Veinte minutos
En uno de los casos que la empresa de ciberseguridad CrowdStrike documentó este año, un agente de inteligencia artificial se movió por la red de una organización y consiguió las credenciales del controlador de dominio, la llave de todos los usuarios, en unos veinte minutos. Sin que nadie le diera más instrucciones.
Veinte minutos es menos de lo que dura una reunión. Y no es un caso de laboratorio: es un ataque real.
Durante años, muchas empresas se han tranquilizado con una idea: «a nosotros no nos van a atacar, somos pequeños». Nunca fue cierta. Las pequeñas siempre han sido objetivo; lo que pasa es que solo nos enteramos de los ataques a las grandes. Con la inteligencia artificial, la escala ha cambiado: hoy se puede atacar a miles de empresas a la vez.
Qué ha cambiado con la IA
La IA no ha inventado nuevos delitos. Ha hecho más rápidos, más baratos y más creíbles los que ya existían. Lo dicen los informes publicados en 2026:
- Está en casi todos los ataques. En el informe anual de Semperis, con 1.200 profesionales de nueve países, España incluida, los atacantes usaron inteligencia artificial en el 84 % de los ataques de ransomware.
- Engaña mejor. Según Proofpoint, el 65 % de las empresas atacadas considera que la IA hizo el ataque más eficaz, y en el 40 % de los casos el engaño parecía tan legítimo que los empleados no sospecharon. Correos sin faltas, en tu idioma, que citan a tu proveedor real; llamadas con la voz clonada de un directivo.
- Trabaja sola y a gran escala. CrowdStrike ha documentado ataques reales en los que varios agentes de IA reconocían la red, buscaban fallos y robaban datos en paralelo, con muy poca intervención humana. Y calcula que este tipo de intrusiones crecerá en volumen y sofisticación durante los próximos doce meses.
- Cualquiera puede hacerlo. El mismo informe señala que atacantes con pocos conocimientos ya están comprometiendo empresas gracias a estas herramientas.
El resultado es un cambio de escala. Antes, un grupo criminal elegía unos cuantos objetivos y dedicaba semanas a cada uno. Hoy puede lanzar miles de intentos a la vez y profundizar automáticamente en los que encuentran una puerta abierta.
Lo que buscan: tus accesos y tus copias
Un ataque moderno no empieza cifrando archivos. Empieza robando identidades: usuarios, contraseñas, accesos de administrador. Según Semperis, la gran mayoría de los ataques de ransomware fueron a por los sistemas de identidad de la empresa.
Con esos accesos, el atacante hace dos cosas antes de dar la cara:
- Se lleva los datos. Proofpoint indica que dos de cada tres empresas atacadas sufrieron robo de datos. Ya no se trata solo de que no puedas trabajar: tu información puede acabar publicada o vendida.
- Busca tus copias de seguridad y las destruye. Si las copias están en el mismo sistema, con las mismas contraseñas, caen con todo lo demás. Y entonces la única salida que te dejan es pagar.
Pagar tampoco es una salida. Entre las empresas que pagaron el rescate en el estudio de Proofpoint, más de un tercio recibió una segunda petición. Y Semperis observó que en cerca del 70 % de los casos la empresa fue atacada más de una vez.
Tener copias no es lo mismo que poder volver a trabajar
Casi todas las empresas tienen «backup». La pregunta incómoda es otra: si mañana a las nueve todo está cifrado, ¿a qué hora vuelve a trabajar tu empresa?
Una copia de seguridad responde a «¿he perdido mis datos?». Un plan de recuperación responde a «¿cuánto tiempo puedo estar parado?». Son preguntas distintas, y la segunda es la que decide si un ataque es un mal día o un problema para la continuidad del negocio.
Para que la respuesta sea buena hacen falta varias capas:
- Copias que el atacante no pueda borrar ni cifrar, aunque tenga las contraseñas: copias inmutables, separadas del sistema principal y guardadas también en otro centro de datos.
- Una réplica lista para arrancar, para recuperar en minutos.
- Un lugar alternativo donde seguir trabajando si cae el entorno principal entero. Eso es un Disaster Recovery Site, y contratado como servicio se conoce como DRaaS (recuperación ante desastres como servicio).
- Personas que sepan qué hacer, a cualquier hora, y que lo hayan hecho antes.
La pregunta que pocas empresas se hacen
Cuando una empresa elige dónde guarda sus datos, suele comparar precio y espacio. Rara vez pregunta lo que de verdad importa: ¿quién los protege, y cuánta experiencia tiene haciéndolo?
Seamos claros: llevar los datos a un proveedor no los hace seguros por arte de magia. Un proveedor que custodia los datos de muchas empresas también es un objetivo, y precisamente por eso tiene que estar más preparado que nadie. La diferencia no la marca dónde están los datos, sino quién los opera, con qué medidas y con cuánta experiencia.
Un especialista vive esto cada día: ve los intentos de ataque, actualiza las defensas, prueba las recuperaciones y sabe qué hacer a las tres de la madrugada. Un servidor en un armario de la oficina, o una nube que nadie vigila de verdad, no tiene a nadie mirando cuando importa.
Estas son las preguntas que haríamos a cualquiera que custodie los datos de una empresa, incluido tu propio departamento de IT:
- ¿Dónde están exactamente mis datos y mis copias? ¿En qué país, en cuántos centros de datos?
- ¿Las copias se pueden borrar con una contraseña robada? Si la respuesta no es un «no» claro, no están protegidas.
- ¿Cuándo fue la última vez que se restauró algo de verdad? Una copia que nunca se ha probado es una esperanza, no una copia.
- Si cae todo, ¿cuánto tardo en volver a trabajar, y dónde? Pide un tiempo, no un «lo antes posible».
- ¿Quién responde si pasa algo fuera de horario? ¿Una persona o un formulario?
- ¿Desde cuándo hacéis esto? La experiencia no se improvisa en mitad de una crisis.
Si alguna respuesta te deja dudas, ya sabes por dónde empezar.
Cómo lo hacemos en OnWork
En OnWork nos dedicamos a esto desde 2003. Operamos nuestra plataforma, con infraestructura propia en territorio nacional, desde 2016, y tenemos servicios de recuperación ante desastres en producción desde 2021. La infraestructura la opera el mismo equipo que la diseña.
- Vigilancia 24×7×365, y fuera de horario siempre hay un técnico de OnWork de guardia.
- Copias antiransom en todos los niveles, y desde el nivel Avanzada, también en otro centro de datos.
- Réplica en almacenamiento SSD para recuperar en minutos.
- Disaster Recovery Site: tus máquinas replicadas en otro centro de datos, listas para arrancar si cae el principal. También si tu infraestructura principal no está con nosotros.
- Concienciación para tu equipo, con una simulación de phishing real, porque la mayoría de los ataques sigue entrando por una persona engañada.
Cuando todos se van, siempre hay alguien.
El primer paso es un estudio técnico: analizamos contigo qué datos y máquinas son críticos, cuánto tiempo podría estar parada tu empresa y qué te falta para volver a trabajar si mañana ocurre lo peor.
Preguntas frecuentes
¿También le puede pasar a mi empresa?
Sí. La IA abarata los ataques y permite lanzarlos de forma masiva, así que el tamaño de la empresa ya no la protege. Los atacantes automatizan la búsqueda de accesos débiles y profundizan en cualquier empresa que los tenga.
¿Qué diferencia hay entre una copia de seguridad y un plan de recuperación?
La copia de seguridad guarda tus datos. El plan de recuperación define cuánto tardas en volver a trabajar, dónde y con qué pasos. Ante un ransomware, lo que decide el impacto en el negocio es el plan.
¿Qué es DRaaS o recuperación ante desastres como servicio?
Es un servicio en el que un proveedor mantiene una copia viva de tus sistemas en otro centro de datos, lista para arrancar si cae tu entorno principal. Permite seguir trabajando aunque el centro de datos principal no esté disponible.
