Protección contra ransomware: prevenir, detectar y recuperar sin pagar

El ransomware es un programa malicioso que cifra los ficheros de una organización, dejándolos inservibles hasta que se aplica una clave que solo posee el atacante. En su forma actual, el cifrado suele ser la última fase de un ataque más largo: primero se obtiene acceso mediante una credencial robada o una vulnerabilidad, después el atacante explora la red, identifica los sistemas más valiosos y localiza los repositorios de copia de seguridad para inutilizarlos antes de lanzar el cifrado.

A menudo se añade una segunda extorsión: antes de cifrar, el atacante extrae información sensible y amenaza con publicarla si no se paga, incluso aunque la empresa pueda restaurar sus sistemas desde copia. Por eso la protección no puede limitarse a backup: necesita prevención de la entrada y detección temprana del movimiento previo.

Ninguna medida preventiva es infalible al cien por cien, por lo que toda estrategia seria contra el ransomware asume que, en algún momento, algo puede fallar. La diferencia entre una interrupción de horas y una crisis de semanas está en si existe una copia reciente, inmutable y aislada de la red de producción, de forma que el atacante no pueda cifrarla o borrarla junto con el resto de sistemas.

Además de existir, la copia debe probarse: una restauración que nunca se ha ensayado puede fallar precisamente cuando más se necesita. Verificar periódicamente que los datos se recuperan íntegros es tan importante como generar la copia.