El hallazgo más aburrido de los datos de Sophos es también el más importante
Cada año, la conversación sobre el ransomware se vuelve más ruidosa en torno a nuevas técnicas de ataque. Phishing generado por IA. Ingeniería social con deepfakes. Aprendizaje automático adversario. Binarios living-off-the-land. Compromisos de la cadena de suministro a través de dependencias poco conocidas. El relato sugiere sistemáticamente que los defensores se enfrentan a una amenaza fundamentalmente nueva que requiere herramientas fundamentalmente nuevas.
Durante tres encuestas seguidas, el informe State of Ransomware de Sophos ofreció una respuesta menos de moda. La edición de 2025 lo resume en una línea:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Por tercer año consecutivo, las víctimas señalaron las vulnerabilidades explotadas como la causa raíz técnica más frecuente de los ataques, presente en el 32 % de los incidentes).
No una técnica exótica. Un fallo en un software que la víctima ya tenía en funcionamiento, utilizado como vía de entrada. Sophos no divide esa categoría entre zero-days y fallos que ya tenían parche, por lo que la encuesta no puede decir cuántos de esos incidentes se podían haber evitado con un parche el día del ataque. Lo que sí dice es que, durante tres años, las víctimas no mencionaron con más frecuencia ningún otro punto de entrada concreto.
La racha ya ha terminado. En la edición de 2026, las vulnerabilidades explotadas bajaron al 18 %, por detrás del correo electrónico malicioso (26 %), el phishing (24 %) y las credenciales comprometidas (23 %). Volveremos a ese cambio más adelante, porque refuerza el argumento en lugar de debilitarlo: el principal punto de entrada cambió en un solo año, y el problema de recuperación del defensor no cambió con él.
En BackupSec interpretamos esos tres años consecutivos como una señal estratégica. La distancia entre las debilidades de seguridad conocidas y las cerradas no se reduce al ritmo que marca la prevención. Este artículo analiza por qué persiste esa distancia, por qué la prevención por sí sola no puede cerrarla y qué implica para la arquitectura de backup en 2026.
Qué muestran realmente los datos de Sophos
El informe de Sophos de 2025 se basa en una encuesta independiente y neutral respecto a los fabricantes, encargada por Sophos y realizada por un especialista externo entre enero y marzo de 2025. Abarca a 3.400 responsables de TI y ciberseguridad de 17 países, todos ellos de organizaciones de 100 a 5.000 empleados que habían sufrido un ataque de ransomware en los doce meses anteriores. Sophos da a cada informe el nombre del año en que se realizó la encuesta y señala que "many of the attacks referenced occurred in 2024" (muchos de los ataques mencionados se produjeron en 2024). Los 3.400 encuestados respondieron a la pregunta sobre la causa raíz:
- Vulnerabilidades explotadas: 32 % de los ataques, la causa n.º 1 por tercer año consecutivo (36 % en el informe de 2023, 32 % en el de 2024).
- Credenciales comprometidas: 23 %, frente al 29 % de 2024.
- Correo electrónico malicioso: 19 %.
- Phishing: 18 %, frente al 11 % del año anterior.
Los informes sectoriales basados en la misma encuesta de 2025 siguen en su mayoría el patrón. En fabricación, las vulnerabilidades explotadas fueron la causa principal, con un 32 %. En el comercio minorista, encabezaron la lista por tercer año consecutivo, con un 30 %. No todos los sectores encajan: en sanidad, las vulnerabilidades explotadas encabezaron la lista con un 33 % "for the first time in three years" (por primera vez en tres años). El patrón era amplio, no universal.
Una salvedad sobre la propia encuesta. Recoge lo que las víctimas creen que fue la causa raíz, y los datos de incidentes de la propia Sophos se leen de forma algo distinta. En los casos de respuesta a incidentes y de MDR de 2024 de su 2025 Active Adversary Report, las credenciales comprometidas ocuparon el primer lugar (41 %) y las vulnerabilidades explotadas el segundo (22 %). En cualquier caso, la explotación se sitúa en lo más alto o cerca.
Lo que hace importante el hallazgo de la encuesta es su persistencia. La proporción bajó del 36 % al 32 % y se mantuvo ahí, y durante tres años nada la superó.
Eso debería decirnos algo sobre el problema desde el punto de vista de la arquitectura.
Por qué falla el parcheo, incluso cuando las organizaciones lo hacen
La respuesta intuitiva a "un tercio de los ataques empieza con una vulnerabilidad explotada" es "entonces hay que parchear más rápido". Esa respuesta es correcta, pero insuficiente en la práctica, y merece la pena examinar con honestidad por qué se queda corta.
El problema del denominador. Una organización mediana puede tener fácilmente miles de componentes de software distintos entre sistemas operativos, aplicaciones, firmware, imágenes de contenedores y configuraciones SaaS. Los avisos de los fabricantes llegan de forma continua. Ni siquiera un equipo de seguridad en su mejor momento puede parchear todos los componentes el mismo día en que se publica una CVE. El denominador de "cosas que podrían explotarse" es estructuralmente mayor que la capacidad de "cosas que se pueden parchear esta semana".
El problema de la criticidad. Muchos parches requieren tiempo de inactividad, pruebas de regresión o coordinación con responsables de negocio que protegen los ingresos. Los sistemas que más necesitan parches (aplicaciones expuestas al exterior, sistemas de producción heredados, infraestructura OT y de control industrial) suelen ser aquellos en los que el tiempo de inactividad cuesta más. Así que los parches se programan, se aplazan, se agrupan y acaban olvidándose. Esa deuda de mantenimiento es exactamente donde mirará primero un atacante que busca una vía de entrada.
El problema del descubrimiento. No se puede parchear lo que no se ve. En la encuesta de Sophos de 2025, las brechas de seguridad que la organización desconocía fueron un factor contribuyente en el 40,1 % de los ataques, justo por detrás de la falta de experiencia (40,2 %). Los encuestados mencionaron de media 2,7 factores contribuyentes, por lo que se trata de causas contribuyentes, no de causas únicas. En el comercio minorista, las brechas de seguridad desconocidas fueron la causa operativa más citada, mencionada por el 46 % de las víctimas. El shadow IT, los sistemas no documentados, las cargas de trabajo en la nube olvidadas y las integraciones de terceros con sus propios árboles de dependencias hacen que la superficie de ataque actual sea realmente difícil de inventariar. La distancia entre lo que muestra su inventario de activos y lo que un atacante puede alcanzar realmente es donde viven muchas vulnerabilidades explotadas.
El problema de la ventana. Incluso cuando una vulnerabilidad es conocida y existe un parche, el tiempo hasta su explotación se ha desplomado. El análisis del tiempo hasta la explotación de Mandiant midió una media de 63 días en 2018–2019, 32 días en 2021–2022 y cinco días en 2023. De los fallos que siguió y que se explotaron después de que hubiera un parche disponible, el 12 % se explotó en un día y el 29 % en una semana. Y el 70 % de las vulnerabilidades explotadas que siguió en 2023 se utilizó como zero-day, antes de que existiera parche alguno. La ventana de parcheo de hace unos años ha desaparecido.
Ninguno de estos problemas se resuelve comprando otra herramienta de gestión de vulnerabilidades. Son características estructurales de la forma en que las organizaciones gestionan la TI, y ayudan a explicar por qué las vulnerabilidades explotadas se mantuvieron en lo más alto de la lista de Sophos durante tres años.
La distracción de la IA
Los datos de Sophos de 2025 también sirvieron para corregir el relato dominante sobre los ataques impulsados por IA.
La conversación del sector en 2025 giró en gran medida en torno a las campañas de phishing generadas por IA, la ingeniería social con deepfakes y la evasión basada en aprendizaje automático. Estas amenazas son reales y merecen atención. El phishing sí aumentó en la encuesta de 2025, del 11 % al 18 % de los ataques. Sophos no dice qué parte de ese aumento se debió a señuelos redactados por IA, y nosotros tampoco podemos decirlo. Lo que sí muestran los datos de 2025 es que el phishing no desplazó a las vulnerabilidades explotadas como principal punto de entrada.
La edición de 2026 hace avanzar el panorama. Los ataques basados en el correo electrónico pasaron a encabezar la lista: el correo electrónico malicioso (26 %) y el phishing (24 %) representaron juntos la mitad de todos los incidentes, mientras que las vulnerabilidades explotadas cayeron 14 puntos, hasta el 18 %. Sophos tampoco atribuye ese cambio a la IA.
La lección práctica para los responsables de riesgo es desconfiar de cualquier relato, incluido el nuestro, que diga que la inversión defensiva más importante es la del vector que encabeza la lista este año. El primer puesto cambió en doce meses. Una defensa que depende de cerrar una puerta concreta apuesta por un blanco móvil. La inversión más duradera es la que hace que ningún vector de entrada por sí solo tenga tanto peso en el resultado.
Qué significa realmente "tener menos peso"
Esta es la idea de arquitectura que se desprende de aceptar que la explotación no se puede eliminar por completo. Si una parte significativa de los ataques va a seguir empezando por un fallo que no se parcheó a tiempo (aproximadamente un tercio en tres encuestas consecutivas de Sophos, y todavía casi uno de cada cinco en la cuarta), la pregunta estratégica pasa de "¿cómo parcheamos más rápido?" a "¿qué ocurre cuando no lo hacemos?".
Esa es la pregunta que la mayoría de las arquitecturas de seguridad siguen evitando.
En un modelo de defensa en el que se da por hecho que la prevención funciona, la explotación de vulnerabilidades se trata como un fallo que hay que eliminar. En un modelo de defensa que se toma en serio los datos de Sophos, se trata como una condición recurrente que el resto de la arquitectura debe absorber sin un resultado catastrófico.
El paso de la eliminación a la absorción es el mismo que dio hace años la ingeniería de fiabilidad madura. En los sistemas distribuidos no se elimina el fallo. Se diseñan sistemas que se degradan de forma controlada cuando se producen fallos. Se mide el tiempo medio de recuperación, no solo el tiempo medio entre fallos. Se trata la resiliencia como una propiedad principal de la arquitectura, no como una tarea de limpieza cuando la prevención falla.
La seguridad empieza poco a poco a aplicar la misma lógica. Los datos de Sophos son, según nuestra lectura, una prueba sólida de que esa transición ya llega tarde.
Donde la arquitectura de backup se convierte en el punto de inflexión
Cuando se explota una vulnerabilidad y un atacante establece un punto de apoyo, la cadena que sigue está bien documentada: movimiento lateral, escalada de privilegios, reconocimiento, exfiltración y, finalmente, despliegue del payload. Además, es rápida. En los casos de 2024 en los que se basa el 2025 Active Adversary Report de Sophos, la mediana del tiempo de permanencia en los casos de respuesta a incidentes de ransomware fue de 4 días, y de 3 días en los casos de MDR. Ese es el tiempo del que dispone un atacante para encontrar y neutralizar los controles que, de otro modo, permitirían la recuperación, y es más corto que la mayoría de los ciclos de revisión.
El más importante de esos controles es el entorno de backup.
Si su infraestructura de backup es accesible desde un sistema comprometido a través de una vulnerabilidad explotada, la vulnerabilidad no solo permitió un ataque. Permitió que el ataque ganara. Una CVE explotada en una aplicación expuesta a Internet importa, desde el punto de vista de la arquitectura, menos por lo que hace en ese host que por lo que permite a un atacante hacer contra su capa de recuperación en los días siguientes.
Este es el punto de inflexión que implican los datos de Sophos. Las vulnerabilidades explotadas seguirán siendo una de las principales vías de entrada, ocupen el puesto que ocupen en un año determinado. La variable que determina los resultados es si su arquitectura de recuperación es accesible desde los sistemas en los que se establecen esos puntos de apoyo.
En concreto, esto significa:
Separación de identidades. Las credenciales que protegen los sistemas de producción no deben dar acceso a la infraestructura de backup. Si una cuenta de administrador de dominio comprometida puede llegar a su repositorio de backup, sus copias de seguridad forman parte de la superficie de ataque que dejó expuesta la vulnerabilidad sin parchear.
Inmutabilidad validada. Cualquiera con suficientes privilegios puede modificar las políticas de retención basadas en software. Los bloqueos de retención aplicados por hardware o por la plataforma están diseñados para resistirlo, pero "configurado" y "funcionando realmente como se pretende" son afirmaciones distintas, y solo una prueba las separa. Tanto si su inmutabilidad la aplica su plataforma de backup, su capa de almacenamiento o un repositorio reforzado (hardened repository), la propiedad que importa es si se ha probado en condiciones de ataque, no si simplemente se ha activado en un panel de configuración.
Aislamiento de red y de confianza. Un entorno de backup que está en el mismo dominio de red que los sistemas de producción forma parte de producción desde el punto de vista del modelado de amenazas. El aislamiento lógico y físico es lo que convierte la infraestructura de backup de "otro objetivo más" en "la capa que sobrevive cuando los demás objetivos no lo hacen".
Validación periódica de las restauraciones. En la encuesta de Sophos de 2025, solo el 54 % de las organizaciones cuyos datos fueron cifrados los restauró a partir de copias de seguridad, la tasa más baja en seis años y el tercer descenso consecutivo. Sophos no pregunta al resto por qué. Sí informa de que el 29 % utilizó "other means" (otros medios), que según Sophos probablemente incluyen claves de descifrado que se habían hecho públicas (se permitían varias respuestas). Su único dato directo sobre copias de seguridad fallidas es limitado: de las 151 organizaciones que pagaron más que la demanda inicial, el 38 % dijo que sus copias de seguridad habían fallado o no funcionaban correctamente. La edición de 2026 muestra un repunte, con un 66 % de víctimas con datos cifrados que se recuperaron a partir de copias de seguridad. En cualquier caso, una copia de seguridad que nunca se ha restaurado en condiciones realistas es una hipótesis, no un control.
El replanteamiento estratégico
Para los responsables de riesgo, los tres años consecutivos de la explotación de vulnerabilidades en lo más alto de la lista no son una acusación contra los programas de gestión de vulnerabilidades. Son una prueba de que la gestión de vulnerabilidades, por bien que se ejecute, no puede soportar por sí sola todo el peso de la defensa contra el ransomware.
El hallazgo de 2025 de que el 32 % de los ataques empezó con una vulnerabilidad explotada debe leerse junto a otra cifra de la misma encuesta: el 49 % de las organizaciones cuyos datos fueron cifrados pagó el rescate, frente al 56 % del año anterior. En la edición de 2026 la tasa fue del 48 %, y Sophos sitúa la media de cuatro años en aproximadamente el 50 %. Según nuestra lectura, esas cifras están relacionadas. Describen una postura en la que se pide a la prevención que sea infalible porque no se puede confiar en la capa de recuperación. La corrección no consiste en hacer la prevención más infalible. Consiste en hacer que la recuperación sea lo bastante fiable como para que los fallos de prevención no decidan los resultados de negocio.
Esa corrección es de arquitectura, y ya llega tarde. Las organizaciones que cierren esa brecha serán aquellas cuya capa de recuperación pueda absorber un incidente sin importar por qué puerta haya entrado. Los datos de 2026 muestran lo rápido que puede cambiar la puerta más transitada.
El papel de BackupSec
En BackupSec partimos de la premisa de que la prevención fallará algunas veces y de que, cuando lo haga, el resultado dependerá de dos cosas: si existen copias limpias y aisladas de sus datos, y si alguien ha comprobado que la capa de backup resiste frente al ataque que se avecina.
Tres de nuestros servicios se corresponden con las carencias descritas:
- ZeroMON monitorea Veeam Backup & Replication. Se ejecuta on-premises como OVA, se conecta con una cuenta de solo lectura y no envía nada a BackupSec ni a terceros. Supervisa el estado de los trabajos y los cambios de configuración en Veeam (quién cambió qué y cuándo), muestra el estado de inmutabilidad tal como lo indica la propia configuración de repositorios de Veeam, muestra los resultados del Security & Compliance Analyzer de Veeam e incluye un honeypot que registra los escaneos y los intentos de conexión contra el appliance de ZeroMON como señal temprana de reconocimiento. Las alertas se envían por correo electrónico y como notificación dentro de la aplicación. Como lee la configuración de Veeam, no verifica los bloqueos a nivel de objeto en el propio almacenamiento.
- ZeroTAM ofrece a su equipo un asesor dedicado de seguridad de backup para arquitectura, planificación de la recuperación ante ransomware y capacidad, con soporte prioritario en caso de crisis. Es un trabajo de asesoramiento, no un software.
- ZeroPEN es una prueba de penetración guiada por amenazas de Veeam Backup & Replication, además de Veeam ONE y Enterprise Manager. Simula una kill chain de ransomware en ocho fases alineadas con MITRE ATT&CK, desde el acceso inicial, pasando por el compromiso del servidor de Veeam, el acceso a repositorios y la neutralización de las copias de seguridad, hasta la prueba de capacidad de cifrado. No es destructivo: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services" (ZeroPEN nunca elimina copias de seguridad reales, no realiza cifrado real ni detiene servicios de producción o de backup). Usted obtiene evidencias listas para auditoría de lo que podría alcanzar un atacante con un punto de apoyo, y una nueva prueba para los hallazgos críticos.
La cifra del 32 % nunca fue un destino inevitable, y la cifra del 18 % de 2026 no es un respiro. Ambas describen la puerta principal. Lo que decide el resultado es si la capa de recuperación falla junto con la capa de prevención. Desacoplar ambas no le hace inmune a las vulnerabilidades explotadas. Hace que sea mucho menos probable que un parche no aplicado decida si usted paga.
Hable con BackupSec sobre las pruebas de penetración de backup →
Este análisis se basa en los informes State of Ransomware 2025 y 2026 de Sophos, en los informes sectoriales de Sophos de 2025 sobre fabricación, comercio minorista y sanidad, en el 2025 Active Adversary Report de Sophos y en el análisis de Mandiant de 2023 sobre el tiempo hasta la explotación. La interpretación y el marco son de BackupSec. Para hablar de cómo se aplican a su entorno, póngase en contacto con nuestro equipo →