Un patrón que se repite en estas historias es que el equipo descubre, en plena crisis, que los backups que llevan años operando no pueden restaurarse realmente con la velocidad o la integridad que el negocio requiere. Los registros de los trabajos dicen "éxito". La restauración cuenta una historia distinta.
Este es exactamente el modo de fallo que el "0" de la regla 3-2-1-1-0 fue diseñado para abordar: cero errores en la verificación de los backups. Pero la verificación es algo que la mayoría de las organizaciones afirma hacer y muy pocas hacen de forma continua, a escala y frente a los escenarios reales de recuperación a los que se enfrentarán en un incidente real.
Patrón 3: la capa organizativa es el eslabón más débil
Por primera vez en 2025, Sophos preguntó a los encuestados por los factores organizativos que contribuyeron a que sufrieran un ataque. Los hallazgos son llamativos:
- El 40,2% citó la "falta de experiencia": competencias o conocimientos insuficientes para detectar y detener el ataque a tiempo.
- El 40,1% citó "brechas de seguridad desconocidas": debilidades en sus defensas de las que no eran conscientes.
- Los encuestados identificaron una media de 2,7 factores contribuyentes por incidente.
Traduzcamos esto del lenguaje de las encuestas: los equipos de seguridad empresarial saben que tienen recursos insuficientes, saben que tienen puntos ciegos y saben que la complejidad ha superado su capacidad de gestionarla. La infraestructura de backup —normalmente la capa menos querida y menos modernizada del stack empresarial— se sitúa justo en la intersección de las tres debilidades.
Cuando las personas que gestionan tu entorno de backup son las mismas que se ocupan de la respuesta a incidentes, la aplicación de parches, la identidad y una docena de prioridades más, la capa de backup no recibe la atención arquitectónica que necesita. Y por eso, cuando se le pide que cumpla en un incidente, no lo hace.
Lo que los informes sectoriales añaden a la imagen
Sophos publicó varios desgloses sectoriales de los datos de 2025, y cada uno aporta matices que merecen atención.
En la industria manufacturera, las tasas de cifrado cayeron a un mínimo de cinco años del 40%, pero el rescate medio pagado aún alcanzó el millón de dólares, y el 47% de los fabricantes informó de un aumento del estrés del equipo tras un incidente. La dependencia del sector de la continuidad operativa —donde unos minutos de inactividad repercuten en cadenas de suministro enteras— hace que la confianza en la recuperación sea de importancia existencial.
En el comercio minorista, el 46% de los incidentes se atribuyó a una brecha de seguridad desconocida, y el 58% de las organizaciones con datos cifrados pagó el rescate, la segunda tasa de pago más alta en cinco años. Las demandas de rescate medias en el comercio minorista se duplicaron hasta los 2 millones de dólares.
El patrón en todos los sectores es coherente: las organizaciones son cada vez mejores a la hora de detener los ataques. No mejoran de forma proporcional a la hora de recuperarse de ellos. La brecha entre la madurez en prevención y la madurez en recuperación se está ampliando, y en esa brecha es donde viven los pagos de rescate.
Lo que recomienda el informe de Sophos (y lo que deja fuera)
Las propias recomendaciones de Sophos se centran en cuatro áreas: prevención, protección, detección y respuesta. Son sensatas y están bien respaldadas por los datos. En concreto, el informe recomienda:
- Eliminar las causas raíz técnicas y operativas más comunes (vulnerabilidades explotadas, controles de identidad débiles).
- Reforzar la seguridad fundamental con configuraciones endurecidas, MFA y disciplina en la aplicación de parches.
- Invertir en capacidades de Detección y Respuesta Gestionadas (MDR).
- Preparar planes detallados de respuesta a incidentes.
Todo correcto. Todo necesario. Pero hay un quinto pilar que el informe no sitúa en el centro, y las cifras de uso de backups de 2025 son la razón por la que debería hacerlo:
La propia arquitectura de recuperación debe modernizarse, no solo defenderse.
Un entorno de backup diseñado para recuperarse de fallos de hardware y borrados accidentales no es lo mismo que un entorno de backup diseñado para recuperarse de un adversario decidido que lleva dos semanas dentro de la red. El primero es un problema de redundancia. El segundo es un problema de arquitectura. Y los datos muestran que la mayoría de los entornos de backup empresariales siguen funcionando como el primero.
La brecha de confianza en los backups: qué medir en su lugar
Si solo te llevas un cambio operativo del informe de Sophos de 2025, que sea este: deja de medir la tasa de éxito de los backups y empieza a medir la confianza en los backups.
La tasa de éxito de los backups es la métrica que tu software de backup te ofrece gratis. Dice: "¿Se completó el trabajo?". Esa métrica ahora carece de sentido como indicador de recuperación. Los actores de amenazas lo saben, los defensores lo están aprendiendo poco a poco, y la brecha entre lo que muestra el panel y lo que un incidente realmente ofrece es precisamente de donde proviene la caída de 20 puntos en la recuperación basada en backups.
La confianza en los backups es una métrica distinta. Pregunta:
- ¿Podemos restaurar los sistemas de primer nivel desde almacenamiento inmutable dentro de nuestro RTO declarado, hoy, en condiciones adversas?
- ¿Funcionan nuestros procedimientos de recuperación cuando los proveedores de identidad de producción están comprometidos?
- ¿Hemos validado que nuestras políticas de retención no pueden ser modificadas por ninguna credencial de nivel de producción?
- ¿Monitorizamos la telemetría del sistema de backup en busca de comportamiento adversario, y no solo de la finalización de los trabajos?
- Cuando se le pregunta al equipo de respuesta a incidentes "¿deberíamos pagar?", ¿cuál es la base técnica de la respuesta?
Estas preguntas tienen respuesta. La mayoría de las empresas no saben actualmente cuáles son las suyas, y los datos de Sophos son la consecuencia de esa incertidumbre materializándose a gran escala.
Lo que extraemos de los datos de Sophos de 2025
Al leer el informe completo con atención, la historia que vemos no es la que contó la mayoría de los resúmenes. Es esta:
El sector ha mejorado de forma significativa a la hora de evitar que el ransomware llegue a desplegar toda su carga. Esa es una mejora real e importante, y merece reconocimiento.
Pero la capa de recuperación —la promesa arquitectónica de que las organizaciones nunca tendrían que pagar un rescate porque podrían restaurar desde backups limpios— se está vaciando en silencio. La caída de 20 puntos en la recuperación basada en backups es el humo. La brecha arquitectónica que hay debajo es el fuego.
Para las empresas que operan en sectores regulados, que gestionan entornos híbridos complejos o que simplemente no están dispuestas a financiar la próxima campaña de ransomware con su propia tesorería, esta es la conversación prioritaria para 2026. No "¿tenemos backups?" —todas las organizaciones de la encuesta de Sophos tenían backups—. La pregunta es: ¿sobrevive nuestra arquitectura de backup a un adversario real, y podemos demostrarlo antes de necesitarlo?
Cómo aborda BackupSec la brecha de confianza
En BackupSec, construimos nuestro servicio en torno a la premisa de que los entornos de backup deben ser observables, susceptibles de asesoramiento y demostrables en condiciones adversas, no solo operativos en condiciones nominales. Cada elemento de nuestro enfoque se corresponde con los fallos que los datos de Sophos dejan al descubierto:
- ZeroMON —nuestra plataforma de observabilidad— proporciona monitorización continua de las operaciones de backup y de las señales de seguridad: seguimiento de trabajos en tiempo real, alertas de desviación de configuración, registros de auditoría forense, analítica de capacidad y visibilidad lista para Veeam. Esta es la capa que detecta los fallos silenciosos de los backups que los datos de Sophos dan a entender. Es la respuesta operativa a "¿están nuestros backups haciendo realmente lo que el panel dice que están haciendo?".
- ZeroTAM —nuestro servicio de asesoría experta— ofrece a los equipos empresariales un asesor dedicado en seguridad de backups para revisiones de arquitectura, planificación de la recuperación ante ransomware, estrategia de capacidad y respuesta a crisis. Esta es la capa humana que aborda el hallazgo de la "falta de experiencia" citado por el 40,2% de los encuestados de Sophos, sin tickets de soporte rotativos ni orientación genérica.
- ZeroPEN —nuestro servicio de pruebas de penetración en backups y validación de recuperación— aborda directamente la brecha del 53% en el uso de backups. Sometemos a pentest tus planos de gestión de backups, controles de acceso, ajustes de inmutabilidad y postura de aislamiento tal como lo haría un adversario real. Luego ejecutamos escenarios de restauración reales frente a tus objetivos de RTO/RPO y verificamos que los datos recuperados estén limpios, completos y libres de persistencia del atacante. El resultado no es una lista de hallazgos, es evidencia documentada de que la recuperación funciona.
BackupSec se despliega on-premise. Nos conectamos mediante acceso a la API en modo solo lectura. Tus datos de backup, tu telemetría y los detalles de configuración nunca salen de tu entorno. No reemplazamos tu plataforma de backup: hacemos que la que ya operas sea observable, susceptible de asesoramiento y demostrable.
La tasa del 53% de uso de backups en los datos empresariales de Sophos no es un destino. Es la consecuencia de una era arquitectónica que está llegando a su fin. Las organizaciones que cierren la brecha de confianza en los próximos doce meses serán las organizaciones que dejen de aparecer en la columna de "pagaron el rescate" del informe del año que viene.
Habla con BackupSec sobre cómo validar tu preparación para la recuperación →
Este análisis se basa en el informe State of Ransomware 2025 de Sophos y en las publicaciones sectoriales relacionadas. La interpretación y el marco que se presentan aquí son propios de BackupSec. Para hablar de cómo se aplican los hallazgos de 2025 a tu entorno específico, ponte en contacto con nuestro equipo →