Ransomware para MSPs: la lista de 6 puntos que convierte la copia de seguridad en un activo recuperable

La industria de los proveedores de servicios gestionados (MSP) ha comprendido que el ransomware no es una cuestión de 'si', sino de 'cuándo'. El informe de amenazas cibernéticas de Acronis ha identificado 143 víctimas de ransomware entre MSP, proveedores de servicios TI y operadores de telecomunicaciones en 2025, con el phishing como principal vía de acceso en el 52% de los casos y las vulnerabilidades sin parchear en el 27%. En este contexto, confiar únicamente en las copias de seguridad o en la detección de endpoints sin un camino de recuperación ensayado es una apuesta que ningún MSP puede permitirse. La protección contra el ransomware exige un enfoque integral que conecte la prevención, la detección, la respuesta y la recuperación. No basta con tener herramientas; es necesario contar con un servicio que demuestre su eficacia en seis áreas operativas clave. Esta lista de verificación convierte los modos de fallo en controles medibles y evidencia que cualquier MSP debería exigir antes de dar por completo un servicio de protección. Los seis mandamientos de la protección contra ransomware Un servicio completo de protección contra ransomware debe cumplir con seis objetivos fundamentales. Para cada uno de ellos, el MSP debe exigir pruebas concretas del arrendatario, la carga de trabajo, la configuración de almacenamiento y el nivel de servicio contratado. 1. Reducir la exposición El primer paso para protegerse es minimizar la superficie de ataque. Esto implica establecer acuerdos de nivel de servicio (SLA) de parcheo por criticidad y demostrar la autenticación multifactor (MFA) para los portales de administración y el acceso remoto. Es crucial separar la administración de seguridad de la de copias de seguridad y verificar que una cuenta de técnico comprometida no pueda modificar la protección ni eliminar los puntos de recuperación. Acronis Cyber Protect Cloud ofrece evaluación de vulnerabilidades, gestión de parches, filtrado de URL y administración basada en roles para cumplir con estos requisitos. 2. Detectar en todas las fases del ataque La detección temprana es esencial para detener el ransomware antes de que comience el cifrado masivo. El servicio debe ser capaz de ejecutar una prueba de comportamiento controlada y confirmar que se genera un incidente procesable antes de que el cifrado se extienda. También debe cubrir el aislamiento de endpoints y las acciones de respuesta en identidad, correo electrónico y Microsoft 365. La protección activa y el EDR de Acronis cubren el comportamiento en los endpoints, mientras que Acronis XDR añade visibilidad en correo electrónico, identidad y aplicaciones de Microsoft 365. 3. Responder 24/7 El ransomware no espera a que abra la oficina. El servicio debe contar con personal que supervise, investigue, contenga y se comunique con el cliente fuera del horario laboral. Es necesario probar las rutas de escalada y documentar qué acciones requieren aprobación. Acronis MDR proporciona supervisión y respuesta 24/7/365 sobre la base de Acronis EDR o XDR, con acciones de remediación completas disponibles en el nivel avanzado. 4. Preservar los puntos de recuperación La integridad de las copias de seguridad es la última línea de defensa. El servicio debe utilizar copias inmutables, con separación de accesos y, cuando sea necesario, copias offline. Se debe probar la eliminación con credenciales comprometidas y verificar la retención, las alertas y los cambios en las políticas de almacenamiento. Acronis Cyber Protect Cloud incluye almacenamiento de copias de seguridad inmutable diseñado para retrasar la eliminación y proteger los puntos de recuperación contra la eliminación accidental o maliciosa. 5. Recuperar de forma limpia La recuperación no es solo restaurar archivos; es hacerlo de forma segura. El servicio debe seleccionar un punto conocido como bueno, analizarlo en busca de malware, restaurarlo en aislamiento, reconstruir las dependencias en orden y validar la aplicación. Es fundamental medir el objetivo de punto de recuperación (RPO) y el objetivo de tiempo de recuperación (RTO) alcanzados, no solo si la tarea de copia de seguridad se completó. Acronis Cyber Protect Cloud puede analizar las copias de seguridad y admitir la recuperación libre de malware, mientras que Acronis Disaster Recovery coordina los flujos de trabajo de conmutación por error y recuperación cuando los servicios están licenciados y configurados. 6. Operar en todos los arrendatarios La gestión de múltiples clientes no debe implicar una pérdida de control. El servicio debe aplicar políticas estándar sin aplanar los requisitos específicos de cada cliente. Es necesario probar la separación de roles, la visibilidad entre arrendatarios, los informes, el acceso a la API y las transferencias a RMM/PSA, evitando la exposición cruzada. Acronis proporciona administración multiarrendatario, informes centralizados e integraciones RMM/PSA dentro de la plataforma Cyber Protect Cloud. ¿Cómo funcionan juntos EDR, XDR, MDR y la copia de seguridad inmutable? La confusión entre estas tecnologías es común, pero cada una cumple una función específica en la estrategia de defensa: EDR monitoriza la actividad de los endpoints y admite la investigación, el aislamiento y la remediación. XDR conecta las señales de los endpoints con otras superficies de ataque, permitiendo a los analistas ver un único incidente en lugar de alertas separadas. MDR añade personas y procesos: un servicio con personal investiga y responde las 24 horas del día. La copia de seguridad inmutable protege los puntos de recuperación contra alteraciones o eliminaciones, pero no detecta el robo de datos ni reemplaza la respuesta a incidentes. La clave está en usarlos juntos. En el modelo de Acronis, EDR proporciona detección y respuesta en endpoints, XDR extiende la visibilidad a correo electrónico, identidad y aplicaciones de Microsoft 365, y Acronis MDR opera sobre EDR o XDR. La inmutabilidad es un control de recuperación, pero no es lo mismo que una copia offline o aislada. El libro de recuperación: reducir el tiempo en cada traspaso El tiempo de recuperación es la suma de la detección, el análisis, la contención, la selección del punto limpio, la restauración y la validación. Un MSP reduce el RTO acortando cada etapa, especialmente los traspasos entre seguridad, copias de seguridad, identidad, redes y el cliente. El proceso de recuperación debe seguir un flujo estructurado: Declarar el incidente, asignar un comandante y abrir un canal fuera de banda. Identificar los arrendatarios, identidades, cargas de trabajo y el probable acceso inicial afectados. Aislar los endpoints comprometidos y bloquear sesiones, tokens y accesos remotos maliciosos. Preservar las pruebas antes de limpiar los sistemas o rotar los registros. Cerrar el punto de entrada mediante parches, desactivación de accesos y rotación de credenciales. Elegir el punto de recuperación más reciente que sea anterior al compromiso y que supere la validación. Restaurar la identidad y las dependencias de infraestructura antes de las aplicaciones y los datos de usuario. Analizar, probar, reconectar en etapas y monitorizar la actividad del atacante. La automatización debe eliminar las esperas repetitivas, pero un comandante de incidentes debe aprobar las acciones de alto impacto como el aislamiento masivo, el restablecimiento de credenciales y la conmutación por error. Un camino ensayado preserva la opción de recuperarse sin pagar, aunque ninguna herramienta puede garantizar la recuperación en todos los ataques. Después de cada simulacro, se debe registrar el RPO/RTO alcanzado y cada retraso, y revisar el libro de recuperación basándose en la evidencia, no en la velocidad estimada de restauración. ¿Es suficiente la copia de seguridad inmutable contra el ransomware de doble extorsión? No. La copia de seguridad inmutable puede preservar la capacidad de recuperación, pero no puede recuperar los datos que los atacantes ya han robado ni eliminar las obligaciones de notificación de brechas. Un servicio de protección contra ransomware debe, por tanto, buscar la exfiltración y el abuso de identidad antes de que comience el cifrado. Para ello, es necesario correlacionar la telemetría de endpoints, identidad, correo electrónico, Microsoft 365, DNS, proxy y salida de red. Durante la respuesta, se deben aislar los dispositivos, revocar sesiones y tokens, rotar credenciales, bloquear los destinos de los atacantes y preservar pruebas para las decisiones legales y de notificación. Acronis EDR proporciona contexto y respuesta en endpoints, mientras que Acronis XDR añade telemetría y respuesta en correo electrónico, identidad y aplicaciones de Microsoft 365. La evidencia de salida de red puede provenir de cortafuegos, SIEM u otros controles del cliente; estos traspasos deben probarse con antelación. ¿Cómo evaluar una plataforma de ransomware para MSP? Antes de comprar o estandarizar una plataforma, exija una demostración en vivo que cubra estos siete aspectos: Cobertura para cargas de trabajo de clientes y niveles de arrendatarios. Prevención y detección antes de que comience el cifrado generalizado. Propiedad de la respuesta 24/7, rutas de escalada y límites de aprobación. Modo de almacenamiento inmutable, comportamiento de retención y separación de accesos privilegiados. Selección de puntos limpios, análisis de malware y restauración aislada. RPO/RTO medidos en un simulacro de recuperación con dependencias ordenadas. Roles multiarrendatarios, informes, evidencia de auditoría e integraciones RMM/PSA/API. Acronis Cyber Protect Cloud con Acronis MDR es una opción integrada que reúne las capacidades para los seis trabajos operativos, sujeto al nivel de MDR seleccionado, la licencia, el despliegue, la arquitectura de almacenamiento y las responsabilidades de respuesta a incidentes del MSP. La clave es exigir una prueba de incidente y recuperación en vivo utilizando la configuración de producción. La protección contra ransomware no es un producto, sino un servicio probado. Y un servicio solo es fiable si ha demostrado su eficacia antes de que el ataque llegue. Suscríbete y recibe las últimas entradas en tu correo electrónico.