Backup inmutable contra ransomware

Un backup que un atacante puede borrar no es realmente un backup — es una falsa sensación de seguridad. El ransomware moderno ya no solo cifra tus archivos: busca activamente tus copias de seguridad conectadas a la red y las cifra o elimina también, precisamente para que no puedas restaurar sin pagar el rescate.

Qué está pasando

Los grupos de ransomware saben que la defensa clásica de las empresas es el backup. Por eso, antes de cifrar los datos de producción, buscan servidores de backup accesibles en la red y los comprometen primero. Si el backup vive en la misma red, con las mismas credenciales de administrador que el resto de la infraestructura, un atacante que logra acceso administrativo puede eliminar meses de copias de seguridad en minutos.

Causas principales del problema

• El repositorio de backup es accesible desde la misma red que protege
• Las mismas credenciales de administrador dan acceso a producción y a los backups
• No existe ninguna copia que "no se pueda borrar" bajo ninguna circunstancia
• Nunca se prueba si realmente se puede restaurar desde el backup

Cómo resolverlo: la estrategia 3-2-1-1-0

La regla clásica 3-2-1 (3 copias, 2 medios, 1 fuera del sitio) se quedó corta frente al ransomware moderno. La versión actualizada, 3-2-1-1-0, agrega dos elementos: una copia inmutable o con air-gap (aislada físicamente o lógicamente de la red), y cero errores verificados mediante pruebas de restauración reales — no solo backups que "corrieron sin error" pero nunca se probaron de verdad.

¿Qué es un backup inmutable? Es un lugar de almacenamiento donde, una vez escrito el backup, nadie puede modificarlo ni borrarlo hasta que termine el periodo de retención definido — ni un atacante con contraseñas robadas, ni un administrador con acceso total al servidor. Es la diferencia entre un backup que un ransomware puede cifrar o borrar, y uno que queda fuera de su alcance aunque comprometa toda la infraestructura alrededor.

Opciones gratuitas o básicas

Un nivel básico de protección es mantener al menos una copia realmente desconectada (air-gap manual, por ejemplo un disco externo que se conecta solo durante el backup y luego se desconecta). No es tan cómodo como una solución automatizada, pero es mejor que ninguna protección contra este escenario específico.

Opciones empresariales

El Hardened Repository de Veeam es un repositorio Linux endurecido donde ni siquiera un administrador con acceso al servidor Veeam puede alterar o eliminar los backups dentro del periodo de inmutabilidad — usa credenciales de un solo uso que el servidor no almacena. Acronis Cyber Protect ofrece un enfoque similar con backups inmutables aislados de la infraestructura del cliente, además de detección de ransomware con reversión automática de archivos afectados.

Riesgos de una mala implementación

El riesgo principal de no tener una copia inmutable no es solo perder datos — es perder la capacidad de negociar con el atacante desde una posición de fuerza. Sin backup limpio, las únicas opciones son pagar el rescate (sin garantía de recuperar nada) o reconstruir todo desde cero. Con una copia inmutable probada, el ransomware se convierte en un incidente operativo serio, pero recuperable, en vez de una crisis existencial para el negocio.

Preguntas frecuentes