Protección ante ransomware empresarial: cómo seguir siendo recuperable cuando un ataque tiene éxito

El 19 de octubre de 2025, el ransomware detuvo todos los envíos desde los centros logísticos de Askul, una empresa japonesa de suministros de oficina y comercio electrónico. Los atacantes habían entrado a través de una cuenta de administrador emitida a un contratista externalizado: la única cuenta que la empresa había eximido de la autenticación multifactor (MFA). Cuando los atacantes cifraron los servidores de Askul, también eliminaron sus archivos Backup, y parte de los datos robados se publicó posteriormente en línea. ^[1]

La propia investigación de Askul determinó que sus copias de seguridad en línea no se habían diseñado para resistir un ataque de ransomware, por lo que los atacantes pudieron cifrar algunas de ellas junto con todo lo demás, lo que retrasó significativamente la recuperación. ^[1] Askul está lejos de ser un caso aislado. El ransomware apunta a las copias de seguridad en 4 de cada 5 ataques, con el objetivo de forzar el pago del rescate destruyendo tu capacidad de recuperación. ^[2]

Esta guía explica cómo se desarrolla un ataque empresarial, las capas que lo detienen, por qué Almacenamiento de backup con Absolute Immutability es tu defensa definitiva contra el ransomware y cómo evaluar las soluciones que afirman proporcionarla.

Conclusiones clave

• A escala empresarial, la protección ante ransomware depende de si un único conjunto de credenciales robadas puede alcanzar todo, incluidas las copias de seguridad, porque en la mayoría de los casos los atacantes usan privilegios de administrador para destruir las opciones de recuperación antes o mientras cifran.

• El ransomware es ahora una amenaza casi segura: más de 4 de cada 5 organizaciones han sufrido al menos un ataque en los últimos dos años. ^[2] Ningún producto por sí solo es suficiente; la protección requiere un conjunto por capas de controles que cubra identidad y acceso, correo electrónico y endpoints, red, detección y Backup y recuperación.

• La inmutabilidad estándar a menudo tiene excepciones y lagunas ocultas que podrían permitir que se eliminen las copias de seguridad, pero con Absolute Immutability nadie puede alterar ni eliminar datos de Backup, ni siquiera con credenciales de administrador. Aunque el 93% de los líderes tecnológicos afirma que Almacenamiento de backups inmutable absoluto es crítico para la protección ante ransomware, solo el 16% lo tiene. ^[2]

¿Qué es la protección ante ransomware?

La protección ante ransomware es la combinación de controles técnicos, políticas y capacidades de recuperación que protege a una organización frente a ataques de ransomware y limita el daño cuando estos ataques tienen éxito. Tiene dos funciones: impedir que los atacantes entren y se propaguen por la red, y garantizar que la organización pueda recuperarse cuando un ataque aun así tiene éxito.

Ambas funciones se vuelven más difíciles a escala empresarial. Una sola consola de virtualización puede ejecutar cientos de máquinas virtuales; las cuentas privilegiadas y de servicio se multiplican entre departamentos y Partners; y el sistema Backup tiene su propia consola de administración, en la que un atacante con credenciales robadas puede iniciar sesión igual que un administrador legítimo.

La recuperación, a su vez, implica cientos de restauraciones realizadas en orden de prioridad del negocio. Con tanto accesible desde tan pocas cuentas, la protección empresarial se reduce a si un único conjunto de credenciales robadas puede alcanzar todo, incluidas las copias de seguridad. Cerrar esa vía, de modo que ninguna cuenta única pueda destruir tanto los datos de producción como sus copias de recuperación, es la base de la resiliencia frente al ransomware.

¿Cómo se desarrolla un ataque de ransomware dentro de una empresa?

Un único conjunto de credenciales que alcance todo es exactamente lo que buscan los atacantes. Más de 4 de cada 5 organizaciones han sufrido al menos un ataque de ransomware en los últimos dos años. ^[2]

La secuencia siguiente sigue las fases de un ataque de ransomware en su peor escenario, en el que la protección ante ransomware falla en cada paso y los atacantes alcanzan su objetivo.

1. Entrar. La mayoría de los ataques comienzan con un correo electrónico o un inicio de sesión robado: el correo malicioso, el phishing y las credenciales comprometidas son las tres principales causas raíz de los ataques de ransomware, con un 26%, 24% y 23% respectivamente. ^[3] Los atacantes de Askul simplemente iniciaron sesión usando una cuenta de administrador de un contratista sin MFA. ^[1]
2. Permanecer fuera de la vista. Una vez dentro, los atacantes a menudo pasan semanas mapeando la red, deshabilitando herramientas de Seguridad y borrando registros a medida que avanzan. Los intrusos de Askul hicieron lo mismo, deshabilitando el software de detección y respuesta en endpoints (EDR) y usando varias variantes de ransomware, algunas de las cuales en ese momento se colaron más allá de las firmas EDR de Askul. ^[1]
3. Recopilar las llaves. Cada sistema al que llegan los atacantes aporta más credenciales, pero los objetivos principales son las cuentas que controlan la infraestructura: administradores de dominio, de virtualización y del sistema Backup.
4. Propagarse por el entorno. Con derechos de administrador, los atacantes se mueven lateralmente de servidor en servidor hasta controlar los sistemas que gestionan todo lo demás, desde los hipervisores que ejecutan cientos de máquinas virtuales hasta las consolas que gestionan las copias de seguridad.
5. Llevarse los datos. Antes de que se cifre nada, los datos sensibles a menudo se copian fuera de la red. Esa copia es la base de la doble extorsión: se presiona a la víctima para que pague una vez por una clave de descifrado y otra para evitar que los datos se publiquen. Una restauración limpia solo resuelve el primer problema. Askul se negó a negociar y parte de sus datos robados apareció en línea. ^[1]
6. Eliminar el camino de vuelta. En la mayoría de los casos, los atacantes se mueven para eliminar las opciones de recuperación antes o mientras se despliega la carga útil de cifrado, usando los privilegios recopilados en el paso 3. Un sistema Backup que acepta un inicio de sesión válido no puede distinguir a un intruso de su propio administrador. Los archivos Backup de Askul se eliminaron en el mismo momento en que se cifraron sus servidores. ^[1]
7. Cifrarlo todo a la vez. A continuación, el cifrado se ejecuta simultáneamente en muchos servidores, a menudo en la capa de virtualización, de modo que cientos de sistemas caen juntos en lugar de uno por uno. Los sistemas cifrados en Askul incluían los que ejecutaban sus centros logísticos altamente automatizados, y los envíos se detuvieron por completo. ^[1]
8. La exigencia. La nota de rescate llega con dos condiciones: pagar por la clave de descifrado y pagar para mantener privados los datos robados. Con las copias de seguridad desaparecidas, la clave es el único camino restante hacia los datos.

Las cinco capas de la protección ante ransomware empresarial

Ningún control único en una estrategia de Defensa contra ransomware puede romper la secuencia anterior, porque cada control detiene solo algunos de los pasos del ataque.

Dado que ningún sistema es impenetrable, la protección ante ransomware en entornos empresariales sigue un modelo Simple: asumir una brecha, construir múltiples capas de ciberseguridad y prepararse para la recuperación. ^[4]

El National Institute of Standards and Technology (NIST) adopta el mismo enfoque en su perfil de gestión del riesgo de ransomware, que sitúa la recuperación junto con la protección y la detección dentro de un único marco. ^[5]

Identidad y acceso

Los controles de identidad se dirigen a los pasos 1 y 3 porque la mayoría de los ataques requieren un inicio de sesión válido antes de cualquier otra cosa. La MFA en todas las cuentas remotas y administrativas hace que una contraseña robada sea mucho menos útil por sí sola. El acceso de mínimo privilegio restringe cada cuenta únicamente a los sistemas y datos que requiere su función específica, de modo que una cuenta robada abre solo una pequeña parte del entorno.

La gestión de acceso privilegiado (PAM) añade un control más estricto sobre las cuentas a las que más apuntan los atacantes. Una herramienta PAM concede derechos de administrador solo cuando se necesitan y registra cómo se utilizan.

Las tres solo funcionan si no se deja ninguna cuenta como excepción, incluidas las emitidas a Partners y contratistas.

Correo electrónico y endpoints

El filtrado de correo electrónico ayuda a prevenir gran parte del phishing detrás del paso 1 al comprobar remitentes, enlaces y adjuntos antes de que los mensajes lleguen a las bandejas de entrada.

Las herramientas EDR luego supervisan servidores y portátiles en busca de comportamiento malicioso durante el paso 2, como procesos inusuales o intentos de deshabilitar software de Seguridad. Los atacantes esperan que el EDR esté implementado, por lo que apagarlo suele ser uno de sus primeros movimientos tras obtener acceso a la red.

El ransomware impulsado por IA añade un desafío adicional. Puede generar o reescribir su propio código para que cada versión se vea diferente, lo que deja a las herramientas basadas en firmas sin un patrón estable con el que coincidir.

El filtrado de correo electrónico y el EDR funcionan mejor cuando sus alertas alimentan la capa de detección en lugar de operar de forma aislada.

Red

La segmentación de red ralentiza el paso 4 al dividir la red de la organización en zonas separadas que un atacante tiene que cruzar una a una.

Los sistemas críticos, como la gestión del hipervisor y los servidores de identidad, deberían ubicarse en zonas a las que las estaciones de trabajo estándar no puedan acceder directamente, de modo que un portátil comprometido nunca esté a un solo salto de la infraestructura.

Supervisar el tráfico que cruza entre zonas ayuda a revelar a un atacante moviéndose por la red. La mayoría de los sistemas siguen patrones predecibles, por lo que una conexión inusual, como una sesión de escritorio remoto entre dos servidores que rara vez se comunican, destaca como una señal de advertencia.

Detección y alerta temprana

La detección acorta el tiempo que los atacantes pasan dentro de la red y puede activarse en cualquier paso del 2 al 6. La monitorización del comportamiento aprende cómo se comportan normalmente los usuarios, los sistemas y las aplicaciones, y marca la actividad que rompe el patrón, lo que detecta amenazas que las herramientas basadas en firmas pasan por alto.

Los equipos de Seguridad suelen alimentar esas alertas en un sistema de gestión de información y eventos de Seguridad (SIEM), que recopila señales de todos los sistemas de la organización en un solo lugar, para que los analistas puedan conectar eventos relacionados y responder más rápido.

El conjunto más amplio de técnicas de detección de ransomware también incluye señuelos. Un señuelo de red imita un objetivo legítimo de Backup para atraer a los atacantes y hacer que se delaten antes de que cualquier dato real esté en riesgo.

Object First Honeypot es un ejemplo. Despliega un entorno señuelo de Veeam Backup & Replication (VBR) dentro del appliance Object First en solo unos clics, sirviendo como un cable trampa para detectar actividad sospechosa dirigida a la infraestructura Backup.

Backup y recuperación

Las cuatro capas de protección anteriores reducen la probabilidad de que un ataque tenga éxito, pero ninguna de ellas determina qué ocurre cuando uno sí tiene éxito. Eso depende de la capa de Backup y recuperación, donde los resultados están empeorando: solo el 39% de las organizaciones recuperó al menos el 75% de sus datos tras un ataque, frente al 57% en 2024. ^[2]

Una piedra angular de la recuperación del Backup de datos es mantener copias de seguridad inmutables, lo que significa que durante una ventana de tiempo predefinida, un Backup no puede alterarse ni eliminarse. Sin embargo, aquí se requiere cuidado, porque muchos sistemas que afirman ofrecer copias de seguridad inmutables tienen excepciones y lagunas ocultas.

La solución a estas lagunas es Absolute Immutability, lo que significa que incluso el administrador con más privilegios, o un atacante con acceso a Almacenamiento de backup, no puede modificar ni eliminar datos.

Absolute Immutability: La base de la protección ante ransomware de nivel empresarial

La brecha entre creer que los backups están protegidos y contar realmente con esa protección es amplia: el 76% de los líderes tecnológicos afirma que su solución principal Backup utiliza almacenamiento inmutable, pero solo el 16% dice que su Almacenamiento de backup actual es absolutamente inmutable. ^[2]

Absolute Immutability solo puede lograrse usando un sistema Almacenamiento de backup que sea “Seguro por diseño”, con Acceso Cero para realizar acciones destructivas, y este Acceso Cero debe verificarse mediante pruebas de terceros. ^[4]

Una de las lagunas más comunes reside en cómo se configura Bloqueo de objetos de S3. En el Modo de Cumplimiento, los periodos de retención se aplican estrictamente: ni siquiera los administradores pueden modificar o eliminar los datos protegidos hasta que expire el periodo de retención. El Modo de Gobernanza, en cambio, permite que los usuarios con privilegios anulen la configuración de Object Lock, por lo que un atacante que obtenga acceso administrativo puede desactivar la inmutabilidad y destruir los datos Backup. ^[4]

La implementación práctica de Absolute Immutability requiere tres principios fundamentales:

• Almacenamiento de objetos S3: Un estándar abierto, totalmente documentado, con inmutabilidad nativa, que permite pruebas de penetración independientes y verificación por terceros.

• Inmutabilidad instantanea: Los datos Backup se vuelven inmutables en el momento en que se escriben, sin brechas y sin zonas de aterrizaje.

• Dispositivo de almacenamiento de destino: Un dispositivo Dedicado separa Almacenamiento de backup de Software de backup y elimina los riesgos del almacenamiento autogestionado tipo “hazlo tú mismo” durante la configuración, las actualizaciones y el mantenimiento. No se requiere experiencia en Seguridad, porque la Seguridad operativa pasa al proveedor.

Siguiendo estos tres principios, las organizaciones pueden lograr Absolute Immutability, lo que mantiene los datos Backup protegidos y recuperables durante su periodo de retención definido, ya sea que la amenaza sea ransomware, un insider o credenciales robadas. ^[4]

Protección ante ransomware con Object First

Cuando —no si— el ransomware golpea, el futuro de tu negocio pende de un hilo. En ese momento, la recuperación es lo más importante: volver a estar operativo lo más rápido posible, sin complejidad innecesaria.

Hacemos que la resiliencia cibernética sea Simple con Almacenamiento de backup que es absolutamente inmutable y diseñado específicamente para Veeam. Es tu defensa definitiva contra el ransomware.

Object First se basa en las mejores prácticas de Zero Trust y está probado y verificado por terceros para ser Seguro. Es Simple de implementar y gestionar con No se requiere experiencia en seguridad, y es lo suficientemente Potente para backups ultrarrápidos y una Recuperación Instantánea superpotenciada que escala con tu negocio.

Cuando Almacenamiento de backup es así de Seguro, Simple y Potente, tú y tu organización sois Simply Resilient.

Las ocho mejores prácticas de Object First para la protección ante ransomware de nivel empresarial

En Object First, trabajamos hacia un mundo en el que ninguna organización tenga que pagar un rescate por datos cifrados. Estas son las ocho mejores prácticas de protección ante ransomware que recomendamos a todas las empresas.

1. Aplicar MFA en todas las cuentas remotas y administrativas, empezando por las consolas de gestión de Backup, y no hacer excepciones para Partners, contratistas o proveedores de servicios, porque una sola cuenta exenta puede comprometer toda la red.
2. Dar a los sistemas Backup sus propias cuentas de administrador, separadas de las cuentas de usuario cotidianas y de administrador de dominio, y aplicar el acceso de mínimo privilegio para que una credencial de dominio obtenida no abra también la consola Backup.
3. Exigir aprobación de varias personas para acciones destructivas como restablecimientos, cambios de retención o cambios de Seguridad. Un Protocolo de Ocho Ojos, con dos personas del lado del cliente y dos miembros del personal del lado del proveedor aprobando cada acción, cierra la brecha que, de otro modo, crearía una única cuenta de administrador comprometida.
4. Cifrar los datos Backup de extremo a extremo desde el momento en que se crean, usando claves que cambian en cada sesión Backup. La inmutabilidad impide que los atacantes alteren o eliminen los backups, mientras que el cifrado con rotación de claves mantiene ilegibles los datos Backup que roben.
5. Mantener tres copias de tus datos en dos tipos de medios diferentes, con una fuera del sitio, una inmutable y cero backups sin verificar, tal como especifica la regla 3-2-1-1-0 de Backup. Colocar esas copias en zonas de resiliencia separadas, una parte central de protección de backups contra ransomware, significa que una brecha en una zona no alcanza a las demás.
6. Generar alertas ante cambios en la política de retención, intentos de eliminación inusuales y autenticación fallida contra el repositorio Backup, y dirigir esas alertas al mismo equipo y ruta de escalado que las alertas de Seguridad de producción.
7. Probar las restauraciones con una programación fija, cubriendo los sistemas críticos trimestralmente y el entorno completo de producción al menos una vez al año, y registrar cuánto tarda cada una. Un Backup no probado es una suposición, y el tiempo registrado muestra si la recuperación cumple tu Objetivo de Tiempo de Recuperación (RTO).
8. Mantener suficientes puntos de restauración inmutables para recuperarte desde antes del compromiso inicial, no solo del ataque visible. Los atacantes a menudo mantienen persistencia durante días o semanas antes de activar el cifrado, por lo que el Backup más reciente ya puede contener su punto de apoyo.

Cómo evaluar soluciones de protección ante ransomware de nivel empresarial

Las recomendaciones anteriores solo se cumplen si el almacenamiento subyacente las soporta, y muchos compradores nunca comprueban si lo hace. Aunque el 89% de los líderes tecnológicos coincide en que las afirmaciones del proveedor sobre la inmutabilidad deben validarse mediante una auditoría de terceros, solo el 56% utiliza pruebas e informes de terceros. ^[2]

Las comprobaciones siguientes permiten a una empresa poner a prueba esas afirmaciones antes de elegir entre soluciones de protección de backups contra ransomware, de modo que la decisión se base en evidencias y no en una Hoja de datos.

• Averigua si tu proveedor o el administrador con más privilegios puede acortar la retención o eliminar un Backup antes de que expire. Si cualquiera de los dos puede, un atacante con las mismas credenciales también puede.

• Confirma que los datos Backup se vuelven inmutables en el momento en que se escriben, no solo después de que finalice el trabajo Backup, ya que cualquier brecha entre ambos deja una ventana para la manipulación.

• Solicita resultados publicados de pruebas de penetración de terceros en lugar de basarte en una afirmación Hoja de datos. Las pruebas independientes solo son posibles contra protocolos abiertos y documentados, por lo que un sistema propietario te deja dependiendo de la palabra del proveedor.

• Revisa cómo funciona el almacenamiento con el Software de backup que ya utilizas, porque el almacenamiento diseñado para ese software elimina el trabajo de configuración personalizada donde las implementaciones autogestionadas suelen introducir vulnerabilidades.

• Aclara quién es responsable del parcheo, las actualizaciones y el endurecimiento, y cuánta experiencia en Seguridad necesita tu equipo para operar el sistema de forma segura. Con almacenamiento autogestionado, esas operaciones y sus riesgos siguen en tu equipo.

• Antes de comprar, prueba la velocidad de restauración con tus propios volúmenes de datos y cargas de trabajo, empezando por los sistemas que el negocio necesita primero, en lugar de basarte en los benchmarks del proveedor. El resultado muestra con qué rapidez puedes recuperar datos tras un ataque de ransomware.

• Realiza un ejercicio de mesa que simule una brecha completa de credenciales, en la que un atacante dispone de todas las cuentas de administrador, incluidas las del Software de backup y del almacenamiento. Luego confirma en la práctica que el almacenamiento sigue rechazando eliminaciones y cambios de retención desde esas cuentas. Solo entonces puedes tener la confianza de que tus backups son realmente Resistente al ransomware.

Preguntas frecuentes

¿Cuál es la mejor protección contra el ransomware para una empresa?

Ningún control único es suficiente; la mejor protección ante ransomware de nivel empresarial es por capas. Entre esas capas, Almacenamiento de backup con Absolute Immutability es la que sigue funcionando después de que la prevención y la detección hayan fallado, porque ninguna cuenta robada puede acortar su retención.

¿Cómo se prueba si tu protección ante ransomware funciona?

Ejecuta pruebas de restauración según un calendario, registra cada tiempo de restauración y compáralo con tu RTO, y realiza ejercicios de mesa que asuman que una cuenta de administrador ya está comprometida. Luego confirma que tu Almacenamiento de backup realmente rechaza una eliminación o un cambio de retención desde esa cuenta, en lugar de basarte en lo que muestra la pantalla de configuración.

¿Cuál es lo primero que hay que hacer en un ataque de ransomware?

Determina qué sistemas están afectados y aíslalos inmediatamente de la red, apagando los dispositivos solo si no pueden desconectarse. [6] El aislamiento detiene la propagación mientras preserva las evidencias que tu plan de respuesta ante ransomware necesita para la investigación y la recuperación.

References

[1] Askul Corporation. "Report on the Results of the Investigation into the Impact of the Ransomware Attack and Initiatives to Strengthen Security (13th Report)." December 12th, 2025 (Japanese). https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

[2] Omdia. "Recovery without Compromise: The Data-Backed Case for Backup Storage with Absolute Immutability." Commissioned by Object First, June 2026. https://objectfirst.com/recovery-without-compromise/

[3] Sophos. "The State of Ransomware 2026." 2026. https://www.sophos.com/en-us/content/state-of-ransomware

[4] Object First. "Absolute Immutability: The Ultimate Ransomware Defense." White paper, 2025. https://objectfirst.com/absolute-immutability-whitepaper/

[5] National Institute of Standards and Technology. "NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile." June 2026. https://csrc.nist.gov/pubs/ir/8374/r1/final

[6] CISA, MS-ISAC, NSA, and FBI. "#StopRansomware Guide." September 2023. https://www.cisa.gov/stopransomware/ransomware-guide