Por qué fallan las copias de seguridad NAS durante los ataques de ransomware: explicación de RAID, las instantáneas y el acceso compartido

Un NAS puede tener un RAID en buen estado, instantáneas programadas y tareas de copia de seguridad completadas correctamente, y aun así carecer de una vía de recuperación utilizable tras un ataque de ransomware. Lo decisivo es si se conserva un estado limpio anterior, si el atacante puede modificarlo y si puedes restaurar los datos sin depender de credenciales o sistemas comprometidos.

Los informes de octubre de 2026 sobre ransomware en Synology son un punto de partida oportuno, pero este análisis trata sobre la arquitectura de almacenamiento y no pretende describir a todas las víctimas. RAID, las instantáneas, la sincronización y las copias de seguridad independientes resuelven problemas distintos. La recuperación falla cuando se malinterpretan sus límites o cuando copias aparentemente separadas comparten la misma autoridad.

Foto de cabecera: Korrupt / Wikimedia Commons, CC BY 4.0. Recortada y redimensionada; el recorte fotográfico conserva esa licencia. Fotografía contextual de hardware NAS; no se trata de un dispositivo afectado ni de la escena de un incidente verificados.

¿Por qué el almacenamiento NAS es un objetivo del ransomware?

Un NAS permite acceder a la información a través de una red, normalmente a varias personas, aplicaciones o computadoras. Ese es su propósito. También significa que hay varias formas de que los cambios no deseados lleguen a los archivos. Un atacante podría comprometer el propio NAS, tomar el control de una cuenta autorizada o controlar una estación de trabajo con acceso de escritura a una carpeta compartida de red.

Estas vías no requieren defensas idénticas. Corregir una vulnerabilidad de un servicio de gestión no elimina los permisos de acceso a recursos compartidos que ya tiene una estación de trabajo infectada. A la inversa, limitar las carpetas en las que un usuario puede escribir no corrige una aplicación de gestión vulnerable. El análisis del incidente en el artículo complementario sobre C3RB3R y DSM explica por qué es importante distinguir la vía de acceso.

La recuperación plantea una segunda pregunta: ¿puede la misma identidad o plano de control dañar las copias destinadas a ayudar después? Si es así, la cantidad de discos, carcasas o destinos en la nube puede exagerar el grado real de separación. Cuenta los límites de fallo independientes con el mismo cuidado que las copias.

¿RAID protege los datos del ransomware?

Las configuraciones RAID redundantes están diseñadas para tolerar un número determinado de fallos de disco. No determinan si una escritura aparentemente legítima contiene un documento útil o datos cifrados inservibles. En un ejemplo de RAID 1, cuando una aplicación autorizada sobrescribe un archivo, el espejo también guarda esa escritura. El conjunto puede seguir funcionando correctamente aunque el archivo quede inutilizable.

El mecanismo no es una forma especial de eludir el ransomware. El espejado cumple su función habitual: mantener el estado actual del almacenamiento en los distintos miembros. No conserva por sí mismo una versión limpia seleccionable del día anterior. RAID 0 no es redundante en absoluto; no se debe considerar que los distintos niveles de RAID ofrecen la misma tolerancia a fallos.

El RAID sigue siendo útil. En una configuración redundante que funciona correctamente, un fallo de disco durante el trabajo habitual no tiene por qué provocar una interrupción del servicio. El error está en esperar que la resiliencia ante fallos de disco permita recuperar datos históricos, separar los accesos o proteger contra la pérdida de toda la carcasa. La guía sobre RAID y copias de seguridad analiza esa distinción con más detalle. Asimismo, la guía de Synology sobre copias de seguridad del NAS trata las copias de recuperación como un aspecto de planificación independiente.

¿Puede el ransomware eliminar o cifrar las instantáneas del NAS?

Una instantánea puede ser una respuesta eficaz ante cambios no deseados en los archivos. En muchas implementaciones de instantáneas, modificar los archivos activos no sobrescribe los bloques anteriores que conserva una instantánea. Por tanto, no se debe suponer automáticamente que el malware con permisos normales para compartir archivos también tenga privilegios de administración de instantáneas.

La distinción importante está entre modificar archivos y controlar el mecanismo que conserva estados anteriores. Un administrador con privilegios suficientes puede eliminar las instantáneas normales. Otras cuentan con protección adicional. Synology documenta las instantáneas inmutables para los sistemas compatibles, con restricciones temporales que también protegen las estructuras de almacenamiento que las contienen contra la eliminación durante el periodo aplicable. Afirmar que los administradores siempre pueden eliminar todas las instantáneas sería inexacto.

Pregunta qué instantáneas existen, qué controles las protegen y cuándo vence esa protección. Un periodo de retención breve puede hacer que, para cuando se detecte el daño, solo queden versiones posteriores al cifrado. Las instantáneas locales tampoco crean otro dispositivo físico: el robo, la destrucción física o la pérdida del almacenamiento subyacente siguen siendo problemas de recuperación distintos.

¿Por qué pueden verse comprometidas a la vez las copias de seguridad de red?

Piensa en un NAS principal que copia archivos a un segundo NAS cada noche. Si el sistema principal almacena credenciales que pueden sobrescribir el destino y eliminar sus versiones antiguas, el compromiso de ese sistema puede poner en riesgo ambas copias. Una carcasa diferente aporta separación de hardware, pero no necesariamente separación administrativa.

El mismo razonamiento se aplica al almacenamiento en la nube. Un repositorio puede estar geográficamente lejos, mientras que sus credenciales de eliminación siguen almacenadas en un host comprometido. Las directrices del NCSC del Reino Unido sobre copias de seguridad sin conexión abordan las copias locales y en la nube conectadas, así como la importancia de controlar el acceso de los clientes. La distancia física por sí sola no limita lo que una solicitud de API autorizada puede eliminar.

La segmentación de la red puede ayudar a reducir los servicios accesibles, pero una conexión permitida con permisos amplios aún puede ser peligrosa. Evalúa la identidad real del trabajo, la administración del repositorio y los permisos de retención. «Red diferente» y «cuenta diferente» son descripciones iniciales útiles, pero no demuestran que se rechazará una solicitud destructiva.

Sincronización frente a copia de seguridad: ¿por qué son diferentes?

Por lo general, la sincronización intenta que los destinos reflejen los cambios del origen. Imagina un directorio de un portátil sincronizado con un NAS. El malware cifra los archivos del portátil y el cliente de sincronización carga el contenido modificado. Un estado de sincronización correcta puede describir con precisión un resultado de recuperación fallido: ahora el destino contiene fielmente los archivos actuales dañados.

El historial de versiones o la recuperación de archivos eliminados pueden mejorar ese resultado, pero solo si las versiones anteriores pertinentes siguen estando disponibles. Comprueba el período de retención, cómo se gestionan los cambios rápidos, si un atacante puede borrar el historial y si la aplicación protege las carpetas que realmente te interesan. La etiqueta «sincronización» por sí sola no responde a ninguna de estas preguntas.

Una configuración útil de copias de seguridad conserva deliberadamente un estado recuperable que puede diferir del origen actual. Debe mantenerse intacto el tiempo suficiente para cubrir la detección y la respuesta. Una carpeta copiada que se sobrescribe continuamente no equivale a un repositorio que conserva versiones anteriores bajo controles de protección independientes.

¿Por qué es importante una estrategia de copias de seguridad 3-2-1?

Las opciones de respaldo de datos de CISA describen la pauta básica de siempre: tres copias de la información importante, incluida la copia de trabajo; dos tipos de medios; y una copia fuera de las instalaciones. El objetivo es evitar que un único fallo local destruya todas las copias. Es un marco útil para hacer un inventario, no una garantía contra todos los ataques.

Fuera de las instalaciones describe la ubicación. Sin conexión describe la conectividad. Inmutable describe las restricciones a los cambios durante un período definido. Un repositorio en la nube puede estar fuera de las instalaciones y ser accesible continuamente; una unidad USB desconectada puede estar sin conexión, pero guardada junto al NAS. Ninguna descripción sustituye a la otra.

En el caso del ransomware, amplía el inventario con preguntas sobre quién puede modificar cada copia y si una versión limpia sobrevivirá al incidente. La guía de CISA sobre ransomware recomienda respaldos sin conexión y cifrados, además de pruebas periódicas de recuperación. El cifrado de los respaldos protege la confidencialidad; por sí solo, no impide que un atacante autorizado elimine el repositorio cifrado.

¿Qué hace que un respaldo sea realmente independiente?

La independencia es una relación entre una copia de recuperación y un fallo específico, no una propiedad que se obtiene por comprar otro disco. Empieza suponiendo que la administración de producción se ha visto comprometida. ¿Puede ese administrador borrar el repositorio, reducir el período de retención, revocar el acceso de recuperación o eliminar la única copia de una clave de cifrado?

Las identidades separadas y los permisos aplicados pueden limitar ese alcance. Puede permitirse que un usuario de escritura de respaldos cree nuevos puntos de recuperación sin darle permiso para eliminar los puntos protegidos más antiguos. La administración del repositorio y las credenciales de recuperación pueden mantenerse separadas de producción. Verifica el modelo de permisos real del producto; no todos los protocolos permiten esa separación.

Extraer datos de un servidor de respaldo puede mantener algunas credenciales fuera del NAS de producción, pero «extraer» no es intrínsecamente seguro ni «enviar» es intrínsecamente inseguro. Examina dónde residen las credenciales y qué puede hacer cada una. Una rotación sin conexión también necesita un procedimiento controlado para volver a conectarlas: una unidad que antes estaba aislada vuelve a ser accesible durante la siguiente sesión de respaldo.

¿Cómo sabes si se puede restaurar una copia de seguridad?

Un trabajo completado demuestra que se completó una operación, no que se pueda recuperar el servicio previsto. Prueba la restauración en un destino limpio. Abre documentos representativos, recupera los permisos importantes y confirma que las bases de datos de las aplicaciones sean coherentes con sus archivos. Comprueba también que el punto seleccionado sea anterior a los cambios no deseados.

El objetivo de punto de recuperación, o RPO, describe el intervalo de pérdida de datos aceptable. El objetivo de tiempo de recuperación, o RTO, describe el tiempo aceptable para restaurar el servicio. Una programación horaria no demuestra que el RPO sea de una hora si los puntos de recuperación recientes están dañados o no están disponibles. Una restauración rápida de archivos no demuestra que todo el servicio cumpla el RTO.

Como límite inferior ilustrativo, transferir 2 TB de datos decimales mediante un enlace de 1 Gbit/s lleva unas 4,4 horas con una utilización perfecta. La recuperación real requiere más tiempo por la sobrecarga, la verificación, el manejo de archivos pequeños y las tareas de las aplicaciones. Este cálculo no es una prueba de rendimiento de un NAS. Muestra por qué el objetivo de recuperación debe medirse teniendo en cuenta el flujo de trabajo completo.

La publicación del NIST sobre planificación de copias de seguridad destaca la importancia de realizar, mantener y probar las copias de seguridad. Su guía de recuperación de la integridad de los datos también plantea como objetivo que la información recuperada sea confiable. La disponibilidad de los bytes y la confianza en esos bytes son resultados relacionados, pero distintos.

¿Qué aspecto tiene una arquitectura NAS resistente al ransomware?

Un diseño práctico combina capas en vez de declarar que una sola función es suficiente. Los recursos compartidos de producción tienen acceso de escritura limitado. Una configuración RAID redundante compatible gestiona los fallos de disco pertinentes. Las instantáneas proporcionan estados anteriores útiles, con retención protegida cuando está disponible. Un repositorio de copias de seguridad con control independiente y una copia aislada o con inmutabilidad adecuada conservan opciones de recuperación adicionales.

Una oficina pequeña hipotética podría usar instantáneas locales con intervalos cortos para recuperar ediciones accidentales, un repositorio con versiones administrado por separado y una copia desconectada que se rota y se guarda en otro lugar. Ese esquema es un ejemplo que se debe evaluar, no una afirmación sobre ninguna víctima de octubre ni una recomendación universal. Los detalles dependen de la sensibilidad de los datos, el personal disponible y los objetivos de recuperación.

Sigue un conjunto de datos importante a lo largo del diseño. Identifica su último punto conocido como bueno, las credenciales necesarias para restaurarlo, dónde están las claves y qué máquina limpia puede leerlo. Luego repite el ejercicio suponiendo que el NAS de producción no está disponible. Los pasos que falten revelan más que un panel que muestra varios trabajos de copia de seguridad en verde.

Preguntas frecuentes

¿RAID 1 conserva una copia sin cifrar si el ransomware modifica un archivo?

No. La duplicación normalmente conserva las escrituras actuales, incluidos los cambios no deseados realizados con permisos suficientes. No es una copia histórica automática. Para recuperar un estado anterior, se necesita una instantánea que siga disponible, una copia de seguridad con control de versiones u otra fuente adecuada.

¿Las instantáneas no sirven de nada contra el ransomware?

No. Pueden conservar estados anteriores y facilitar una recuperación rápida. Su protección depende de los permisos, la retención, la implementación y los controles de inmutabilidad disponibles. Una instantánea local también depende físicamente de su sistema de almacenamiento, un límite distinto del que ofrece la protección a nivel de archivo.

¿Una copia de seguridad en la nube fuera del sitio está aislada automáticamente?

No. «Fuera del sitio» significa que está en otra ubicación, no necesariamente que tenga una autoridad distinta o que esté desconectada. Comprueba quién puede eliminar las versiones, si el entorno de producción tiene esas credenciales y si el historial protegido sigue disponible tras la vulneración de una cuenta.

¿El cifrado de una copia de seguridad impide que el ransomware la elimine?

No. El cifrado protege la confidencialidad del contenido de las copias de seguridad. La facultad de eliminarlas es un asunto aparte. Protege los permisos del repositorio y la retención, y mantén disponibles las claves de recuperación mediante un proceso que no dependa únicamente del sistema comprometido.

¿Cuánto tiempo deben conservarse las instantáneas y las versiones de las copias de seguridad?

No hay una duración universal. La retención debe cubrir el tiempo durante el cual los cambios no deseados podrían pasar inadvertidos, el tiempo de investigación y las necesidades de recuperación, dentro de los límites de almacenamiento. Consulta la guía de retención de versiones de archivos tras un ataque de ransomware para abordar la planificación de un punto de recuperación limpio. Comprueba que la política elegida deje disponible un punto de recuperación limpio, en lugar de solo versiones recientes dañadas.

¿Cuál es la prueba de recuperación inicial más útil?

Restaura un conjunto de datos importante en una ubicación limpia, utilizando las credenciales y herramientas que tendrías durante una interrupción real. Verifica el contenido de los archivos, los permisos, la coherencia de las aplicaciones y el tiempo transcurrido. Después, comprueba si el resultado cumple los objetivos aceptados de pérdida de datos y tiempo de inactividad.

Conclusión

RAID, las instantáneas y las copias de seguridad siguen siendo valiosas cuando se entienden sus funciones. El fallo más grave consiste en permitir que los datos en uso y todas las opciones de recuperación dependan de una misma autoridad que puede destruirlos, o descubrir demasiado tarde que una copia conservada no se puede restaurar. Cuenta las copias, pero también revisa los permisos, el aislamiento, la retención y las pruebas de recuperación. El análisis del incidente de Synology examina la otra mitad del problema: qué permiten y qué no permiten concluir las pruebas públicas sobre el acceso inicial.