«Tenemos copias de seguridad» es probablemente la frase más repetida, y más engañosa, en ciberseguridad empresarial. Casi todas las empresas tienen copias. Muchas menos tienen copias que sobrevivirían a un ataque de ransomware y que permitirían volver a trabajar en un tiempo aceptable.
Por qué fallan las copias
Los grupos de ransomware conocen bien las copias de seguridad. Una vez dentro de la red, uno de sus primeros objetivos es localizarlas y destruirlas antes de cifrar los sistemas. Los fallos más frecuentes son:
- Copias accesibles con las mismas credenciales que el resto de sistemas.
- Discos conectados de forma permanente al servidor o a la red.
- Retención corta: cuando se detecta el ataque, todas las copias disponibles ya están contaminadas.
- Copias que nunca se han restaurado: incompletas, corruptas o imposibles de recuperar en un tiempo razonable.
- Servicios en la nube sin copia propia: se da por hecho que el proveedor lo cubre todo.
Principios que funcionan
3-2-1, ampliado
La regla clásica recomienda tres copias de los datos, en dos soportes distintos y una de ellas fuera de las instalaciones. Frente al ransomware, conviene añadir dos condiciones: que al menos una copia sea inmutable o esté desconectada, y que las copias se verifiquen sin errores.
Aislamiento de credenciales
El sistema de copias debe administrarse con cuentas distintas de las del dominio, protegidas con doble factor y sin uso para ninguna otra tarea. Si un atacante obtiene la cuenta de administrador del dominio, no debería poder borrar las copias.
Retención suficiente
Los atacantes pueden permanecer semanas en una red antes de actuar. Una retención de pocos días puede no ser suficiente para encontrar una copia limpia.
Pruebas de restauración
La única forma de saber si una copia funciona es restaurarla. Recomendamos pruebas periódicas de los sistemas críticos, midiendo el tiempo real de recuperación y documentando el resultado.
Las dos preguntas para la dirección
- ¿Cuántos datos podemos permitirnos perder? Determina la frecuencia de las copias.
- ¿Cuánto tiempo podemos estar sin trabajar? Determina la arquitectura de recuperación.
Si nadie puede responder con datos a estas dos preguntas, el plan de copias se ha diseñado desde la tecnología y no desde el negocio.
Si ya ha ocurrido
Aísla los equipos afectados de la red sin apagarlos, no borres nada y no contactes con los atacantes. INCIBE ofrece ayuda gratuita en el 017. Valora en las primeras horas si existe obligación de notificar una brecha de datos personales a la Agencia Española de Protección de Datos.
Te ayudamos a evaluar tu exposición y a ensayar la recuperación con nuestro servicio de protección contra ransomware.