Ataques de respaldo

Los autores de los ataques de ransomware siguen una estrategia muy clara: neutralizar las opciones de Recovery antes de cifrar los datos de producción. Si las copias de seguridad están intactas, es posible negarse a pagar el rescate y restablecer el funcionamiento. Los atacantes lo saben, por lo que la infraestructura de copias de seguridad se ha convertido en un objetivo prioritario.

Las variantes actuales de ransomware utilizan varias tácticas para socavar los sistemas de copias de seguridad:

• La eliminación de copias de seguridad en segundo plano es una de las prácticas más habituales: el malware ejecuta comandos para eliminar las copias de seguridad en segundo plano de los volúmenes en cuanto consigue afianzarse en el sistema.
• El cifrado del repositorio de copias de seguridad va más allá, ya que se aplica directamente a los servidores de copias de seguridad y a los grupos de almacenamiento.
• La doble extorsión añade una nueva dimensión: los atacantes sustrayen datos confidenciales antes de cifrarlos y amenazan con publicarlos incluso si se recuperan a partir de copias de seguridad.

Según elAviso de la CISA sobre el ransomware «Medusa»(actualizado en agosto de 2026), la operación de ransomware como servicio «Medusa» ha afectado a más de 500 víctimas en sectores de infraestructuras críticas, entre ellos el sanitario, el educativo, el jurídico, el de los seguros, el tecnológico y el manufacturero, a fecha de abril de 2026. Los autores de «Medusa» aplican un modelo de doble extorsión, combinando el cifrado con el robo de datos para presionar a las víctimas a fin de que paguen.

Regla de copia de seguridad inmutable

Una copia de seguridad inmutable es aquella que no puede modificarse, sobrescribirse ni eliminarse durante un periodo de retención definido. Normalmente, esto se implementa mediante políticas de almacenamiento del tipo «Write Once, Read Many» (WORM). Está diseñada de tal forma que, una vez que se han escrito los datos de la copia de seguridad, ningún usuario, administrador ni proceso automatizado puede modificarlos hasta que caduque el bloqueo de retención.

La inmutabilidad y el aislamiento físico tienen funciones complementarias. El aislamiento físico controla dónde se almacenan los datos de copia de seguridad y quién puede acceder a ellos. La inmutabilidad controla qué se puede hacer con ellos una vez que llegan allí. Las estrategias más sólidas de protección contra el ransomware para las copias de seguridad utilizan ambas: los datos se almacenan en un entorno aislado y se bloquean para impedir su modificación.

La regla de copia de seguridad «3-2-1» ha sido un estándar de protección de datos durante décadas: mantener tres copias de los datos, en dos tipos de soportes diferentes, con una copia fuera de las instalaciones. El marco moderno 3-2-1-1-0 amplía este concepto para mejorar la resiliencia frente al ransomware: 3 copias de los datos, 2 soportes o plataformas de almacenamiento diferentes, 1 copia fuera de las instalaciones, 1 copia aislada físicamente o inmutable (o ambas), 0 errores tras la verificación automatizada de la copia de seguridad. La regla 3-2-1-1-0 no es solo una directriz, sino un marco práctico para desarrollar capacidades de Recovery frente al ransomware que ayuden a resistir en condiciones reales de ataque.

Buenas prácticas en materia de protección

Una protección sólida de las copias de seguridad frente al ransomware requiere algo más que una arquitectura de almacenamiento adecuada. Exige prácticas operativas rigurosas en materia de cifrado, control de acceso, pruebas y cumplimiento normativo.

• Cifra las copias de seguridad tanto en tránsito como en reposo. Los datos de las copias de seguridad deben cifrarse durante la transmisión y mientras están almacenados. La compatibilidad con el cifrado «Bring Your Own Key» (BYOK) te permite controlar la gestión de claves sin depender exclusivamente del proveedor de copias de seguridad.
• Aplica la autenticación multifactorial (MFA) y el control de acceso basado en roles (RBAC). Limita quién puede acceder a las consolas de gestión de copias de seguridad y a las operaciones de Recovery. La MFA ayuda a añadir una capa de defensa frente a los ataques basados en credenciales, y el RBAC restringe a cada usuario a los permisos mínimos que necesita.
• Comprueba periódicamente que las restauraciones funcionan correctamente. Las copias de seguridad que nunca se han probado son copias en las que no puedes confiar. Realiza simulacros de Recovery de forma periódica —incluidas restauraciones granulares, recuperaciones entre cuentas y reversiones a un momento concreto— para asegurarte de que tus objetivos de tiempo de Recovery son realistas.
• Mantén las certificaciones de cumplimiento normativo. En los sectores regulados, tu solución de copias de seguridad debe contar con certificaciones vigentes, como la ISO 27001, la SOC 2 Tipo II y la HIPAA.

El cifrado ayuda a proteger la confidencialidad de los datos; los controles de acceso ayudan a limitar el alcance de las credenciales comprometidas; las pruebas ayudan a validar la Readiness para la Recovery; y los marcos de cumplimiento ayudan a proporcionar un enfoque estructurado para mantener todo lo anterior.

Protección de copias de seguridad de Clumio

Clumio ayuda a ofrecer una protección contra el ransomware mediante copias de seguridad nativas de la nube, diseñada específicamente para cargas de trabajo de AWS, entre las que se incluyenAmazon S3,DynamoDByEC2/EBS. A continuación se explica cómo Clumio ayuda a abordar los principales retos tratados en este artículo:

• Copias de seguridad en la nube con aislamiento físico fuera de tu cuenta de AWS.Clumio almacena todos los datos de copia de seguridad en un entorno aislado y gestionado por el proveedor, diseñado para estar completamente separado de tu cuenta principal en la nube. Los atacantes que logren acceder a tu entorno de producción se encontrarán con importantes obstáculos a la hora de acceder a tus datos de copia de seguridad.
• Inmutable por diseño. Los datos de copia de seguridad guardados en Clumio son inmutables e indelebles, y están diseñados de tal forma que no pueden modificarse ni sobrescribirse a través de ninguna interfaz de usuario ni API. La inmutabilidad se aplica a nivel de la plataforma, no como una configuración opcional.
• Recuperación granular a todos los niveles. Clumio facilita la recuperación a nivel de objeto, prefijo, bucket, tabla e instancia. Está diseñado para ayudarte a restaurar exactamente lo que necesitas —un único objeto S3, una tabla de DynamoDB o una instancia completa de EC2— sin necesidad de reconstruir entornos completos.
• SaaS sin servidor que no requiere implementar ninguna infraestructura. Clumio funciona como un servicio totalmente gestionado. No hay que mantener servidores de copia de seguridad, grupos de almacenamiento ni agentes. La protección está diseñada para adaptarse automáticamente al crecimiento de tus datos.
• Cifrado tanto en tránsito como en reposo, con compatibilidad con BYOK. Todos los datos se cifran durante la transferencia y en reposo, y se admite el uso de claves de cifrado gestionadas por el cliente.