Copias de seguridad frente al ransomware: lo que de verdad le permite recuperarse

Cuando un ransomware cifra los archivos de una empresa, la pregunta no es si se puede recuperar la información, sino cómo. Hay dos caminos: restaurar desde una copia de seguridad o pagar a los atacantes. El primero depende de usted. El segundo, no.

Las copias vuelven a ser la vía principal de recuperación

El informe anual de Sophos sobre ransomware, publicado en julio de 2026, pregunta a organizaciones que sufrieron un ataque cómo recuperaron sus datos cifrados. Estas son sus conclusiones:

• El 66 % recuperó los datos con copias de seguridad, frente al 54 % del informe del año anterior.
• El 48 % pagó el rescate para recuperarlos, la proporción más baja de los últimos tres años.
• El 55 % se recuperó en una semana o menos.

Hay una lectura sencilla: las empresas que han invertido en copias de seguridad dependen menos de lo que decida el atacante.

Los atacantes lo saben y van a por las copias

Mandiant, la empresa de respuesta a incidentes de Google, señala en su informe M-Trends 2026 que los operadores de ransomware han pasado de centrarse en robar datos a impedir deliberadamente la recuperación. Para ello atacan las copias de seguridad, los servicios de identidad y las consolas que gestionan los servidores virtuales. Si no puede recuperarse, la presión para pagar es mucho mayor.

El mismo informe sitúa en 14 días la mediana de tiempo que un atacante permanece dentro de una red antes de ser detectado. Son dos semanas en las que puede localizar las copias e intentar borrarlas o cifrarlas antes de dar la cara.

Por eso no basta con tener copias. Tienen que estar fuera de su alcance.

Qué hace que una copia sirva el día que la necesita

1. Una copia fuera de la red principal. Al menos una copia desconectada o inmutable, es decir, que no se pueda modificar ni borrar durante un tiempo, aunque alguien consiga acceso de administrador.
2. Accesos separados. Las credenciales del sistema de copias no deben ser las mismas que las del resto de la red, y conviene protegerlas con doble factor de autenticación.
3. Restauraciones de prueba. Una copia que nunca se ha restaurado es una suposición. Sophos recomienda probarlas con regularidad.
4. Un plan escrito. Quién decide, qué se restaura primero y en qué orden. En plena crisis no es momento de improvisar.
5. Vigilancia. Cuanto antes se detecta un intruso, menos tiempo tiene para llegar a las copias.

Un caso habitual

Imagine una asesoría de veinte personas que sufre un ataque un lunes por la mañana. Los ordenadores y el servidor de archivos aparecen cifrados, y la copia que se hacía en un disco conectado al propio servidor también. Si además existe una segunda copia nocturna en la nube, inmutable y con credenciales distintas, esa copia permite restaurar el trabajo hasta la noche anterior sin negociar con nadie. Si no existe, las opciones se reducen mucho.

Cómo podemos ayudarle

En ECUMI diseñamos, vigilamos y probamos copias de seguridad para empresas, con copias fuera de su red en Azure y planes de continuidad de negocio. Si quiere saber si sus copias resistirían un ataque, cuéntenos su caso.

Cuéntenos su caso · Llámenos: +34 91 530 60 93

Fuentes

1. Sophos, The State of Ransomware 2026 (informe PDF): https://assets.sophos.com/X24WTUEQ/at/jbww7pmb8n3gp99wr6hfq4/sophos-state-ransomware-report-2026.pdf
2. Sophos, artículo de presentación del informe 2026: https://www.sophos.com/en-us/blog/sophos-state-of-ransomware-2026
3. Mandiant (Google Cloud), M-Trends 2026: https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/
4. Mandiant, M-Trends 2026: Executive Edition: https://cloud.google.com/security/resources/m-trends-executive-edition