El ransomware dejó de ser un problema de grandes corporaciones para convertirse en una amenaza cotidiana para cualquier PYME. Un solo equipo comprometido puede cifrar archivos compartidos, servidores y copias de seguridad en cuestión de horas, y dejar el negocio parado. La buena noticia es que protegerse no depende de un único producto milagroso, sino de varias capas que se refuerzan entre sí. En este artículo repasamos qué hace tan dañino al ransomware y cómo construir una defensa realista, donde el backup es la última línea, no la primera.
Por qué el ransomware es tan dañino para una PYME
El ransomware es tan dañino para una pyme porque el impacto rara vez se limita a recuperar unos ficheros. El daño real es el tiempo de parada: días sin facturar, sin atender clientes ni acceder a sistemas críticos. A eso se suma la posible filtración de datos, con sus implicaciones de RGPD, la pérdida de confianza de clientes y el coste de la propia recuperación. Una pyme tiene menos margen que una gran empresa para absorber semanas de interrupción, y ahí es donde un incidente se vuelve existencial. El contexto no ayuda: España cerró 2025 como segundo país del mundo en ataques de ransomware, con cerca de un tercio de las pymes atacadas, y pagar no garantiza nada — es conocido el caso de una textil valenciana que pagó 28.000 € de rescate y no recuperó sus datos. Por eso conviene invertir antes en prevención que después en rescate.
La defensa es por capas, no por un único producto
Ningún antivirus ni firewall detiene por sí solo todos los ataques; la estrategia que funciona es la defensa en profundidad, varias barreras independientes que reducen la probabilidad de que un atacante avance y, si entra, limitan hasta dónde llega. En la práctica eso significa combinar parches al día, control de accesos con doble factor, segmentación de red, protección del correo, monitorización que detecte comportamiento anómalo y copias de seguridad fuera del alcance del atacante. Lo hemos comprobado en incidentes reales: una web comprometida durante semanas se acabó detectando porque un backup incremental salió anómalamente grande — la capa de backup hizo además de capa de detección, y permitió fechar el ataque y restaurar desde una copia limpia. Ninguna de estas barreras es cara por separado; lo caro es no tener ninguna cuando toca. Estas son las capas que más impacto tienen con menos esfuerzo:
- Parcheo y actualizaciones: mantener sistemas operativos, aplicaciones y firmware al día cierra las puertas que más se explotan. Un proceso de actualización gestionado y monitorizado evita que un equipo olvidado se convierta en la vía de entrada.
- Mínimo privilegio: cada usuario y cada servicio deben tener solo los permisos imprescindibles. Si una cuenta comprometida no es administradora, el alcance del daño se reduce drásticamente.
- MFA (doble factor): activar la verificación en dos pasos en correo, VPN, accesos remotos y paneles de administración neutraliza la mayoría de los robos de credenciales.
- Segmentación de red: separar redes y sistemas evita que una infección en un puesto de trabajo se propague libremente a servidores o a la nube.
- Formación del equipo: la mayoría de los ataques empiezan por un correo. Empleados que saben reconocer un mensaje sospechoso y a quién avisar son una de las defensas más rentables que existen.
El backup es la última línea, pero solo si está bien hecho
Llegamos al punto que da nombre a este artículo. El backup no evita el ataque: es lo que te permite recuperarte cuando todo lo demás ha fallado. El problema es que muchas empresas creen estar protegidas con una copia que, en realidad, el ransomware también puede cifrar: un atacante con acceso a la red buscará y atacará las copias de seguridad accesibles antes de cifrar el resto. Una copia conectada y con permisos de escritura no es un seguro; es otra víctima más. Un backup que protege de verdad combina tres cosas: copias frecuentes que no interrumpen el servicio, al menos una réplica cifrada fuera del alcance de la red, y pruebas de restauración periódicas. Así es como uno de nuestros clientes lleva 18 meses sin un solo corte relacionado con backup, con restauraciones probadas cada mes y un tiempo de recuperación garantizado por debajo de dos horas.
Para que el backup cumpla su función, debe ser inmutable o aislado (que no se pueda modificar ni borrar durante un periodo determinado) y, sobre todo, probado. Una copia que nunca se ha restaurado es una suposición, no una garantía. Aquí es donde un servicio gestionado de backup y continuidad marca la diferencia: copias verificadas, retención adecuada y un plan de recuperación que ya se ha ensayado.
La regla 3-2-1 y la copia offline
La regla 3-2-1 es el estándar de referencia para que una copia sobreviva a un incidente:
- 3 copias de los datos importantes (el original más dos respaldos).
- 2 soportes distintos, para no depender de un único tipo de medio.
- 1 copia fuera de las instalaciones y desconectada (offline o inmutable), que el ransomware no pueda alcanzar aunque comprometa la red.
Esa copia offline o inmutable es la que de verdad salva el negocio. Combinada con unos servidores gestionados con monitorización activa, se reduce tanto la probabilidad de un incidente como el tiempo de recuperación si llega a producirse.
Por dónde empezar sin abrumarse
No hace falta implantarlo todo a la vez. Un orden sensato es: activar MFA en los accesos críticos, revisar quién tiene permisos de administrador, comprobar que las actualizaciones se aplican de forma sistemática y, en paralelo, validar que existe una copia aislada y que se ha restaurado al menos una vez. Cada uno de estos pasos reduce riesgo de forma inmediata, y juntos convierten un objetivo fácil en uno costoso para el atacante.
Lo que vemos cuando ya ha pasado
Dos casos reales de nuestro soporte (anonimizados) que resumen bien por qué insistimos en las capas y no en el producto único.
El primero: una web WordPress que llevaba semanas comprometida sin que nadie lo notara. La pista fue una carpeta oculta y un backup incremental anómalamente grande, que nos permitió fechar la intrusión y restaurar desde una copia anterior limpia. El detalle revelador es que tenía un plugin de seguridad instalado desde hacía meses, pero nadie lo había llegado a configurar. Tener herramientas no es estar protegido.
El segundo: una web que fue hackeada dos veces en pocas semanas. La primera limpieza eliminó el malware pero no corrigió la vulnerabilidad de origen, y el atacante volvió a entrar por la misma puerta. Limpiar sin actualizar y sin cerrar la causa raíz es pagar el incidente dos veces.
En ambos casos la recuperación fue posible porque existía una copia limpia y fechable. Sin eso, la conversación habría sido con un extorsionador.
Preguntas frecuentes
¿Es suficiente con tener un buen antivirus?
No. El antivirus es una capa más, útil pero insuficiente por sí sola. Los ataques actuales combinan ingeniería social, robo de credenciales y explotación de vulnerabilidades, así que la protección eficaz pasa por varias capas que se complementan, no por un único producto.
¿Por qué dicen que el ransomware puede cifrar mis copias de seguridad?
Porque una copia que está conectada a la red y se puede modificar es accesible para quien controle un equipo dentro de esa red. Por eso una copia debe ser inmutable o estar desconectada: así permanece intacta aunque el resto de los sistemas se vean afectados.
¿Cada cuánto debería probar la restauración de mis backups?
De forma periódica y planificada, no solo cuando hay una emergencia. Una restauración de prueba regular confirma que las copias son válidas, que el proceso funciona y que el tiempo de recuperación es el que esperas. Una copia que nunca se ha restaurado no ofrece ninguna garantía real.
¿Vale la pena externalizar la protección frente al ransomware?
Para muchas PYMEs sí, porque mantener todas las capas al día requiere tiempo y conocimiento especializado. Delegar la gestión en un equipo dedicado permite que las actualizaciones, la monitorización y las copias se cumplan de forma sistemática, sin depender de que alguien internamente se acuerde.
Da el siguiente paso
Protegerse del ransomware es una cuestión de capas bien combinadas y de una copia que de verdad puedas recuperar. Si quieres revisar cómo está tu empresa hoy y qué conviene reforzar primero, en Elimática podemos ayudarte a ordenarlo sin humo ni alarmismo. Cuéntanos tu caso y lo analizamos contigo.
Para el detalle técnico de estrategias y frecuencias de copia, lee copias de seguridad: todo lo que necesitas saber.