Según el informe O Estado do Ransomware no Brasil 2026, de Sophos, elaborado con 71 empresas brasileñas atacadas por secuestro de datos el año anterior, el 85% de ellas usó backup para recuperar los archivos cifrados — el número más alto que registra la encuesta, frente al 73% del año anterior. Es una buena noticia, pero esconde la otra cara del mismo dato: para llegar a ese número, una parte de las empresas no pudo usar su propio backup, porque también había sido afectado.
El secuestro de datos moderno rara vez empieza con el programa que cifra los archivos. Empieza antes, con el criminal ya dentro de la red, buscando la copia que le permitiría a la empresa negarse a pagar. Cuando encuentra esa copia visible, accesible con la misma contraseña que se usa a diario, la borra o la cifra primero — y solo entonces dispara el ataque que la empresa termina notando.
Para quien aprueba el presupuesto de TI, la pregunta ya no es solo "¿la empresa tiene backup?". La pregunta que decide el tamaño del daño es dónde está guardada esa copia, con qué contraseña se accede a ella, y si alguien ya intentó restaurarla de verdad antes del día en que haga falta.
El criminal ya sabe dónde está la copia
La guía de protección contra ransomware de CERT.br describe el ataque en cinco etapas: acceso inicial, persistencia, escalamiento de privilegios, movimiento lateral y, solo al final, el impacto — cuando los archivos realmente se cifran. Entre la etapa dos y la etapa cinco, el criminal ya está circulando por la red con acceso de administrador, viendo qué hay ahí para golpear con más fuerza antes de mostrarse.
Es justo en esa ventana donde el backup entra en la mira. Si la copia de seguridad está en el mismo servidor, en la misma red y detrás de la misma contraseña de administrador que cualquier otro sistema de la empresa, no es una segunda oportunidad — es solo un blanco más al que el criminal ya llegó antes de decidir actuar.
Los números confirman que el acceso privilegiado es el camino preferido. En Brasil, según la misma encuesta de Sophos, el correo malicioso fue la causa técnica primaria en el 37% de los ataques, por delante de la vulnerabilidad explotada (24%) y el phishing (18%) — tres puertas que, una vez abiertas, le dan al criminal la oportunidad de escalar privilegios y llegar a cualquier sistema visible de la red, backup incluido.
El daño cuando esto le sale bien al atacante es alto. Excluyendo cualquier rescate pagado, el costo promedio para que una empresa brasileña se recupere de un ataque de ransomware fue de US$1,05 millones en 2026, según Sophos — tiempo de sistema caído, horas de personal, costo de equipos y oportunidades perdidas sumados. El monto mediano exigido de rescate en Brasil llegó a US$640.000, un salto del 63% frente al año anterior.
Cuando el backup funciona, el criminal pierde la única palanca que tiene: la amenaza de que sin pago, los datos desaparecen para siempre. Cuando no funciona, la empresa negocia en la peor condición posible — sin alternativa.
Tener backup no es lo mismo que tener backup protegido
La forma común de tratar el backup en una empresa pequeña o mediana es contratar una rutina de copia, ver que corre todos los días y dar el asunto por resuelto. Nadie intenta restaurarla de verdad, la copia queda en el mismo servidor de archivos que usa todo el mundo, y la contraseña de quien administra el backup es la misma contraseña de administrador de todo lo demás.
Es el retrato de una situación común: una fábrica mediana contrata la copia de seguridad, confirma que corre, y no vuelve a pensar en el tema — hasta el día en que ocurre el secuestro de datos y, al momento de restaurar, descubre que la copia estaba en la misma carpeta de red que el resto, visible para quien ya había tomado control del entorno. La empresa tenía backup. No tenía backup protegido.
Otra versión del mismo error común es asumir que "backup en la nube" resuelve todo por sí solo, sin revisar si el acceso a esa nube usa la misma contraseña del dominio de la empresa. Si la credencial es la misma, la protección también lo es — y un criminal que ya robó una contraseña de administrador no necesita romper nada más para llegar ahí.
Lo que tiene que existir en la práctica
Un entorno preparado para este escenario depende de mecanismos concretos, no de confiar en que "la copia está corriendo".
Una copia fuera del alcance de la red principal. CERT.br recomienda mantener al menos una copia fuera de línea, o en un formato que ni el propio administrador de la red pueda borrar desde adentro. Si el backup puede destruirse con el mismo acceso que tumba el resto de la empresa, no cumple la función de segunda oportunidad.
Contraseña y acceso distintos de los que se usan a diario. El sistema de backup no debería abrirse con la misma contraseña de administrador de red. Separar ese acceso es lo que evita que un solo inicio de sesión comprometido también alcance la copia de seguridad.
Prueba de restauración real, con fecha programada. Una copia que nadie ha intentado recuperar es una suposición, no una garantía. La prueba periódica es lo que revela, antes de la emergencia, si el archivo realmente vuelve a funcionar.
Un plan que indique en cuánto tiempo la empresa vuelve a operar. Saber que existe backup no es lo mismo que saber cuánto tiempo toma restaurar todo y volver a facturar. Ese plazo tiene que estar escrito, no calculado el día del incidente.
Registro de quién accede al sistema de backup. Un acceso fuera de lo normal al entorno de backup — un inicio de sesión extraño, un horario inusual — necesita encender una alerta antes de que la copia sea alterada, no después.
Así es como trabaja Skills IT: con copias guardadas fuera del alcance de la red principal, acceso segregado y pruebas de restauración programadas, para que el backup siga siendo una salida incluso cuando el resto del entorno ya fue comprometido.
Lo que cambia cuando el backup está fuera de alcance
La ganancia de un backup protegido aparece justo en el momento en que la empresa más lo necesita: en la negociación con el criminal, que deja de existir. Sin una copia confiable, solo quedan dos caminos — pagar y esperar, o reconstruir todo desde cero.
Los números de Sophos en Brasil muestran ese efecto en movimiento. La proporción de empresas brasileñas que pagó rescate cayó del 66% al 45% en un año, mientras que el uso de backup para la recuperación subió del 73% al 85%. No es coincidencia: cuando la copia funciona, la empresa tiene una alternativa real al pago.
La ganancia financiera sigue la misma lógica. El costo promedio de recuperación de US$1,05 millones que cita Sophos ya incluye el tiempo caído y el personal movilizado — pero no el rescate en sí, que queda fuera del total precisamente cuando el backup evita el pago. Una empresa que restaura desde una copia protegida recorta la mayor porción posible de ese costo.
Hay todavía una ganancia menos visible: la decisión tranquila en vez de la decisión bajo presión. Cuando restaurar es una rutina ya probada, quien decide sabe cuánto tiempo tomará y cuánto costará — en vez de negociar un plazo con un criminal que sabe que la empresa no tiene alternativa.
Preguntas para llevar a la próxima reunión sobre backup
Antes de asumir que la empresa "ya tiene backup", vale la pena confirmar qué hay realmente detrás de esa frase.
- ¿La copia de backup está fuera del alcance de la red principal? Si vive en el mismo servidor o la misma carpeta compartida que todo lo demás, está al alcance de quien ya entró a ese "todo lo demás".
- ¿El acceso al sistema de backup usa una contraseña distinta a la de administrador de red? Una contraseña repetida significa que una sola credencial filtrada compromete a las dos a la vez.
- ¿Alguien ya intentó restaurarla de verdad, con fecha programada? Sin esa prueba, nadie sabe si el backup funciona hasta el día en que ya es tarde para descubrirlo.
- ¿Existe un plazo escrito para el tiempo de retorno de la operación? Sin ese número, cada incidente se convierte en una estimación hecha bajo presión, en medio de la crisis.
- ¿A quién se avisa si alguien accede al backup fuera del horario o del patrón normal? Sin esa alerta, el cambio en la copia solo se nota a la hora de usarla — y para entonces ya es tarde.
