La mayoría de las empresas que sufren un ransomware tenían copias de seguridad. El problema es que el atacante también las tenía. Antes de cifrar nada, un ransomware moderno pasa días dentro de la red buscando el servidor de copias, el NAS y las credenciales que los gestionan, y cuando lanza el cifrado, lo primero que borra o cifra son las copias. Un backup inmutable es una copia que nadie puede modificar ni borrar durante un plazo fijado, ni siquiera un administrador con todas las credenciales. Este artículo explica qué es, en qué se diferencia de lo que probablemente tienes hoy y cuándo compensa hacerlo tú frente a contratarlo gestionado.
Qué es un backup inmutable
Una copia de seguridad inmutable es una copia que, una vez escrita, queda bloqueada contra cualquier cambio o borrado durante un periodo de retención definido de antemano (por ejemplo, 30 días). El bloqueo no depende de permisos: aunque alguien tenga la cuenta de administrador del sistema de copias, no puede acortar el plazo ni eliminar la copia hasta que expire. Técnicamente se apoya en mecanismos como el bloqueo de objetos de los almacenamientos S3 (Object Lock), los repositorios reforzados de Linux con atributos de inmutabilidad, o el modo WORM (escribir una vez, leer muchas) de determinados sistemas de almacenamiento y cintas.
La diferencia con una copia normal está en quién manda. En una copia convencional manda quien tenga la credencial; en una inmutable manda el reloj. Y como el ransomware trabaja precisamente robando credenciales, ese matiz es el que decide si al día siguiente del ataque tienes de dónde restaurar.
Por qué tu backup actual no te salva de un ransomware
Los montajes de copias más habituales en una pyme comparten un punto débil: son accesibles con las mismas credenciales que el resto de la red, o con unas que están guardadas en la misma red. Algunos ejemplos reconocibles:
- Un NAS con una carpeta compartida donde el software de copias escribe cada noche. Si el servidor que hace las copias se ve comprometido, el atacante tiene permisos de escritura sobre esa carpeta y borra o cifra todo lo que hay.
- Un disco USB conectado al servidor. Es la copia perfecta hasta que un proceso malicioso en ese mismo servidor la cifra a la vez que los datos.
- Una copia en la nube sincronizada (una carpeta que replica cambios). La sincronización propaga el cifrado en minutos: los archivos cifrados sustituyen a los buenos también en la nube, y el versionado, si existe, suele tener un límite de días o de tamaño que el atacante conoce.
- Réplicas y snapshots del hipervisor sin retención bloqueada. Un snapshot en el mismo almacenamiento se borra desde la misma consola desde la que se administra todo lo demás.
A esto se suma el tiempo de permanencia. Los grupos de ransomware actuales pasan de media entre una y tres semanas dentro de la red antes de cifrar. Ese tiempo lo usan para localizar las copias, robar credenciales de administración y, en muchos casos, para exfiltrar datos con los que extorsionar aunque restaures. Con una retención inmutable de 30 días tienes copias limpias anteriores a la intrusión; con una carpeta compartida no tienes ninguna garantía.
Cómo encaja con la regla 3-2-1
La regla clásica dice tres copias de los datos, en dos soportes distintos, con una fuera de la ubicación principal. Sigue siendo válida, pero se formuló para proteger de fallos de hardware e incendios, no de un adversario con credenciales. Por eso hoy se amplía a 3-2-1-1-0: una de las copias debe ser inmutable o estar desconectada (offline), y el cero es el número de errores admisibles al probar la restauración. Sin ese último 1 y ese 0, la regla protege el papel, no el negocio.
En la práctica, para una pyme el reparto razonable suele ser: la copia rápida en local para restauraciones del día a día (un archivo borrado, una máquina que no arranca), y una segunda copia inmutable fuera de la oficina, con retención de entre 14 y 30 días, que es la que responde ante un ransomware. Las dos se prueban, no solo se hacen.
Inmutable no significa intocable: lo que no cubre
Conviene desmontar dos ideas equivocadas. La primera es que una copia inmutable es un sustituto del resto de medidas. No lo es: si el atacante ha exfiltrado datos, tener copias no evita la extorsión, y si el punto de entrada sigue abierto, restaurarás para que te vuelvan a cifrar. Es la última línea de defensa, no la única; las anteriores están en cómo proteger tu empresa del ransomware más allá del backup.
La segunda es que basta con activar la opción en la consola. Una copia inmutable con la retención mal calculada expira antes de que descubras el ataque; una copia inmutable que nunca se ha restaurado puede estar corrupta desde hace meses; y una copia inmutable cuyo almacenamiento se administra con la misma cuenta de dominio que el resto sigue expuesta a que alguien apague el sistema entero. La inmutabilidad protege el dato, no el diseño.
Hacerlo tú o contratarlo gestionado
Montar un backup inmutable no es caro en licencias: las herramientas habituales lo incluyen y el almacenamiento de objetos con bloqueo se paga por gigabyte. Lo que cuesta es hacerlo bien y mantenerlo bien. Estas son las diferencias reales entre las dos opciones.
Si lo montas tú
- Necesitas separar credenciales de verdad. El repositorio inmutable debe administrarse con cuentas que no existan en el directorio de la empresa, con doble factor y sin acceso desde los puestos de trabajo. Es el paso que más se salta.
- Tienes que dimensionar la retención contra el tiempo real que tardarías en detectar una intrusión, no contra el espacio que te sobra en el disco.
- Alguien tiene que vigilar que las copias terminan cada día, que el espacio no se agota y que las alertas llegan a una persona que las lee.
- Y alguien tiene que probar la restauración con periodicidad, medir cuánto tarda y documentarlo. Si nadie lo ha hecho en seis meses, no tienes un backup, tienes una hipótesis.
Si lo contratas gestionado
- El repositorio vive fuera de tu red y se administra con credenciales que no están en tus sistemas, lo que resuelve de raíz el problema de las credenciales compartidas.
- La retención, la monitorización y las alertas las define y vigila el proveedor, que tiene un procedimiento y no una persona que se acuerda.
- Las pruebas de restauración forman parte del servicio, con un informe de cuánto se tarda en volver a tener cada sistema en marcha, que es el dato que de verdad importa (los objetivos de tiempo y de pérdida de datos se explican en RTO y RPO: cómo hacer un plan de recuperación ante desastres).
- El coste es una cuota mensual en lugar de horas de un técnico interno que ya va justo. Para una pyme sin equipo de sistemas dedicado, suele ser la opción más barata cuando se cuenta todo.
El criterio para decidir es sencillo: si tienes a alguien cuyo trabajo incluye vigilar las copias y probar restauraciones cada mes, y esa persona tiene con quién turnarse, hacerlo internamente es viable. Si esa persona es el mismo técnico que atiende los puestos, el correo y la web, la copia inmutable acabará configurada una vez y olvidada, y es mejor que la responsabilidad esté en un contrato.
Un escenario típico: las copias estaban, pero cifradas
Una asesoría de unas veinticinco personas con un servidor de ficheros, el programa de gestión en otro servidor y copias nocturnas a un NAS en la misma sala. Un viernes por la tarde entra un ransomware a través de una cuenta de escritorio remoto con contraseña reutilizada. Durante nueve días nadie nota nada. El domingo de la segunda semana cifra los dos servidores y, con la cuenta de administrador que llevaba días en su poder, borra las copias del NAS y las instantáneas del hipervisor. El lunes la empresa tiene un rescate en pantalla y ningún sitio desde el que restaurar.
La recuperación se hizo desde una copia mensual en un disco externo de hacía cinco semanas: se perdieron más de un mes de contabilidad y expedientes, que se reconstruyeron a mano durante semanas con los correos y los portales de las administraciones. No pagaron el rescate, pero el coste en horas y en clientes fue muy superior al de cualquier servicio de copias.
Lo que cambió después: copias diarias a un repositorio inmutable fuera de la oficina con 30 días de retención, credenciales del sistema de copias separadas del dominio, alertas si una copia no termina, y una prueba de restauración completa cada trimestre con su tiempo medido. Coste, una cuota mensual. Cuando un año después un empleado abrió un adjunto malicioso y cifró su equipo y una carpeta compartida, se restauró esa carpeta desde la copia del día anterior en menos de una hora.
Por dónde empezar
Con tres preguntas se sabe en qué punto estás: si alguien con la cuenta de administrador de tu red puede borrar tus copias, si sabes cuántos días de copias limpias tendrías tras una intrusión de dos semanas, y cuándo fue la última vez que restauraste un sistema completo y cuánto tardó. Si alguna respuesta es sí, no lo sé o nunca, el punto de partida es una copia inmutable fuera de tu red con una prueba de restauración real, que es lo que cubre nuestro servicio de backup y continuidad de negocio. Si quieres saber cómo quedaría tu empresa el lunes del ejemplo, cuéntanos cómo haces las copias hoy.