Ransomware: nadie se recupera

Artículo de Nacata Security, 16/09/2026

¿Tienes un plan para sobrevivir a un ransomware? Casi nadie lo tiene de verdad.

Un informe demoledor confirma que los planes de recuperación fallan casi siempre.

Fenix24 analizó más de 500 recuperaciones reales y publicó sus conclusiones el 15 de septiembre. No es una advertencia teórica: es el registro de lo que pasa cuando el ataque llega.

Las empresas tenían documentos, procedimientos y copias de seguridad. Cuando el atacante entró de verdad, todo ese andamiaje se vino abajo en horas.

El plan existía, pero no sobrevivió al primer contacto.

De los más de 800 clientes evaluados, solo cuatro se acercaron a su objetivo de recuperación en 24 a 48 horas, y únicamente para operaciones parciales. Ninguno recuperó capacidad total hasta semanas después. El 99,2 % llegó sin ningún plan documentado para recuperar sus sistemas de identidad, y los pocos planes que existían colapsaron en cuanto el atacante se movió por la red.

El primer sistema en caer fue siempre el mismo.

Active Directory, el directorio que gestiona quién puede entrar a qué en una empresa, fue el primer gran sistema comprometido en prácticamente todos los casos. El 94 % tenía sus copias de seguridad conectadas a ese mismo directorio que el atacante ya controlaba. Recuperar los backups requería acceder al sistema tomado. Un círculo del que no se sale.

El 20 % del primer día se fue solo en limpiar una cuenta.

Solo para tener una fuente de autenticación mínimamente fiable, las empresas consumían una quinta parte de esas primeras 48 horas críticas. Llegar a una infraestructura mínima viable requería al menos 72 horas más. Y mientras tanto, el 95 % de los clientes no tenía ningún control de autenticación multifactor en sus consolas de infraestructura crítica.

Las copias de seguridad tampoco salvaron a nadie.

En el 38 % de los casos donde los backups sobrevivieron al ataque, igualmente no pudieron sostener la recuperación. Algunos eran demasiado antiguos, otros estaban corruptos antes de que llegara el ransomware, y otros simplemente tardaban más en restaurarse que reconstruir todo desde cero.

El mapa de la empresa no existía.

Ninguno de los clientes conocía todas las aplicaciones que usaba ni de qué dependía cada una. Ese mapa, imprescindible para decidir qué recuperar primero, vivía en bases de datos que cayeron junto con todo lo demás. Las empresas tuvieron que dibujarlo a mano, en pleno caos, mientras decidían qué parte del negocio resucitar antes.

El espacio físico y la red también fallaron inesperadamente.

En el 82 % de los casos el almacenamiento se quedó sin espacio, obligando a elegir entre guardar los datos restaurados o preservar la evidencia forense. En el 38 % de los incidentes, la red no tenía capacidad para mover datos al ritmo que exige una recuperación real.

Simular sin probar de verdad es igual que no tener plan.

Fenix24 lo dice sin eufemismos: una simulación que no recorre el camino completo de restauración contra los objetivos de recuperación actuales no sirve de nada. El plan que no se ha ejecutado de verdad es papel mojado cuando el ransomware llega.

La recomendación es concreta y exige trabajo real.

Identificar el servicio más crítico, trazar un mapa completo de todo lo que depende de él incluyendo terceros, y ejecutar la restauración de principio a fin midiendo si se cumplen los tiempos objetivo. No como ejercicio teórico, sino como prueba real con los sistemas actuales.

Sin esa prueba, el plan no existe.

Los datos de Fenix24 hablan de empresas que nunca comprobaron si su red de seguridad aguantaba el peso real cuando más importaba.

¿Sabes cuánto tardaría tu empresa en volver a funcionar si el ransomware llegara mañana?

La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.

Artículos relacionados

Nacata Security, contáctanos cuando quieras