Los atacantes de ransomware buscan las copias antes de cifrar. ¿Por qué fallan las copias en recursos compartidos de red y cómo protege el almacenamiento con bloqueo WORM la recuperación tras un ataque?
En un ataque de ransomware, el primer objetivo no siempre son los archivos. Primero el atacante corta su vía de recuperación. Busca, daña o borra las copias de seguridad. Sin copias, pagar el rescate pasa a ser la única opción.
Respuesta corta
Guarde la copia donde un atacante no pueda borrarla con derechos de administrador. El almacenamiento inmutable con bloqueo WORM lo logra. El bloqueo se mantiene durante la retención aunque roben las credenciales.
¿De verdad los atacantes van a por las copias?
Sí. En el informe de Sophos de 2024, el 94 % de las organizaciones afectadas por ransomware dijo que los atacantes intentaron llegar a sus copias. El 57 % de esos intentos tuvo éxito.
El resultado es grave. Según el mismo informe, las organizaciones con copias comprometidas tenían casi el doble de probabilidad de pagar el rescate. Su coste de recuperación fue ocho veces mayor.
¿Por qué fallan las copias habituales?
- El almacén de copias se expone como recurso compartido de red (NAS/SMB). El ransomware también cifra ese recurso.
- El software de copias depende de la cuenta Domain Admin. Cuando el atacante toma esa cuenta, también se queda con el software de copias.
- Una sola cuenta puede borrar datos. Si la roban, se borran todas las copias.
- El catálogo de copias y el almacén están en la misma red. El atacante daña ambos a la vez.
¿Cómo protege el almacenamiento con bloqueo WORM?
WORM significa “escribir una vez, leer muchas”. Tras escribir los datos, nadie puede modificarlos ni borrarlos hasta que termine la retención. La capa de almacenamiento aplica esta regla. El bloqueo permanece aunque roben una cuenta de administrador.
| Característica | Copia en recurso de red | Copia con bloqueo WORM |
|---|---|---|
| ¿Puede borrarla una cuenta de administrador? | Sí | No (durante la retención) |
| ¿Puede cifrarla el ransomware? | Sí | No |
| Recuperación fiable tras un ataque | Incierta | Alta |
| Prueba de “sin cambios” en una auditoría | Difícil | Fácil |
¿Qué debe comprobar?
- Modo de bloqueo: Prefiera el modo “cumplimiento”, que nadie puede quitar, al modo “gobernanza”, que un usuario privilegiado puede quitar.
- Periodo de retención: Los ataques pueden detectarse tarde. Elija un periodo mayor que su tiempo de detección.
- Identidad separada: Mantenga la gestión del almacén de copias aparte de la cuenta Domain Admin.
- Prueba de restauración: Restaure desde la copia con regularidad. Mida el tiempo.
¿Dónde encaja Moftgate?
Moftgate aborda la resiliencia frente al ransomware en dos capas. La primera capa es el aislamiento: el dispositivo afectado se desconecta de la red y se limita la propagación del ataque. La segunda capa es la recuperación rápida con una copia inmutable bloqueada con WORM.
Importante
Ninguna solución de copias es suficiente por sí sola. También necesita gestión de parches, separación de privilegios y pruebas de restauración periódicas.
El equipo de ingeniería de Moftgate trabaja en gestión de endpoints, prevención de pérdida de datos y resiliencia frente al ransomware.
Respuestas de expertos a las preguntas clave de profesionales
¿WORM es lo mismo que una copia sin conexión (offline)?
No. Una copia sin conexión está separada físicamente de la red. WORM impide el borrado en la capa de almacenamiento. Puede usar ambas a la vez.
¿Una copia WORM protege por completo del ransomware?
Protege la copia de seguridad. No evita el ataque. Le da un punto de recuperación limpio para los dispositivos cifrados.