Una cifra discreta que debería hacer saltar todas las alarmas
Cada año, Sophos publica su informe State of Ransomware, basado en lo que describe como una encuesta independiente y neutral respecto a los fabricantes a responsables de TI y ciberseguridad cuyas organizaciones sufrieron un ataque de ransomware. La edición de 2025, publicada en junio de 2025, abarca a 3.400 encuestados de 17 países procedentes de organizaciones de 100 a 5.000 empleados. En diciembre de 2025, Sophos publicó un análisis aparte, The State of Ransomware in Enterprise 2025, que abarca a los 1.733 encuestados de empresas de 1.000 a 5.000 empleados. Sophos da a cada informe el nombre del año de la encuesta (de enero a marzo de 2025), por lo que muchos de los ataques que describe ocurrieron en 2024.
Las conclusiones principales son alentadoras: las tasas de cifrado de datos están bajando, la recuperación es más rápida y menos víctimas pagan el rescate.
Pero el informe sobre grandes empresas contiene una cifra que debería estar en la pizarra de todo CISO:
Entre las empresas cuyos datos fueron cifrados, la proporción que utilizó copias de seguridad para restaurarlos bajó del 73 % en 2024 al 53 % en 2025. Sophos lo califica como el nivel más bajo en cuatro años.
Léalo otra vez. En el año en que los defensores mejoraron a la hora de detener el ransomware antes del cifrado, las empresas que sí sufrieron el cifrado tuvieron claramente menos probabilidades de recuperarse a partir de sus propias copias de seguridad.
No es una nota a pie de página menor. Creemos que es el hallazgo estratégicamente más importante de los datos de Sophos. Las cifras principales cuentan una historia; los datos de recuperación cuentan otra. Este artículo repasa lo que, a nuestro juicio, revelan los datos sobre la resiliencia frente al ransomware y por qué la confianza en el backup se ha convertido en la métrica que más importa.
El relato superficial: la defensa está ganando
Empecemos por las buenas noticias, porque realmente las hay.
Entre los 3.400 encuestados del informe principal de 2025:
- El cifrado de datos bajó al 50 % de los ataques, frente al 70 % de 2024, la tasa más baja en los seis años del estudio.
- El costo medio (la media) de recuperación, sin incluir ningún rescate, bajó de 2,73 millones de dólares a 1,53 millones de dólares.
- La mediana del pago de rescate cayó un 50 %, de 2 millones de dólares en 2024 a 1 millón de dólares en 2025.
- El 53 % de las víctimas se había recuperado por completo en una semana, frente al 35 % de 2024.
- El 49 % de las víctimas con datos cifrados pagó el rescate, frente al 56 % de 2024.
Entre las grandes empresas, según el informe sobre grandes empresas:
- El cifrado de datos bajó al 49 % de los ataques, frente al 66 % de 2024.
- La proporción de ataques detenidos antes del cifrado se duplicó con creces en dos años, del 22 % en 2023 al 47 % en 2025.
Sophos interpreta la caída del cifrado como una señal de que las organizaciones "are more capable of stopping attacks before the encrypted payload is deployed" (son más capaces de detener los ataques antes de que se despliegue la carga de cifrado), y la recuperación más rápida como una posible señal de inversión en "cyber incident preparation and recovery readiness" (preparación ante ciberincidentes y capacidad de recuperación). Leídas por sí solas, estas cifras dicen que el sector ha dado un giro.
Después se llega a los datos de recuperación.
La contradicción que lo revela todo
Este es el dato que complica el relato optimista.
Entre las grandes empresas cuyos datos fueron cifrados, el 53 % utilizó copias de seguridad para restaurarlos, frente al 73 % del año anterior. En el mismo periodo, el 48 % pagó el rescate para recuperar los datos, frente al 55 % (informe sobre grandes empresas). Las dos vías se redujeron. Cerca de un tercio (30 %) de las empresas con datos cifrados dijo haber utilizado otros medios, que según Sophos podrían incluir "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (la restauración a partir de instantáneas de volumen, el uso de las funciones de reversión de la protección de endpoints o la recuperación de datos desde sistemas no afectados).
En 2024, las copias de seguridad aventajaban al pago del rescate en 18 puntos (73 % frente a 55 %). En 2025 la ventaja fue de 5 puntos (53 % frente a 48 %). Menos empresas pagan, lo cual es una buena noticia. Pero la capa de recuperación que debía hacer innecesario el pago soporta menos carga, no más.
El propio resumen de Sophos es directo: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience" (en conjunto, estos hallazgos apuntan a una mayor resistencia a las demandas, junto con debilidades y falta de resiliencia de las copias de seguridad).
Debilidades y falta de resiliencia de las copias de seguridad: esa es la parte que nos importa. Los defensores son cada vez mejores deteniendo los ataques pronto. Pero cuando un ataque tiene éxito y los datos se cifran, las copias de seguridad que deberían ser la red de seguridad se utilizan con menos frecuencia.
No es una historia sobre un ransomware cada vez más difícil. Es una historia sobre una arquitectura de backup que queda al descubierto.
¿Por qué fallan las copias de seguridad en el momento de la verdad?
Los informes de Sophos no explican por qué bajó el uso de las copias de seguridad. La encuesta registra cómo se recuperaron los datos, no por qué se usaron o no las copias de seguridad. Los tres patrones que siguen son nuestra interpretación, respaldada por datos de Sophos cuando existen.
Patrón 1: las copias de seguridad se comprometen junto con producción
Los atacantes van a por las copias de seguridad de forma deliberada. En el estudio de Sophos de 2024 sobre copias de seguridad comprometidas, el 94 % de las organizaciones afectadas por ransomware dijo que los atacantes intentaron comprometer sus copias de seguridad, y el 57 % de esos intentos tuvo éxito. Las organizaciones cuyas copias de seguridad se vieron comprometidas tuvieron casi el doble de probabilidades de pagar el rescate (67 % frente a 36 %), y la mediana de su costo de recuperación fue ocho veces mayor (3 millones de dólares frente a 375.000 dólares).
El robo de datos añade presión. En el informe sobre grandes empresas, al 30 % de las empresas cuyos datos fueron cifrados también les robaron datos (el 15 % de todas las grandes empresas víctimas). Una restauración limpia no resuelve nada respecto a los datos que ya han salido de la organización.
Si su sistema de backup comparte dominio, proveedor de identidad o conjunto de credenciales con su entorno de producción, no es una capa de recuperación separada. Es el siguiente objetivo de la misma kill chain.
Patrón 2: "backup correcto" no equivale a "restauración correcta"
Los datos de grandes empresas contienen una señal directa. De las 72 empresas que pagaron más que la demanda de rescate inicial, el 42 % dio este motivo: "Our backups failed or were malfunctioning" (nuestras copias de seguridad fallaron o no funcionaban correctamente) (informe sobre grandes empresas). El grupo es pequeño, pero son grandes empresas víctimas diciendo con palabras claras que sus copias de seguridad no resistieron.
El costo humano también es evidente. Todas las empresas cuyos datos fueron cifrados informaron de repercusiones para su equipo de TI y ciberseguridad: el 40 % señaló una mayor presión de la alta dirección, el 39 % más ansiedad o estrés ante futuros ataques y, en el 27 % de los casos, se sustituyó a los responsables del equipo.
Un registro de trabajo que dice "correcto" le indica que el backup se ejecutó. No le indica que la restauración vaya a funcionar con la rapidez o la integridad que necesita el negocio.
Este es el modo de fallo que aborda el "0" de la regla 3-2-1-1-0. La guía de buenas prácticas de seguridad de Veeam lo define como "0 errors" (0 errores) en la verificación automática de la capacidad de recuperación de cada copia de seguridad con SureBackup. Un trabajo completado no es una restauración verificada, y la verificación solo cuenta si prueba los escenarios de recuperación a los que se enfrentaría en un incidente real.
Patrón 3: la capa organizativa es el eslabón más débil
Por primera vez en 2025, Sophos preguntó a las víctimas por los factores organizativos que las dejaron expuestas. Entre los 3.400 encuestados del informe principal:
- El 40,2 % citó la falta de experiencia: no tener las habilidades o los conocimientos para detectar y detener el ataque a tiempo.
- El 40,1 % citó brechas de seguridad desconocidas: debilidades de sus defensas de las que no eran conscientes.
- El 39,4 % citó la falta de personal o de capacidad.
- Los encuestados mencionaron de media 2,7 factores contribuyentes.
El análisis de grandes empresas es casi idéntico: una brecha de seguridad desconocida (40 %), la falta de personal o de capacidad (39,2 %) y la falta de experiencia (38,9 %) encabezan la lista, con tres factores citados de media.
Dicho sin rodeos: los equipos de seguridad andan cortos de personal y de habilidades, y tienen puntos ciegos que no pueden ver. Sostenemos que la infraestructura de backup se sitúa donde confluyen esas tres debilidades. Cuando las mismas personas que la gestionan se ocupan también de la respuesta a incidentes, los parches y las identidades, rara vez recibe atención a nivel de arquitectura hasta que un incidente le exige cumplir.
Lo que añaden los informes sectoriales
Sophos también publicó análisis sectoriales de la encuesta de 2025.
En fabricación y producción (332 encuestados), la tasa de cifrado bajó al 40 %, la más baja en cinco años, y la mediana del pago de rescate fue de 1 millón de dólares, frente a 1,2 millones de dólares. El 47 % señaló más ansiedad o estrés ante futuros ataques en el equipo de TI y ciberseguridad. El uso de copias de seguridad se mantuvo estable en el 58 %.
En el comercio minorista (361 encuestados de 16 países), la tasa de cifrado bajó al 48 %, también la más baja en cinco años. Una brecha de seguridad desconocida fue el factor operativo más frecuente, mencionado por el 46 % de las víctimas. El 58 % de los minoristas con datos cifrados pagó el rescate, lo que Sophos califica como "the second highest ransom payment rate in five years" (la segunda tasa de pago de rescates más alta en cinco años). La mediana de la demanda de rescate se duplicó, de 1 millón de dólares a 2 millones de dólares, y el uso de copias de seguridad bajó al 62 %, el nivel más bajo en cuatro años.
El panorama sectorial es desigual: en el comercio minorista bajó el uso de copias de seguridad y en fabricación se mantuvo. Lo que los informes sectoriales comparten con los datos de grandes empresas es que la prevención mejora más rápido que la recuperación basada en copias de seguridad. Las tasas de cifrado bajaron en ambos sectores, mientras que el uso de copias de seguridad bajó o se estancó. Esa distancia entre la madurez de la prevención y la madurez de la recuperación es, en nuestra opinión, donde viven los pagos de rescates.
Qué recomienda el informe de Sophos (y dónde pondríamos más peso)
El informe principal y el de grandes empresas terminan con las mismas cuatro recomendaciones:
- Prevención: eliminar las causas raíz técnicas y operativas que identifica el informe.
- Protección: una seguridad de base sólida, con los endpoints (incluidos los servidores) bien defendidos, incluida una protección antiransomware específica capaz de detener y revertir el cifrado malicioso.
- Detección y respuesta: detección y respuesta ante amenazas las 24 horas, mediante un proveedor de detección y respuesta gestionadas (MDR) si no se dispone internamente de los recursos o las habilidades.
- Planificación y preparación: un plan de respuesta a incidentes que se sepa aplicar con soltura, además de copias de seguridad de calidad y práctica periódica de la restauración de datos a partir de ellas.
Todo correcto. Las copias de seguridad están ahí, en una frase dentro de planificación y preparación. A la vista de las cifras de backup de las grandes empresas, nosotros daríamos a la recuperación más peso que eso:
La propia arquitectura de recuperación debe modernizarse, no solo defenderse.
Un entorno de backup diseñado para recuperarse de fallos de hardware y eliminaciones accidentales no es lo mismo que uno diseñado para recuperarse de un adversario que ya está dentro de la red y va primero a por las copias de seguridad. El primero es un problema de redundancia. El segundo es un problema de arquitectura. Practicar las restauraciones es necesario, pero no sirve de nada si el atacante puede llegar a las copias de seguridad con las que se practicó.
La brecha de confianza en el backup: qué medir en su lugar
Si se queda con un único cambio operativo de los datos de Sophos de 2025, que sea este: deje de tratar la tasa de éxito del backup como su métrica de recuperación y empiece a medir la confianza en el backup.
La tasa de éxito del backup es la métrica que su software de backup le da gratis. Responde a una sola pregunta: ¿se completó el trabajo? Por sí sola, no es un indicador de recuperación. Creemos que la distancia entre lo que muestra el panel y lo que ofrece un incidente es parte de lo que refleja la caída de 20 puntos en la recuperación basada en copias de seguridad.
La confianza en el backup plantea preguntas diferentes:
- ¿Podemos restaurar los sistemas de nivel 1 desde almacenamiento inmutable dentro de nuestro RTO declarado, hoy, en condiciones de ataque?
- ¿Funcionan nuestros procedimientos de recuperación cuando los proveedores de identidad de producción están comprometidos?
- ¿Hemos validado que ninguna credencial del nivel de producción puede modificar nuestras políticas de retención?
- ¿Monitoreamos la telemetría del sistema de backup en busca de comportamiento adversario, y no solo de trabajos completados?
- Cuando se pregunta al equipo de respuesta a incidentes "¿deberíamos pagar?", ¿cuál es la base técnica de la respuesta?
Estas preguntas tienen respuesta. Muchas empresas todavía no conocen la suya.
Qué sacamos en claro de los datos de Sophos de 2025
Tras leer los informes completos, la historia que vemos es esta.
Las organizaciones han mejorado de forma significativa a la hora de detener el ransomware antes de que cifre los datos. Es una mejora real y merece reconocimiento.
Pero la capa de recuperación, la promesa de que las organizaciones nunca tendrían que pagar porque podrían restaurar desde copias de seguridad limpias, soporta menos carga. En los datos de grandes empresas, la caída de 20 puntos en la recuperación basada en copias de seguridad es el humo. Creemos que la brecha de arquitectura que hay debajo es el fuego.
Para las empresas de sectores regulados, que gestionan entornos híbridos complejos o que simplemente no están dispuestas a financiar la próxima campaña de ransomware, esta es la conversación que hay que tener ahora. La pregunta no es "¿tenemos copias de seguridad?". Es esta: ¿sobrevive nuestra arquitectura de backup a un adversario real, y podemos demostrarlo antes de necesitarlo?
Cómo aborda BackupSec la brecha de confianza
En BackupSec partimos de la premisa de que los entornos de backup deben ser observables y estar probados en condiciones de ataque, no solo funcionar en condiciones normales. Tres de nuestros servicios se corresponden con los fallos anteriores:
- ZeroMON monitorea Veeam Backup & Replication: estado de los trabajos, desviaciones de configuración con un registro Forensic & Audit de quién cambió qué y cuándo, una lista de comprobación del Security Analyzer, informes y un honeypot en el appliance de monitoreo. Muestra el estado de inmutabilidad tal como lo indica la propia configuración de repositorios de Veeam; lee la configuración de Veeam y no verifica los bloqueos a nivel de objeto en el almacenamiento. Las alertas se envían por correo electrónico y como notificación dentro de la aplicación. ZeroMON se despliega on-premises como OVA y se conecta con una cuenta de solo lectura, y nada de lo que recopila se envía a BackupSec ni a terceros.
- ZeroTAM ofrece a su equipo un asesor dedicado de seguridad de backup para revisiones de arquitectura, planificación de la recuperación ante ransomware, planificación de capacidad y soporte prioritario en caso de crisis. Es un servicio de asesoramiento, no un software, y responde directamente a los hallazgos anteriores sobre falta de experiencia y falta de capacidad.
- ZeroPEN es una prueba de penetración guiada por amenazas de Veeam Backup & Replication, Veeam ONE y Enterprise Manager. Simula una kill chain de ransomware alineada con MITRE ATT&CK en ocho fases: acceso inicial, descubrimiento e inventario, abuso de credenciales, compromiso del servidor de Veeam, acceso a repositorios, neutralización de las copias de seguridad, simulación de exfiltración y prueba de capacidad de cifrado. No es destructivo: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (nunca elimina copias de seguridad reales, no realiza cifrado real ni detiene servicios de producción o de backup). El servicio también incluye la verificación de la integridad de la restauración y de la inmutabilidad, y termina con un paquete de informes listo para auditoría y una nueva prueba para los hallazgos críticos.
No sustituimos su plataforma de backup. Le ayudamos a ver y probar la que ya utiliza.
El 53 % de los datos de grandes empresas de Sophos no es un destino inevitable. En nuestra opinión, refleja arquitecturas de backup construidas para una amenaza diferente.
Hable con BackupSec sobre la seguridad de su backup →
Este análisis se basa en el informe State of Ransomware 2025 de Sophos, en su informe State of Ransomware in Enterprise 2025 y en sus informes sectoriales de 2025. La interpretación es de BackupSec. Desde entonces, Sophos ha publicado The State of Ransomware 2026; este artículo trata los datos de 2025. Para hablar de cómo se aplican estos hallazgos a su entorno, póngase en contacto con nuestro equipo →