Protección contra ransomware: el error que casi le cuesta caro a un cliente
La protección contra ransomware no es un lujo técnico. Es una necesidad operativa, pura y dura. Hace unos meses, un cliente del sector logístico en México nos llamó desesperado: un empleado había abierto un archivo adjunto de un correo que parecía legítimo, de un proveedor. En cuestión de horas, el ransomware se propagó por su red local, cifró las bases de datos de facturación y los historiales de envíos. La empresa estuvo tres días parada. Y no porque no tuvieran copias. Las tenían. El problema es que esas copias estaban conectadas al mismo servidor que había sido cifrado. Cuando intentaron restaurar, descubrieron que el backup también estaba bloqueado.
Este caso real resume la diferencia entre tener copias de seguridad y tener una estrategia de protección contra ransomware bien diseñada. No basta con hacer backups: hay que aislarlos, probarlos y acompañarlos de protocolos de seguridad activos. En Grupo Novalca hemos ayudado a decenas de pymes a reconstruir sus sistemas tras incidentes de este tipo, y el patrón siempre es el mismo. Las empresas que sobreviven no son las que más invierten en antivirus, sino las que planifican la recuperación antes de que el ataque ocurra.
Qué es el ransomware y por qué tu empresa es un objetivo
El ransomware es un tipo de malware que cifra la información de tus sistemas y exige un pago, normalmente en criptomonedas, para devolverte el acceso. Los atacantes no discriminan por tamaño: las pymes son objetivos frecuentes precisamente porque suelen tener menos medidas de defensa y mayor urgencia por recuperar la operación. Según datos del Instituto Nacional de Ciberseguridad (INCIBE), los incidentes de ransomware en España crecieron más de un 40% en el último año, y el coste medio de un ataque para una empresa mediana supera los 100.000 euros si sumamos el rescate, la pérdida de productividad y el daño reputacional.
La vía de entrada más común sigue siendo el correo electrónico con archivos adjuntos maliciosos o enlaces a sitios infectados. Le siguen los accesos remotos sin proteger, las contraseñas débiles y los sistemas sin actualizar. Por eso, una estrategia de protección contra ransomware debe combinar prevención, detección y recuperación. Si falla una capa, las otras deben sostener el sistema. Así de simple.
Copias de seguridad: la regla 3-2-1-1 que salva empresas
La base de cualquier plan de protección contra ransomware es una política de copias de seguridad que asuma que el ataque va a ocurrir. No es pesimismo: es realismo. La regla clásica 3-2-1 ha evolucionado a 3-2-1-1, y te recomiendo aplicarla desde hoy:
- 3 copias de tus datos: la original de producción y dos copias adicionales.
- 2 medios de almacenamiento diferentes: por ejemplo, un NAS local y un disco externo o cinta.
- 1 copia fuera de las instalaciones: en la nube o en una ubicación física distinta, para protegerte de incendios, robos o desastres locales.
- 1 copia inmutable o aislada: almacenada en un entorno que no pueda ser modificado ni cifrado por el atacante, como almacenamiento WORM (write once, read many) o buckets en la nube con bloqueo de objetos.
El error que cometió mi cliente logístico fue mantener todas las copias en discos conectados a la misma red y con credenciales de dominio. Cuando el ransomware cifró el servidor principal, también alcanzó los backups. Una copia aislada, desconectada o con retención inmutable habría permitido restaurar en horas. En lugar de días.
Cómo implementar copias de seguridad inmutables
Las copias inmutables son aquellas que, una vez escritas, no pueden ser modificadas ni eliminadas durante un periodo definido. En la práctica, puedes configurarlas en proveedores cloud como AWS S3 Object Lock, Azure Blob Storage con retención inmutable o soluciones de backup como Veeam, Acronis o Commvault que soportan esta funcionalidad. La clave es que ni siquiera un administrador con credenciales comprometidas pueda borrarlas.
Además, programa las copias de forma incremental diaria y completa semanal. No guardes solo la última versión: los atacantes a veces permanecen en la red durante semanas antes de activar el cifrado. Mantén un historial de al menos 30 días para poder restaurar a un punto anterior al compromiso. Y, sobre todo, prueba la restauración al menos una vez al trimestre. Una copia que no se ha probado no es una copia. Es una esperanza.
Protocolos de seguridad activa para prevenir el ataque
Las copias de seguridad son tu red de seguridad, pero la protección contra ransomware exige también protocolos que reduzcan la probabilidad de infección. Estos son los que yo considero imprescindibles y que aplicamos internamente en Grupo Novalca y en los clientes que gestionamos:
1. Segmentación de red y mínimo privilegio
Divide tu red en segmentos lógicos: servidores, equipos de trabajo, invitados, sistemas de backup. Así, si un equipo se infecta, el ransomware no puede saltar libremente a los servidores críticos. Aplica el principio de mínimo privilegio: cada usuario y cada servicio debe tener solo los permisos estrictamente necesarios. Un empleado de contabilidad no necesita acceso a la consola de administración del dominio. Punto.
2. Autenticación multifactor (MFA) obligatoria
El acceso remoto sin MFA es una invitación abierta. Exige verificación en dos pasos para VPN, correo web, paneles de administración y cualquier servicio expuesto a internet. Si un atacante roba una contraseña, el segundo factor puede detenerlo. En los incidentes que hemos auditado, la ausencia de MFA en el acceso RDP o VPN fue el punto de entrada en más del 60% de los casos. Lo he visto demasiadas veces.
3. Actualizaciones y parches con calendario fijo
Muchos ransomware explotan vulnerabilidades conocidas que ya tienen parche disponible desde hace meses. Establece una ventana mensual de actualización para sistemas operativos, aplicaciones, firmware de routers y firewalls. Automatiza lo que puedas y audita lo que no. Un servidor Windows sin parchear es un objetivo fácil. O mejor dicho: un objetivo regalado.
4. Filtrado de correo y concienciación del equipo
El eslabón más débil suele ser humano. Configura filtros antispam y antiphishing en tu servidor de correo, bloquea archivos ejecutables y macros en los adjuntos, y realiza simulacros de phishing periódicos. Forma a tu equipo para que desconfíe de urgencias falsas, remitentes desconocidos y solicitudes inusuales de datos o pagos. Un empleado que piensa antes de hacer clic vale más que diez firewalls. Y lo digo sin exagerar.
5. Respuesta a incidentes: qué hacer en las primeras horas
Define por escrito un protocolo de actuación: a quién avisar, cómo aislar los equipos afectados de la red, cuándo desconectar los backups, cómo comunicar internamente y cuándo contactar con las autoridades o con un equipo de respuesta a incidentes. No pagues el rescate: no garantiza la recuperación y financia a los atacantes. En su lugar, activa tu plan de restauración desde las copias aisladas. Que exista ese plan. Que esté escrito. Que se haya ensayado.
El rol del hosting y la infraestructura en la protección contra ransomware
Muchas empresas alojan sus aplicaciones y correos en servidores propios o en proveedores de hosting sin medidas específicas. En Grupo Novalca, cuando diseñamos infraestructuras para clientes, aplicamos por defecto snapshots diarios con retención de 14 días, replicación a un segundo centro de datos y almacenamiento inmutable para los datos críticos. Si tu hosting no te ofrece snapshots automatizados o no te permite restaurar de forma autónoma, estás asumiendo un riesgo innecesario. Y probablemente sin saberlo.
Además, separa los roles: el servidor de backup nunca debe estar en el mismo dominio que los servidores de producción. Usa credenciales distintas, red de gestión aislada y monitorización activa. La protección contra ransomware también implica revisar los contratos con tus proveedores: pregunta dónde se almacenan tus copias, quién puede acceder a ellas y qué ocurre si el proveedor sufre un ataque. Si no saben responderte, mal asunto.
Errores comunes que anulan tu estrategia de copias
He visto repetirse estos fallos en auditorías de seguridad a pymes y medianas empresas. Evítalos:
- Backups conectados permanentemente a la red: si el ransomware puede verlos, puede cifrarlos. Usa desconexión automática o inmutabilidad.
- Credenciales compartidas entre producción y backup: si el atacante compromete un administrador, compromete todo. Usa cuentas dedicadas y MFA.
- No probar las restauraciones: los backups fallan silenciosamente. Una copia corrupta o incompleta no sirve de nada en una emergencia.
- Retención demasiado corta: si solo guardas una semana de copias, un ataque dormido durante diez días habrá contaminado todo tu historial.
- Confiar solo en un antivirus: el antivirus es una capa más, no la solución. Los ransomware modernos evaden firmas tradicionales con facilidad.
Plan de acción: tu checklist de protección contra ransomware
Para que puedas aplicarlo desde hoy, te dejo una lista ordenada por prioridad:
- Inventario de datos críticos: identifica qué información paralizaría tu negocio si se pierde.
- Implementa la regla 3-2-1-1 con al menos una copia inmutable fuera de las instalaciones.
- Activa MFA en todos los accesos remotos y paneles de administración.
- Segmenta la red y restringe permisos con el principio de mínimo privilegio.
- Establece un calendario mensual de parches y actualizaciones.
- Forma a tu equipo con simulacros de phishing trimestrales.
- Redacta y prueba tu protocolo de respuesta a incidentes.
- Prueba la restauración completa al menos una vez al trimestre.
¿Debo pagar el rescate si mi empresa sufre ransomware? No lo recomiendo. Pagar no garantiza que recuperes tus datos, y muchas veces los atacantes vuelven a extorsionar. Además, financiar a los grupos criminales perpetúa el problema. La mejor defensa es tener copias inmutables y un plan de restauración probado.
¿Cada cuánto debo hacer copias de seguridad? Depende de cuántos datos estés dispuesto a perder. Para la mayoría de las pymes, una copia incremental diaria y una completa semanal es un buen equilibrio. Los sistemas críticos pueden requerir copias cada pocas horas.
La protección contra ransomware se construye antes del ataque
La protección contra ransomware no se improvisa el día que aparece el mensaje de rescate en pantalla. Se construye con decisiones de infraestructura, políticas de copias inmutables, formación continua y protocolos que toda la organización conoce. El caso de mi cliente logístico terminó bien gracias a que, tras el incidente, rediseñamos por completo su estrategia de backup con almacenamiento aislado y restauración probada. Pero el coste de aprender por las malas fue altísimo: tres días sin operar, clientes furiosos y una factura de recuperación que superó con creces lo que habría costado prevenir.
No esperes a ser la próxima víctima. Revisa hoy mismo tus copias de seguridad, activa la autenticación multifactor y forma a tu equipo. Si no sabes por dónde empezar, busca asesoramiento especializado: una auditoría de seguridad cuesta una fracción de lo que pagarás tras un ataque. En Grupo Novalca lo vemos cada semana: las empresas que invierten en prevención duermen tranquilas; las que no, nos llaman a medianoche. Tú eliges de qué lado quieres estar.