Los atacantes ya van primero por tus respaldos

01Qué pasó

El 10 de agosto de 2026, el FBI, la agencia de ciberseguridad de Estados Unidos (CISA) y otras agencias publicaron un aviso conjunto sobre Gunra, un grupo de ransomware que apareció en abril de 2025 y que este año empezó a «rentar» su ransomware a otros delincuentes.

Lo que más llama la atención del aviso: en al menos un caso, los atacantes desactivaron los respaldos y borraron las copias de seguridad, tanto en el centro de datos principal como en el sitio de recuperación. Cuando la empresa quiso restaurar, ya no había de dónde.

Cómo entran, según el aviso:

• Por fallas conocidas en firewalls y VPN de Fortinet que ya tenían corrección publicada desde principios de 2025.
• Con contraseñas de fábrica que nunca se cambiaron.
• Con cuentas de administrador robadas, y en algunos casos alterando la verificación en dos pasos para saltársela.

Además de cifrar, roban información y amenazan con publicarla si la víctima no paga en cinco a siete días. Entre los sectores afectados están manufactura, salud, finanzas, transporte, comercio y gobierno.

02Por qué te importa en México

No es un caso lejano. En agosto, el equipo de respuesta a incidentes de Kaspersky contó el caso de una pyme mexicana de mensajería: los atacantes entraron por un servidor de base de datos expuesto a internet, cuya contraseña estaba publicada en un repositorio de código. Estuvieron tres meses dentro sin que nadie lo notara, se llevaron información y cifraron entre cinco y seis servidores, además de las computadoras.

La empresa pagó el rescate. Y aun así no recuperó su operación: tuvo que reconstruir desde cero toda su infraestructura. Pagar no le devolvió nada de lo que ya había perdido: ni el tiempo detenido, ni la información que los atacantes ya tenían en sus manos.

Esa es la trampa. Para que pagues, primero se aseguran de que no puedas recuperarte solo. Y cuando pagas, nada te garantiza que vas a volver a operar como antes.

Por eso la pregunta para tu empresa ya no es si tienes respaldos. Es esta: si mañana alguien entra con la contraseña de tu administrador, ¿puede borrarlos? Si la respuesta es «sí» o «no sé», tus respaldos no te van a salvar.

03Qué hacer esta semana

1. Ten al menos una copia que nadie pueda borrarPídele a tu persona de TI (sistemas) una copia fuera de línea o «inmutable»: una que no se puede modificar ni borrar durante cierto tiempo, ni siquiera con la contraseña de administrador, y que esté separada de tu red. Es una de las recomendaciones principales del aviso.
2. Que la contraseña de todos los días no pueda borrar los respaldosLa consola de respaldos debe tener su propia cuenta, con verificación en dos pasos. Y ninguna cuenta, por sí sola, debería poder borrar al mismo tiempo la copia principal y la del sitio de recuperación.
3. Prueba restaurar, no solo respaldarEsta semana, restaura un archivo importante y, si se puede, un servidor completo de prueba. Anota cuánto tardó. Un respaldo que nunca se ha probado es una suposición, no una garantía.