Ransomware: un plan de recuperación que realmente funciona

El ransomware es la mayor amenaza individual para la continuidad del negocio en las empresas actuales. La cuestión no es solo cómo protegerse, sino cómo restablecer las operaciones en pocas horas cuando la protección resulta incompleta. Este artículo es un plan práctico de recuperación.

TL;DR — Aspectos clave

• Las copias de seguridad inmutables (immutable backups) son la única defensa fiable contra el cifrado del backup.
• El plan debe estar impreso: durante un incidente, a menudo no hay acceso a los sistemas.
• El primer paso es el aislamiento, no el apagado; las evidencias forenses son importantes.
• Ninguna licencia sustituye a una prueba de restauración periódica.

Cómo se desarrolla el ataque

Un ataque típico comienza obteniendo acceso (phishing, contraseña robada, RDP expuesto), seguido de un periodo silencioso de varios días o semanas en el que el atacante expande su acceso, localiza el backup y exporta datos. Solo entonces ocurre el cifrado; en ese momento, la mayor parte del daño ya está hecho.

Por ello, la detección en el periodo silencioso es lo más valioso: el EDR, la monitorización de inicios de sesión inusuales y las alarmas ante el borrado de copias de seguridad suelen detener el ataque antes de que comience el cifrado.

Por qué el backup por sí solo no es suficiente

Los atacantes hoy en día apuntan específicamente a las copias de seguridad, ya que saben que son el obstáculo para la extorsión.

• Un backup en una carpeta compartida con acceso de dominio será cifrado junto con el resto.
• Sin una prueba de restauración, no sabrá cuánto tiempo toma la recuperación, algo clave para decidir si pagar.
• La filtración de datos implica la obligación de notificar el incidente por GDPR, independientemente de la restauración.
• Sin prioridades escritas, el equipo restaurará primero los sistemas equivocados.

Cómo proceder: pasos recomendados

1. Aísle los sistemas afectados de la red, no los apague de inmediato.
2. Active al equipo de crisis y notifique a la dirección, departamento legal y, si es necesario, al seguro.
3. Evalúe el alcance: qué sistemas, qué datos y si hubo exfiltración.
4. Verifique la integridad de las copias de seguridad en un entorno aislado.
5. Restaure por prioridad: identidad, correo electrónico, ERP, servicios de archivos.
6. Tras la restauración, cambie todas las contraseñas y claves y realice un análisis de causa raíz.

Prioridades de restauración

Errores más comunes

El error más frecuente es apagar los servidores inmediatamente. Al hacerlo, destruye los datos en la memoria RAM, que suelen ser clave para identificar el punto de entrada y evitar que el ataque se repita.

Otro error es restaurar en el mismo entorno sin eliminar la causa raíz. Si el atacante aún tiene credenciales válidas, el ataque se repetirá en pocos días.

Cómo ayudamos en VitalIT

En VitalIT implementamos backups bajo la regla 3-2-1 con copias inmutables, introducimos EDR y preparamos un plan de recuperación por escrito con pruebas. Consulte nuestros servicios de ciberseguridad e infraestructura IT.

Lea también sobre el backup 3-2-1: cómo proteger correctamente los datos de la empresa y SIEM y control centralizado de seguridad.

Preguntas frecuentes (FAQ)

¿Debemos pagar el rescate?

Por norma general, no. El pago no garantiza la recuperación, financia futuros ataques y no exime de la obligación de notificar el incidente.

¿Con qué frecuencia se debe probar la restauración?

Al menos trimestralmente para sistemas críticos y una vez al año como un simulacro completo.

¿Qué son las copias inmutables?

Copias que, durante un periodo determinado, no pueden ser modificadas ni borradas, ni siquiera con permisos de administrador.

¿Debemos informar del incidente?

Si hay datos personales involucrados, rige el plazo de 72 horas del GDPR; para entidades bajo NIS2, se aplican plazos adicionales.

¿Cuánto tiempo dura una recuperación típica?

De un día a dos semanas; la diferencia casi siempre reside en la preparación, no en la tecnología.