El ransomware moderno no solo cifra los discos de trabajo: busca las carpetas de respaldo mapeadas en la red y las cifra también. Por eso "tenemos backup" no tranquiliza si la copia está montada como unidad Z: y se ve desde el mismo usuario infectado. La copia que sirve es la que el atacante no puede tocar.
Proteger primero no es respaldar todo por igual: es priorizar lo que detiene el negocio, aislarlo y probar que se restaura. El resto sigue un calendario; lo crítico no espera.
Por qué el ransomware llega a las copias
Las copias en el mismo Active Directory, con la misma contraseña de administrador o en un NAS accesible para todos, son el segundo objetivo del ataque. El malware usa credenciales robadas o shares abiertos. La guía general de defensa está en proteger tu empresa del ransomware.
También falla el respaldo que solo guarda la última versión: si el cifrado ocurrió hace tres días y nadie se dio cuenta, la "última" copia ya está corrupta. Hacen falta versiones anteriores retenidas.
Aislamiento y versiones inmutables
Aislamiento significa cuenta de respaldo distinta, sin sesión interactiva en PCs de usuarios, y destino que no esté mapeado. Inmutable significa que durante N días esa versión no se puede borrar ni sobrescribir, ni siquiera con la cuenta de backup (object lock en nube o snapshots protegidos en NAS).
- Regla 3-2-1: tres copias, dos medios, una fuera del sitio
- Una copia offline o inmutable
- Credenciales de backup fuera del dominio de usuarios
- Sin carpeta de backup abierta a "Todos"
Sin inmutabilidad, el atacante con privilegios altos borra el historial. Con ella, queda al menos una ventana de recuperación.
Prioridad de datos según su valor
Primero: ERP, facturación, bases de clientes, correo y carpetas de proyectos activos. Segundo: archivos históricos y escaneos. Tercero: imágenes de SO que se pueden reinstalar. Resguardar primero lo que no se puede recrear en un día.
El plan de respuesta define qué se restaura en la primera hora; el respaldo debe estar alineado con esa lista. Ver plan de respuesta a incidentes.
Prueba de restauración y evidencia
Una copia nunca restaurada es una ilusión. Cada trimestre se restaura un archivo real y, al menos una vez al año, un sistema completo en un entorno de prueba. Se registra fecha, qué se restauró y cuánto tardó. Ese registro es la evidencia ante dirección y ante el seguro.
Si la restauración tarda más de lo que el negocio tolera, el plan de backup está mal dimensionado aunque "corra diario".
Cuándo conviene la copia en la nube
La nube aporta distancia geográfica y, con retención inmutable, resistencia al borrado local. No reemplaza el respaldo local rápido para recuperar un archivo el mismo día; complementa. La elección de medio se desarrolla en respaldo en la nube o en disco.
El criterio: local para velocidad, fuera del sitio (nube u otro edificio) para sobrevivir a robo, incendio o cifrado total del sitio.
Contra ransomware, el respaldo no es un disco más en la red: es una copia aislada, con versiones que no se pueden borrar y con pruebas que demuestran que se puede volver. Sin eso, pagar el rescate parece la única salida.
