La mayoría de las guías de protección de datos se centran en los mismos reflejos: contraseña robusta, antivirus actualizado, copia de seguridad regular. Estas bases siguen siendo válidas para proteger sus datos informáticos en el día a día. Pero dejan un ángulo muerto importante: ¿qué sucede si es la cuenta de administrador de su solución de copia de seguridad la que está comprometida, y no simplemente un archivo eliminado por error?
Copias de seguridad comprometidas: el escenario que la regla 3-2-1 no cubre por sí sola
La regla 3-2-1 (tres copias, dos soportes diferentes, una copia fuera del sitio) es un estándar repetido en todas partes. Protege contra fallos de hardware y eliminación accidental. No protege contra un atacante que toma el control del software de copia de seguridad en sí.
Los informes de expertos sobre los ransomware recientes muestran un cambio de táctica. Los atacantes priorizan las consolas de administración de las copias de seguridad antes de cifrar los datos de producción. Si la cuenta de administrador de la nube o del software de copia de seguridad no está protegida por una autenticación multifactor distinta, todas las copias de seguridad pueden ser destruidas en una sola operación.
Las guías recientes de respuesta a ransomware insisten en dos puntos que los consejos para el público en general casi siempre omiten:
- Las copias de seguridad deben estar aisladas de la red principal, no solo almacenadas en un disco externo conectado permanentemente o en una carpeta en la nube sincronizada automáticamente.
- Una copia de seguridad que nunca ha sido probada en una restauración completa no vale nada. Restaurar regularmente un conjunto de archivos en un equipo separado permite verificar que los datos son utilizables.
- La cuenta de administración de las copias de seguridad debe tener su propio MFA, separado del que se utiliza para las cuentas de usuario comunes, para que una compromisión de una no dé acceso a la otra.
Este modelo a veces se denomina regla 3-2-1-1-0: una copia fuera de línea, cero errores durante la última prueba de restauración. Es un complemento directo a la regla clásica, no un reemplazo.
Recursos especializados como Secret Informatique detallan estos enfoques de seguridad de las copias de seguridad adaptados a particulares y pequeñas estructuras, más allá de los consejos genéricos.
Autenticación multifactor: por qué el SMS ya no es suficiente
Activar la doble autenticación sigue siendo uno de los gestos más efectivos para asegurar sus cuentas en línea. Sin embargo, no todos los factores de autenticación son iguales.
La CNIL considera ahora el OTP por SMS como un factor de baja robustez. El SMS puede ser interceptado por desvío de línea (SIM swapping) o por software espía instalado en el teléfono. Esta constatación impulsa hacia soluciones más resistentes al phishing.
| Método MFA | Resistencia al phishing | Practicidad diaria |
|---|---|---|
| SMS / OTP | Baja (interceptable) | Muy simple, ningún software requerido |
| Aplicación de autenticación (TOTP) | Media (código limitado en el tiempo) | Requiere una app en el smartphone |
| Clave de seguridad física / Passkey | Alta (vinculada al dominio) | Requiere un dispositivo compatible |
Las passkeys, adoptadas por un número creciente de servicios, vinculan la autenticación al dominio exacto del sitio. Un sitio falso de phishing no puede interceptar la validación. Para proteger sus datos personales, migrar a una aplicación de autenticación o a una passkey reduce considerablemente el riesgo en comparación con el SMS solo.
Cadena de subcontratación digital: un riesgo invisible para los datos personales
Cuando confía sus archivos a un servicio en la nube, no está tratando únicamente con el editor del software. Detrás de él intervienen hospedadores, proveedores de mantenimiento, a veces subcontratistas de subcontratistas. Cada uno representa un punto de entrada potencial.
La directiva NIS2, en proceso de transposición en Francia, amplía esta responsabilidad. Los requisitos de seguridad ahora se aplican a toda la cadena de subcontratación digital, no solo a la herramienta que utiliza directamente. Para un particular, esto se traduce en una pregunta simple: ¿su proveedor de copia de seguridad en la nube publica información sobre sus propios proveedores y sobre las medidas de seguridad aplicadas a sus datos?
Pocos servicios de consumo comunican claramente sobre este punto. Verificar la política de privacidad y las certificaciones de seguridad de su proveedor en la nube (localización de servidores, cifrado en reposo, gestión de accesos de terceros) permite evaluar si sus archivos están realmente protegidos o simplemente almacenados.
Actualizaciones e higiene de red: los gestos que siguen siendo innegociables
Algunos reflejos de seguridad de datos mantienen toda su relevancia, siempre que se apliquen rigurosamente y no solo se conozcan.
Automatizar las actualizaciones del sistema operativo y de las aplicaciones elimina el principal vector de ataque utilizado por el malware: las vulnerabilidades conocidas pero no corregidas. Un dispositivo actualizado cierra la mayoría de las puertas de entrada utilizadas por los ransomware.
En cuanto a la red, la conexión Wi-Fi doméstica merece tanta atención como las cuentas en línea. Cambiar la contraseña por defecto del router, desactivar el WPS y verificar que el cifrado WPA3 (o al menos WPA2) esté activo impide que un vecino o un transeúnte acceda a su tráfico.
Para las conexiones fuera de casa, un VPN cifra los intercambios en redes públicas. No es una solución milagrosa contra todos los riesgos, pero un VPN impide la interceptación de datos en tránsito en un Wi-Fi abierto.
Proteger sus datos informáticos en el día a día ya no se basa en una lista de diez gestos simples aplicados una vez. La fiabilidad de una copia de seguridad se mide por su capacidad para resistir la compromisión de la cuenta que la gestiona, no solo por la existencia de una copia. Probar la restauración, aislar las copias críticas y adoptar una autenticación resistente al phishing son las tres medidas cuyo impacto real supera con creces el de una contraseña compleja más.
