El 15 de julio de 2026, Sophos publicó su informe anual sobre ransomware: entre las organizaciones cuyos datos fueron cifrados, el 66 % los recuperó gracias a sus copias de seguridad, frente al 54 % un año antes. Dos víctimas de cada tres salen adelante, por tanto, gracias a sus copias de seguridad ante el ransomware. Para una pyme, la pregunta útil no es «¿tengo copias?», sino «¿sobreviviría mi copia a un ransomware y sabría restaurarla?».
Lo esencial
- Según Sophos, el 56 % de los ataques de ransomware logró cifrar los datos de la víctima durante los doce meses estudiados.
- Cuando los datos están cifrados, el 66 % de las organizaciones los recupera con sus copias de seguridad y el 48 % paga el rescate; ambas respuestas pueden darse en la misma víctima.
- Pagar no garantiza nada: según Hiscox, solo el 60 % de las empresas que pagaron recuperó todos o parte de sus datos, y al 31 % le exigieron más dinero.
- Una copia de seguridad solo le protege de un ransomware si está fuera del alcance del atacante y si su restauración se ha probado.
Qué está pasando
El informe The State of Ransomware 2026 se basa en una encuesta realizada de enero a marzo de 2026 por la consultora Vanson Bourne para Sophos, a 2.158 responsables de informática y ciberseguridad de 17 países. Todas sus organizaciones, de 100 a 5.000 empleados, habían sufrido un ransomware en los doce meses anteriores. Es, por tanto, una fotografía de las víctimas, no del conjunto de las empresas.
Tres cifras merecen atención. Primero, el 56 % de los ataques terminó con los datos cifrados, frente al 50 % de la edición anterior: los atacantes recuperan terreno. Segundo, entre las organizaciones cifradas, el 66 % recuperó sus datos con sus copias de seguridad, 12 puntos más que un año antes. Tercero, el 48 % pagó el rescate. El cuestionario admitía varias respuestas: una misma empresa pudo restaurar una parte de sus datos y pagar por el resto. Solo el 2 % no recuperó nada.
El informe señala también que las organizaciones más pequeñas encuestadas, de 100 a 250 empleados, solo detuvieron el ataque antes del cifrado en el 34 % de los casos, frente al 46 % de las más grandes, de 3.001 a 5.000 empleados. Y el coste medio de la recuperación, sin contar el rescate, alcanza 1,7 millones de dólares por incidente.
Su recomendación al respecto es inequívoca: copias de seguridad probadas con regularidad, guardadas sin conexión o en un formato inmutable, e integradas en un plan de respuesta documentado que pueda ejecutarse bajo presión.
La aseguradora Hiscox aporta la otra mitad del cuadro. En su informe 2025 sobre ciberpreparación, publicado el 29 de septiembre de 2025 y basado en 5.750 empresas de siete países, el 27 % de las empresas declaró haber sufrido un ransomware en el año. De ellas, el 80 % pagó. Pero solo el 60 % de las que pagaron recuperó todos o parte de sus datos, y el 31 % recibió una nueva exigencia de dinero.
Qué cambia para las copias de seguridad de su pyme ante el ransomware
La buena noticia es real: una copia de seguridad bien hecha sigue siendo la forma más segura de salir de un ransomware sin negociar con quienes le han atacado. Pero la distancia entre «tener copias» y «recuperarse gracias a las copias» es justo donde se encuentra la tercera víctima. El informe no dice cuántas de ellas creían estar cubiertas. En la práctica, veo tres causas principales.
La copia está al alcance del atacante. Un disco externo conectado de forma permanente, una carpeta de red accesible desde el servidor, una carpeta sincronizada en la nube: si su servidor puede escribir en la copia, quien tome el control de su servidor también puede borrarla o cifrarla.
La copia está incompleta o es inutilizable. Una base de datos copiada archivo por archivo mientras está en marcha puede parecer una copia de seguridad sin poder restaurarse. Un olvido en el perímetro (el correo, la configuración, los adjuntos) solo se nota el día en que falta.
Nadie ha restaurado nunca. Entonces se descubre, bajo presión, que falta una contraseña, que el procedimiento no está escrito en ningún sitio o que la restauración tarda tres días en lugar de tres horas. Una copia que nunca se ha restaurado no es más que una hipótesis.
Lo que he aprendido
Aplico estas reglas a mi propio sistema de gestión, el que lleva la contabilidad, los sitios web y las citas de mis empresas. Cada noche se exporta la base de datos y se relee automáticamente: una exportación ilegible hace fallar la tarea en lugar de pasar desapercibida. Después, una copia sale fuera de las instalaciones, a un almacenamiento donde el servidor de producción puede añadir copias pero no borrarlas. Si ese servidor se viera comprometido, el atacante no podría destruir el historial. Recibo un aviso en cada ejecución, tanto si sale bien como si falla: el silencio nunca es una buena noticia.
En septiembre de 2026 revisé toda esa cadena y encontré una trampa: la copia de los archivos en bruto de la base, tomada con el motor en marcha, parecía una copia de seguridad sin ninguna garantía de poder restaurarse. La retiré y conservé solo la exportación verificada, antes que dejar que alguien creyera algún día que podía contar con ella. Luego hice la única prueba que cuenta: restaurar la exportación de la noche en un entorno desechable, aislado de cualquier red, y comparar el resultado con la producción. Restauración terminada en menos de dos minutos, sin errores, y los siete recuentos de control idénticos. Repito esta prueba al menos una vez por trimestre y después de cada actualización importante. Otra regla: hago una copia antes de cualquier intervención que modifique datos.
También aprendí que una red de seguridad que nunca se ha puesto a prueba puede fallar. Tras una actualización automática del sistema, mi aplicación no se reinició: 8 h 30 de caída de los sitios, cuando yo creía cubierto ese caso. Corregí el ajuste y luego provoqué a propósito la misma avería para comprobarlo: el servicio volvió solo en menos de medio minuto. Es la misma lógica que con una copia de seguridad: mientras no se ha ensayado el escenario, no se sabe.
No es nuevo en mi oficio. Al diseñar la infraestructura informática de AtonRa Partners, una sociedad de gestión financiera, las copias de seguridad formaban parte de la base, al igual que los servidores, la red y la seguridad de los accesos, con una documentación técnica entregada al equipo. Las herramientas han cambiado desde entonces; el principio no.
Qué hacer en concreto
1. Haga la lista de lo que tiene que volver
Bases de datos, archivos compartidos, correo, documentos contables, configuración de servidores y aplicaciones. Para cada uno: ¿cuántos días de datos puede perder y cuánto tiempo puede estar parado? Esas dos respuestas determinan la frecuencia de las copias y el tipo de solución.
2. Ponga una copia fuera de alcance
Al menos una copia fuera de sus instalaciones que sus servidores no puedan modificar ni borrar: almacenamiento de solo adición, inmutable durante un plazo fijado, o un soporte desconectado. Conserve varias generaciones, a lo largo de varias semanas y varios meses, para poder volver a un momento anterior al inicio de una infección discreta.
3. Haga verificar cada copia automáticamente
Una tarea de copia debe comprobar lo que produce y avisarle tanto si falla como si sale bien. Si no recibe nada, es una señal de alarma, no un respiro.
4. Pruebe una restauración completa
En un entorno aislado, restaure realmente sus datos y compárelos con la producción. Cronometre la operación: ese es su verdadero plazo de recuperación. Repítalo al menos una vez por trimestre y después de cada cambio importante.
5. Escriba el procedimiento antes de necesitarlo
Quién decide, quién llama a quién, dónde están los accesos necesarios para la restauración, en qué orden se levantan los servicios y cuál es su postura sobre el pago de un rescate. Una decisión tomada en frío vale más que una tomada en plena crisis.
Preguntas frecuentes
¿Basta una sincronización en la nube como copia de seguridad contra el ransomware?
No. Una sincronización copia fielmente los archivos cifrados por el ransomware. Hacen falta versiones conservadas en el tiempo y una copia que sus equipos y servidores no puedan modificar.
¿Con qué frecuencia hay que probar una restauración?
Al menos una vez por trimestre y, siempre, después de una actualización importante de una aplicación o de una base de datos. Una prueba que nunca se ha hecho no le dice nada sobre su plazo real de recuperación.
¿Hay que pagar el rescate si faltan las copias?
Es una decisión suya, pero las cifras de Hiscox son claras: pagar no garantiza ni la devolución de los datos ni el fin de las exigencias. La mejor posición es no tener que tomar esa decisión.
Para ir más lejos
Diseño y opero infraestructuras para pymes, copias de seguridad y pruebas de restauración incluidas: vea la página Sistemas e infraestructura. Si quiere saber si sus copias resistirían un ransomware, hablemos en una llamada de 20 minutos.
Fuentes
- The State of Ransomware 2026, Sophos, informe publicado el 15 de julio de 2026.
- 79% of Ransomware Attacks Now Originate from Compromised Identities, Sophos Report Finds, Sophos, comunicado del 15 de julio de 2026.
- Cyber-attacks leave SMEs with hefty fines and uncertain futures (Hiscox Cyber Readiness Report 2025), Hiscox Group, 29 de septiembre de 2025.
Foto: Domaintechnik / Unsplash (unsplash.com/photos/VHmBX7FnXw0).
Etiquetas: ransomware, copias de seguridad, restauración, pymes, ciberseguridad, continuidad del negocio, infraestructura