La mayoría de las organizaciones creen estar preparadas para el ransomware, pero probablemente no lo están. Claro, todo parece estar en orden: copias de seguridad y un plan de recuperación ante desastres, además de seguimiento del objetivo de tiempo de recuperación (RTO) y del objetivo de punto de recuperación (RPO). Pero cuando ocurre un ataque real, muchas no logran recuperarse dentro de plazos aceptables, si es que lo logran. No porque falten las copias, sino porque no son fiables o no pueden recuperarse con la suficiente rapidez. Ahí reside la brecha entre la copia de seguridad y la verdadera resiliencia cibernética. Una copia de seguridad no vale mucho sin una recuperación rápida y fiable.

¿Qué sucede realmente cuando el ransomware ataca y comienza la recuperación?

Un incidente de ransomware realista rara vez se parece a una interrupción repentina. Se desarrolla a lo largo del tiempo. Día 0: compromiso inicial. Los ciberdelincuentes roban credenciales mediante phishing o servicios expuestos. Día 3: movimiento lateral. Los atacantes se desplazan por endpoints y servidores utilizando herramientas legítimas. Día 7: escalada de privilegios. Los atacantes obtienen acceso de administrador de dominio. Los sistemas de copia de seguridad se vuelven visibles. Día 10: comienza la orientación a las copias de seguridad. Los atacantes desactivan agentes de copia, modifican políticas de retención y borran o corrompen archivos. Día 14: se activa el cifrado. Los sistemas de producción se cifran en todo el entorno. Comienza el intento de recuperación. Aquí es donde las expectativas divergen de la realidad: las copias existen pero están incompletas, faltan puntos de restauración recientes y los repositorios están parcialmente cifrados. La organización enfrenta un problema mucho más complejo que la recuperación del sistema. Los profesionales de TI deben determinar si la recuperación es siquiera posible. Ese es el punto donde muchos planes de recuperación de ransomware fallan.

Por qué los sistemas de copia de seguridad fallan o se cifran durante un ransomware

Los operadores de ransomware atacan las copias de seguridad, que a menudo están conectadas a la misma red que los sistemas de producción, gestionadas con las mismas credenciales y accesibles a través de privilegios de dominio. Todo esto las hace vulnerables. El fracaso tiene un coste elevado, pero es demasiado común. Los patrones de fallo incluyen: repositorios de copias cifrados junto con las cargas de trabajo de producción, archivos eliminados antes de lanzar el ataque, y trabajos de copia que fallan silenciosamente tras desactivar los agentes. Por eso muchas organizaciones experimentan fallos en las copias de seguridad durante incidentes de ransomware, incluso cuando su estrategia de copias parece sólida. Proteger las copias de seguridad del ransomware requiere aislamiento, inmutabilidad y acceso controlado, no solo almacenamiento.

¿Puede el ransomware propagarse a los sistemas de copia de seguridad? Sí, así es como ocurre

Sí, el ransomware puede propagarse a los sistemas de copia de seguridad, y a menudo lo hace. Una vez que los atacantes obtienen control del dominio, tratan la infraestructura de copias como un objetivo prioritario. Como parte del proceso, los atacantes generalmente descubren servidores y ubicaciones de almacenamiento de copias, acceden a consolas de gestión, escalan privilegios dentro de los sistemas de copia, y desactivan, eliminan o cifran los datos de recuperación. La infraestructura de copias está especialmente expuesta porque necesita acceso amplio a través de los sistemas. Sin visibilidad entre endpoints, servidores y capas de copia, las organizaciones no pueden rastrear cómo se propaga el ransomware ni dónde se está preparando. Por esa razón, las herramientas de seguridad y copias de seguridad aisladas luchan y a menudo fallan durante ataques activos.

Por qué los planes de recuperación ante desastres fallan durante ataques de ransomware

La mayoría de los planes de recuperación ante desastres están diseñados para interrupciones, no para adversarios. Asumen que los sistemas están limpios, los servicios de identidad intactos y los entornos de recuperación fiables. El ransomware rompe estos supuestos. Los puntos de fallo incluyen: Active Directory comprometido que impide la autenticación, dependencias de red que bloquean los flujos de trabajo de recuperación, y procedimientos de recuperación que nunca se probaron en condiciones de ataque. Incluso cuando existen copias de seguridad, la recuperación ante desastres después de un ciberataque se vuelve impredecible. La distinción entre copia de seguridad y recuperación ante desastres no es solo técnica: la copia almacena datos; la recuperación debe restaurar las operaciones bajo presión. La copia sin recuperación simplemente no es suficiente.

Por qué no se cumplen los RTO y RPO en la recuperación de ransomware

RTO y RPO rara vez se alcanzan durante incidentes reales de ransomware. Hay varias razones principales. Desafíos de RPO: el tiempo de permanencia del ataque significa que las copias pueden contener datos comprometidos, y los retrasos en la detección aumentan la pérdida de datos más allá de los umbrales esperados. Desafíos de RTO: la recuperación se ralentiza debido a la incertidumbre sobre los puntos de restauración limpios, los procesos manuales reemplazan los flujos de trabajo automatizados y los sistemas requieren validación antes de conectarse. Los resultados son objetivos no cumplidos y tiempos de inactividad prolongados. Comprender el impacto del ransomware en RTO y RPO requiere reconocer que los atacantes degradan activamente las condiciones de recuperación.

Cómo recuperarse del ransomware cuando las copias de seguridad están comprometidas

Cuando tanto los sistemas de producción como las copias de seguridad se ven afectados, la recuperación se convierte en un proceso limitado. Los requisitos clave incluyen: copias de seguridad inmutables que no puedan ser alteradas ni eliminadas, copias externas o en la nube aisladas del ataque, identificación de copias limpias y validadas para una recuperación más rápida a producción, priorización de sistemas críticos para la recuperación por etapas, y coordinación entre la respuesta a incidentes y las operaciones de TI. Aquí es donde los escenarios de recuperación ante desastres por ransomware se vuelven más desafiantes. Las organizaciones sin opciones de recuperación aisladas a menudo no pueden restaurar las operaciones comerciales rápidamente, si es que lo logran.

Cómo debería ser un plan de recuperación de ransomware hoy en día

Un plan moderno de recuperación de ransomware debe asumir el compromiso. Los principios básicos incluyen: proteger las copias de seguridad del ransomware mediante inmutabilidad y aislamiento, garantizar visibilidad en endpoints, servidores y sistemas de copia, automatizar los flujos de trabajo de recuperación para reducir retrasos, y probar regularmente la recuperación ante desastres bajo condiciones de ataque simuladas. Esa es la base de la resiliencia cibernética. Una estrategia de copias de seguridad contra ransomware debe garantizar la supervivencia, no solo la retención.

Cómo proteger las copias de seguridad de ataques de ransomware

Proteger las copias de seguridad requiere cambios arquitectónicos, no arreglos incrementales. Los enfoques efectivos incluyen: almacenamiento de copias aislado que no sea accesible desde los entornos de producción, controles de acceso sólidos y separación de credenciales, almacenamiento inmutable que impida la modificación o eliminación, escaneo antimalware y validación de copias, y monitoreo de los sistemas de copia como parte de la postura de seguridad. Las organizaciones que no protegen las copias de seguridad a menudo descubren demasiado tarde que la recuperación no es viable.

Repensar la continuidad del negocio después del ransomware

La continuidad del negocio durante el ransomware depende de la integración. La seguridad, las copias de seguridad y la recuperación ante desastres deben trabajar juntas durante un ataque, no como herramientas separadas. Tras llegar a esa conclusión, muchas organizaciones están adoptando enfoques unificados que combinan protección y detección, copia y recuperación, orquestación de recuperación ante desastres e infraestructura de respaldo en la nube. Las soluciones nativamente integradas, como Acronis Cyber Platform, reflejan este cambio al integrar seguridad, copia de seguridad y recuperación ante desastres en un solo sistema con un punto central de control. Diseñada para la recuperación de ransomware y la continuidad del negocio, una plataforma integrada también debe ofrecer ciberseguridad, protección de datos y gestión de infraestructura para brindar funcionalidad completa. El objetivo no es solo almacenar datos, sino garantizar que la recuperación sea posible bajo condiciones reales de ataque. Porque cuando el ransomware ataca, no importa solo tener copias de seguridad; lo que importa es que realmente puedas recuperarte de un ataque, rápidamente y con datos fiables.

Acerca del autor: Subramani Rao es Gerente Senior de Estrategia de Soluciones de Ciberseguridad en Acronis, donde se enfoca en la estrategia de soluciones, posicionamiento e iniciativas de comercialización en tecnología operativa, continuidad del negocio y ciberprotección. Tiene más de 15 años de experiencia en ciberseguridad en estrategia de seguridad, riesgo, cumplimiento, nube y resiliencia, y ha ayudado a organizaciones a alinear los resultados de seguridad con las prioridades comerciales más amplias. Posee un Executive MBA de London Business School, una Maestría en Ciencias en Seguridad Informática y está certificado CISSP.