La respuesta corta
Un NAS es un destino de almacenamiento. WORM es una propiedad de ese almacenamiento. Tener un NAS no significa tener respaldo inmutable. La diferencia es si un atacante con credenciales de administrador puede o no borrar tus copias. En WORM, no puede, aunque tenga las llaves del dominio.
Qué es exactamente WORM
WORM son las siglas de Write Once, Read Many: escribe una vez, lee muchas. Un archivo escrito en almacenamiento WORM queda bloqueado durante un periodo de retención que tú defines. Durante ese tiempo nadie puede modificarlo ni eliminarlo, ni siquiera un administrador con privilegios totales, ni el propio proveedor del almacenamiento.
Esa es toda la idea, y es una idea poderosa: convierte tu respaldo en algo que ningún ransomware puede tocar. El ransomware es rentable porque cifra todo lo que alcanza. Si hay una copia que no puede alcanzar, el modelo de negocio del atacante se rompe.
La anatomía de una falla: cómo el ransomware llega a tu NAS
El escenario se repite casi idéntico en las auditorías que hacemos. Vale la pena recorrerlo paso a paso porque explica por qué "ya tenemos respaldo" no es una respuesta.
-
1
Entra por un correo o por un acceso remoto
Un usuario abre un archivo adjunto o un proveedor deja un acceso RDP expuesto. Primer punto de entrada habitual.
-
2
Se mueve lateralmente con la cuenta del usuario
Escala privilegios y obtiene credenciales de dominio. Este paso puede tomar días o semanas, sin que nadie lo note.
-
3
Localiza y destruye los respaldos primero
Los grupos de ransomware modernos buscan NAS, unidades de red y servidores de respaldo antes de cifrar los equipos. Es deliberado.
-
4
Cifra producción y exige el rescate
Cuando cifra, ya no hay copia a la que volver. Por eso la extorsión funciona: no amenaza con cifrar, amenaza con que no puedas recuperar.
Comparación directa
| Criterio | Respaldo en NAS | Respaldo inmutable WORM |
|---|---|---|
| ¿Un admin puede borrar las copias? | Sí, en segundos | No, hasta vencer la retención |
| ¿Resiste el cifrado del dominio? | No, comparte credenciales | Sí, identidad independiente |
| Ubicación física | Normalmente la misma oficina | Fuera de sitio, en la nube |
| Protección ante incendio o robo | Nula si está en el mismo rack | Total, sede distinta |
| Historial de versiones | Limitado por capacidad | Puntos de restauración programados |
| Verificación de restauración | Rara vez se hace | Prueba documentada y periódica |
La ventana de air-gap: el segundo componente
La inmutabilidad protege la copia una vez escrita. El air-gap protege la conexión. Un esquema maduro combina ambos: la copia se escribe desde una cuenta que solo tiene permiso de escritura, y el almacenamiento no está permanentemente montado en la red. Windows abre la conexión, escribe y la cierra. No queda un mapeo de unidad al alcance del atacante.
Esto es lo que distingue un respaldo diseñado contra ransomware de un respaldo diseñado contra fallas de disco. Son amenazas distintas y requieren arquitecturas distintas.
Cómo verificar si tu respaldo realmente es inmutable
No aceptes una respuesta verbal. Estas son las cuatro preguntas que hacemos en una auditoría, y lo que debe responder cada una:
1. ¿Qué pasa si intento borrar un punto de restauración con la cuenta de administrador?
La respuesta correcta es que el sistema lo rechaza y registra el intento. Si te dicen "sí se puede, pero no lo hacemos", no es inmutable.
2. ¿Cuántos días de retención tengo y quién puede cambiarla?
Debe haber una retención definida por política, no modificable por el operador del día. 30 días es el mínimo razonable; 90 es lo recomendable para ataques de detección tardía.
3. ¿Dónde está físicamente la copia?
Si la respuesta es "en el rack de atrás", no hay protección contra incendio, inundación ni robo. Debe estar fuera de sitio.
4. ¿Cuál fue la fecha de la última restauración completa probada y cuánto tardó?
Debe haber una fecha concreta y un tiempo medido. Un respaldo no probado es una hipótesis, no una garantía. Este es el punto donde falla la mayoría de las empresas que auditamos.
¿Quieres saber en qué estado está tu respaldo hoy?
Hacemos la auditoría de tus cuatro puntos anteriores, incluida una prueba de restauración real, y te entregamos el resultado por escrito en menos de 48 horas hábiles. Sin costo.