Ransomware: recuperarte sin pagar empieza por respaldos que el atacante no pueda tocar

El ransomware, o secuestro de información, cifra los archivos y los sistemas de una organización y pide un pago a cambio de la clave para recuperarlos. Con el tiempo, los atacantes empezaron además a robar una copia de los datos y a amenazar con publicarla: la agencia de ciberseguridad de Estados Unidos (CISA) llama a esa táctica «doble extorsión». Para saber cómo recuperarse de un ransomware hay que mirar lo que la organización hizo antes del ataque, y en particular sus respaldos.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) es directo sobre el pago: las autoridades policiales no lo alientan ni lo avalan, pagar no garantiza que recuperes tus datos, los equipos siguen infectados, el dinero financia a grupos criminales y quedas más expuesto a otro ataque. La salida que queda es restaurar desde una copia limpia. Y ahí está el problema, porque el ransomware busca primero esas copias.

¿Por qué el ransomware ataca primero los respaldos?

Porque una víctima sin respaldos tiene pocas alternativas al pago. La guía #StopRansomware de CISA advierte que muchas variantes buscan los respaldos accesibles y los borran o los cifran, para que la restauración sea imposible a menos que se pague. El NCSC lo dice igual en su guía sobre malware y ransomware: los atacantes apuntan a los respaldos para aumentar la probabilidad de cobrar.

La palabra que importa es «accesibles». Un disco externo que queda conectado al servidor, una carpeta compartida en la misma red o un sistema de respaldo que se administra con la misma cuenta que todo lo demás caen junto con el resto. Lo mismo pasa con la sincronización en la nube: según el NCSC, estos servicios suelen sincronizar de inmediato cuando los archivos se reemplazan por sus versiones cifradas. Tener los archivos sincronizados no equivale a tener un respaldo, y en el caso del correo y los documentos de oficina conviene revisar qué recuperan de verdad Microsoft 365 y Google Workspace.

La regla 3-2-1, explicada

Es la forma más sencilla de ordenar los respaldos. El INCIBE, el instituto de ciberseguridad de España, la resume así: tres copias de la información, en dos soportes distintos, y una de ellas en una ubicación separada y fuera de línea. Y agrega una condición: comprobar periódicamente que esas copias se pueden recuperar.

En una oficina mediana puede verse así: los datos originales en el servidor; una copia diaria en un equipo de respaldo dentro de la oficina, para recuperar rápido un archivo borrado; y una tercera copia fuera, desconectada o protegida contra el borrado, que es la que te salva si cae todo lo demás. El NCSC añade un matiz: no confíes en dos copias guardadas en el mismo disco extraíble ni en varias copias dentro de un solo servicio en la nube.

¿Qué es un respaldo que el atacante no puede tocar?

Es una copia que el atacante no puede borrar ni modificar, aunque controle tu red y tus cuentas de administración. Hay dos maneras de lograrlo y se pueden combinar.

La primera es la copia desconectada, o fuera de línea: una cinta, un disco o un equipo que solo se conecta mientras se hace el respaldo y después queda aislado. CISA recomienda mantener copias de los datos críticos fuera de línea y cifradas.

La segunda es el respaldo inmutable, que el propio sistema impide borrar o alterar durante un tiempo fijado de antemano. En noviembre de 2024, el NCSC publicó sus principios para respaldos en la nube resistentes al ransomware. Entre ellos: que el servicio bloquee el borrado y la modificación de las copias ya creadas, que lo borrado se pueda recuperar durante un periodo, que cualquier borrado excepcional se autorice por un canal separado y que siempre se pueda restaurar una versión anterior aunque las más recientes estén dañadas. También pide que un atacante no pueda dejarte sin acceso a tus propios respaldos eliminando tus cuentas.

CISA hace una advertencia práctica: el almacenamiento inmutable mal configurado puede salir caro. Antes de activarlo, define cuánto tiempo debe conservarse cada tipo de información.

¿Cada cuánto hay que probar la restauración?

Recomiendo hacerlo al menos una vez por trimestre y restaurar un sistema completo, porque recuperar un archivo suelto prueba poco. Las guías citadas piden pruebas periódicas sin fijar un plazo. El marco de ciberseguridad del NIST, el CSF 2.0 (disponible en español), incluye entre sus resultados que las copias de seguridad «se crean, protegen, mantienen y comprueban» y que su integridad se verifica antes de usarlas para restaurar. CISA, por su parte, pide probar con regularidad la disponibilidad y la integridad de los respaldos en un escenario de recuperación ante desastres.

La prueba responde las preguntas que importan el día del ataque: si la copia está completa, cuánto tarda en volver a funcionar el sistema principal y quién sabe hacerlo. Si la respuesta es «tres días» y la operación no aguanta más de uno, es mejor descubrirlo en un simulacro.

Qué hacer en las primeras horas de un ataque

Lo primero es aislar los equipos afectados. Apagarlos por reflejo puede borrar evidencia útil. La guía de CISA ordena así la respuesta inicial:

1. Identificar los sistemas afectados y aislarlos de inmediato. Si son varios, desconectar la red completa; si eso no es posible, retirar el cable de red o sacar del wifi a los equipos afectados.
2. Apagar un equipo solo si no hay otra forma de desconectarlo, porque al apagarlo se pierde la evidencia que está en la memoria.
3. Coordinar por teléfono u otro canal ajeno a la red. Los atacantes pueden estar leyendo el correo para saber si ya fueron descubiertos.
4. Restaurar primero los sistemas críticos, según una lista definida antes del ataque, y hacerlo en una red limpia para no reinfectar lo recuperado.
5. Cambiar las contraseñas de los sistemas y las cuentas afectadas una vez que el entorno esté limpio.

Antes de restaurar, hay que verificar que la copia esté sana. El NCSC recuerda que el ransomware puede llevar tiempo dentro de la red y haberse copiado también en los respaldos, y CISA advierte que a menudo llega precedido por otro programa malicioso que hay que encontrar antes de reconstruir. Si el ataque alcanzó datos personales, además empieza a correr el plazo para notificar el incidente a la ANPD en 48 horas.

Lo que conviene tener listo antes

• Una lista de los sistemas críticos y del orden en que se restauran. CISA la pide para priorizar la recuperación.
• Imágenes de referencia de los servidores principales: plantillas con el sistema operativo y las aplicaciones ya instaladas, que permiten reconstruir un equipo rápido. CISA las llama «golden images» y recomienda mantenerlas actualizadas.
• El plan de respuesta impreso y en una copia fuera de línea, porque el día del ataque los documentos guardados en la red pueden no estar disponibles.
• Cuentas de administración de los respaldos separadas del resto y protegidas con doble verificación de identidad. El NCSC pide que el segundo factor no esté en el mismo equipo desde el que se administran los respaldos.
• Un contrato claro si un proveedor administra tus respaldos. CISA recomienda dejar por escrito los requisitos de seguridad que debe cumplir.

Qué hacer ahora

1. Pregunta dónde están hoy tus respaldos y si alguno queda fuera del alcance de una cuenta de administración robada.
2. Ordena las copias con la regla 3-2-1, con al menos una desconectada o inmutable.
3. Agenda una prueba de restauración trimestral de un sistema completo y anota cuánto tardó.
4. Escribe la lista de sistemas críticos y el orden de recuperación.
5. Imprime el plan de respuesta con los teléfonos de contacto del equipo y de los proveedores.

La guía de CISA incluye el phishing entre las vías de entrada del ransomware, así que el respaldo funciona mejor junto con un equipo que sabe reconocer un correo falso. Las fuentes de esta nota son la guía de CISA, las dos guías del NCSC, el INCIBE y el marco CSF 2.0 del NIST, todas enlazadas arriba.