Ransomware: la copia de seguridad es el primer objetivo

Un ataque de ransomware contra una pyme no empieza cifrando. Empieza explorando. Entre el acceso inicial y el cifrado masivo suelen transcurrir días, y buena parte de ese tiempo se dedica a una tarea concreta: localizar y neutralizar las copias de seguridad. Un cifrado sin copias destruidas es una molestia; con las copias destruidas, es una negociación.

Dónde busca el atacante

• Unidades de red mapeadas. La carpeta \\servidor\backup montada en todas las estaciones es el primer hallazgo.
• NAS accesibles por SMB. Especialmente los que comparten credenciales con el dominio.
• Instantáneas de volumen. Las shadow copies de Windows se eliminan con una sola instrucción, y es de las primeras que se ejecutan.
• Consolas de backup. Si el software de copia está integrado en el directorio activo y el atacante obtiene credenciales de administrador, puede borrar los puntos de restauración desde la propia herramienta.
• Almacenamiento en nube con credenciales guardadas. Una cuenta con permiso de borrado almacenada en el equipo comprometido es equivalente a no tener copia externa.

Frecuencia frente a aislamiento

Muchas organizaciones responden al riesgo aumentando la frecuencia de copia. Es una mejora del objetivo de punto de recuperación, pero no protege frente a este escenario: si la copia es alcanzable, copiar más a menudo solo significa sobrescribir antes la última versión buena con datos ya cifrados.

El parámetro decisivo no es cada cuánto copia, sino quién puede borrar lo copiado.

De ahí la regla práctica que aplicamos en todos los despliegues: al menos una copia debe estar fuera de la red, cifrada en origen y protegida por un mecanismo de inmutabilidad que impida su borrado durante el periodo de retención, incluso disponiendo de las credenciales correctas.

Inmutabilidad: qué significa en la práctica

El bloqueo de objeto (object lock) permite marcar cada versión almacenada con una fecha hasta la cual no puede eliminarse ni sobrescribirse. El efecto es directo:

1. El agente que realiza la copia opera con una clave sin permiso de borrado.
2. Las versiones anteriores permanecen disponibles aunque el equipo origen esté comprometido.
3. La purga de versiones antiguas se gobierna por una política de ciclo de vida, no por el agente.

Combinado con cifrado en el propio equipo antes de la transmisión, el proveedor de almacenamiento custodia datos que no puede interpretar y el atacante no puede destruir.

Detener la copia a tiempo

Queda un escenario que la inmutabilidad por sí sola no resuelve del todo: el proceso de copia transmite diligentemente los archivos ya cifrados, generando nuevas versiones inútiles y consumiendo retención. La solución es evaluar antes de transmitir. Tres señales resultan fiables:

• Porcentaje de archivos modificados. Un conjunto documental estable no cambia en un 60 % de un día para otro.
• Entropía del contenido. Los datos cifrados presentan una entropía de Shannon próxima al máximo. Una muestra de pocos kilobytes por archivo basta para detectarlo.
• Extensiones y borrados masivos. La aparición simultánea de extensiones conocidas de ransomware y la desaparición en bloque de los originales.

Ninguna señal aislada es concluyente —una migración o una compresión masiva legítima pueden activarlas—, por lo que se evalúan combinadas y con umbrales mínimos que eviten falsos positivos en conjuntos pequeños. Ante señal positiva, lo correcto es no transmitir nada, no purgar nada y notificar, dejando intactas las versiones previas.

Lista de verificación

• ¿Existe al menos una copia inalcanzable desde la red corporativa?
• ¿La cuenta que ejecuta la copia tiene permiso de borrado en el destino? Si lo tiene, elimínelo.
• ¿Hay retención inmutable configurada y por cuántos días?
• ¿Se verifica el resultado de cada ejecución o solo se revisa cuando algo falla visiblemente?
• ¿Cuándo se realizó la última restauración de prueba completa?