Los equipos de recuperación de datos se enfrentan a una prueba más difícil, según la empresa de protección de datos Index Engines. La empresa afirma que el nuevo ransomware a menudo corrompe archivos sin cifrarlos por completo. Eso suena como una pequeña distinción técnica, pero cambia cómo funciona la recuperación. Para cualquiera que dependa de copias de seguridad, corrupción de datos por ransomware en copias de seguridad es ahora una combinación que vale la pena entender.

El informe original es breve, así que este artículo se ciñe a lo que dijo Index Engines y añade contexto general sobre cómo funcionan el daño a archivos y las prácticas de copia de seguridad. Cuando explicamos mecanismos, describimos razonamiento técnico común, no afirmaciones del informe.

Por qué el ransomware está corrompiendo archivos en lugar de cifrarlos

El informe señala la tendencia, pero no detalla, en el resumen disponible para nosotros, los motivos detrás de ella. Algunos puntos generales ayudan a explicar por qué los atacantes podrían preferir la corrupción sobre el cifrado completo.

El cifrado completo de cada archivo lleva tiempo y recursos informáticos. Dañar solo partes de un archivo, o sobrescribir datos de una manera que los vuelva inutilizables, puede ser más rápido. También puede ser más difícil de detectar. Muchas defensas están configuradas para buscar el patrón familiar de cifrado masivo, como archivos que se renombran o la aparición de una nota de rescate. El daño que se parece más a errores ordinarios de archivos puede atraer menos atención al principio.

También hay una consecuencia práctica para las víctimas. Si los archivos están cifrados, a veces una clave de descifrado puede restaurarlos. Si los archivos están corruptos, puede que no haya nada que descifrar. La única vía fiable de vuelta es una copia limpia.

Qué significa la corrupción parcial para la recuperación de datos

Index Engines afirma que los equipos de recuperación se enfrentan a una tarea más difícil como resultado. La razón es sencilla: los supuestos habituales de recuperación se desmoronan.

  • Los archivos pueden parecer presentes pero ser inutilizables. Un documento puede existir, mostrar un tamaño normal y aun así no abrirse.
  • El daño puede propagarse a las copias de seguridad. Si el software de copia de seguridad copia archivos corruptos según lo programado, las versiones buenas pueden ser sobrescritas por las malas con el tiempo.
  • El alcance es más difícil de medir. Con el cifrado completo, está claro qué está afectado. Con la corrupción parcial, los equipos pueden no saber qué archivos están dañados y cuáles intactos sin comprobar cada uno.

Ese último punto es el más importante. Una copia de seguridad solo es útil si sabes qué punto de restauración está limpio. Sin ese conocimiento, la recuperación puede convertirse en un lento ensayo y error.

Cómo proteger las copias de seguridad de ataques de corrupción

El objetivo es mantener al menos una copia limpia e intacta de tus datos que un atacante no pueda alcanzar ni alterar. Algunos hábitos ayudan a las personas y a las pequeñas organizaciones a lograrlo.

Mantén copias de seguridad con versiones. El versionado almacena múltiples copias históricas de un archivo en lugar de solo la más reciente. Si la versión de hoy está corrupta, la de ayer o la de la semana pasada pueden seguir estando bien. Establece una retención lo suficientemente larga para que el daño lento y silencioso no elimine tus copias buenas antes de que lo notes.

Mantén una copia sin conexión o desconectada. Una unidad de copia de seguridad que está enchufada todo el tiempo puede ser alcanzada por cualquier cosa que alcance tu computadora. Rotar una unidad que se desconecta después de cada copia de seguridad limita esa exposición.

Usa almacenamiento inmutable cuando sea posible. Las copias de seguridad inmutables no pueden cambiarse ni eliminarse durante un período establecido, ni siquiera por una cuenta de administrador. Eso las hace resistentes tanto al cifrado como a la corrupción. Nuestra guía sobre copias de seguridad inmutables como última línea de defensa contra el ransomware cubre cómo funciona esto y por qué los atacantes ahora atacan directamente los sistemas de recuperación.

Separa tus credenciales. Los sistemas de copia de seguridad no deberían compartir el mismo inicio de sesión que las cuentas de uso diario. Si un atacante toma el control de una cuenta de uso diario, no debería obtener automáticamente acceso a tus copias de seguridad.

Prueba las restauraciones, no solo las copias de seguridad. Un trabajo de copia de seguridad que informa éxito solo te dice que los datos se copiaron. Restaura periódicamente una muestra de archivos y ábrelos. Esta es la forma más sencilla de detectar corrupción silenciosa antes de que necesites los datos.

Señales de advertencia tempranas de daño inesperado en archivos

Debido a que la corrupción puede ser más silenciosa que el cifrado, la detección temprana importa. Vigila señales como:

  • Archivos que de repente no se abren o muestran errores, especialmente varios a la vez
  • Documentos, fotos o bases de datos que se abren pero contienen contenido ilegible o faltante
  • Cambios inexplicables en tamaños de archivo o fechas de modificación en muchos archivos
  • Trabajos de copia de seguridad que tardan notablemente más o menos de lo habitual, o que comienzan a reportar advertencias
  • Actividad de disco inusual o ralentizaciones cuando nadie está usando el sistema intensamente

Las organizaciones pueden añadir monitoreo que alerte sobre grandes cantidades de archivos que cambian en poco tiempo. Las personas pueden obtener gran parte del beneficio revisando al azar carpetas importantes y leyendo las notificaciones del software de copia de seguridad en lugar de descartarlas.

Si sospechas de daño, desconecta el dispositivo afectado de la red y detén los trabajos de copia de seguridad antes de que sobrescriban versiones buenas con malas. Luego identifica el último punto de restauración limpio conocido.

Qué significa esto para ti

El informe de Index Engines es un recordatorio de que la planificación de recuperación no puede asumir que el ransomware siempre se anunciará con una nota de rescate y archivos bloqueados. Si el daño es parcial y silencioso, la calidad de tus copias de seguridad decide cuánto puedes recuperar.

Para usuarios domésticos, eso significa tener más de una copia de lo que importa, con al menos una mantenida sin conexión. Para pequeñas organizaciones, significa copias versionadas e inmutables, credenciales separadas para los sistemas de copia de seguridad y pruebas regulares de restauración. Nada de esto requiere un gran presupuesto, pero sí requiere atención antes de que algo salga mal.

Conclusiones clave: revisa tu configuración de copias de seguridad esta semana

  • Confirma que tus copias de seguridad mantienen múltiples versiones, no solo la copia más reciente.
  • Añade una copia sin conexión o desconectada de tus datos más importantes.
  • Considera almacenamiento inmutable para copias de seguridad críticas.
  • Restaura algunos archivos desde la copia de seguridad y confirma que se abren correctamente.
  • Presta atención a las advertencias de copia de seguridad y a errores inesperados de archivos.

La corrupción de datos por ransomware en copias de seguridad es un problema para el que puedes prepararte con unos pocos pasos deliberados. Tómate tiempo esta semana para revisar tu configuración y lee nuestra guía sobre copias de seguridad inmutables para una mirada más profunda a la protección de los sistemas de los que dependes para recuperarte.