Tenemos respaldo, ¿verdad?

El lunes a las ocho no abre el sistema. La cajera ya reinició su máquina dos veces, el contador encuentra los archivos con nombres cambiados, y en el servidor hay un archivo de texto que nadie escribió, pidiendo un pago en criptomonedas por devolver la información. Alguien voltea con el encargado y hace la pregunta del título. Esa mañana, la distancia entre contestar «sí» y tener el sistema de vuelta se mide en días sin facturar.

El caso mexicano mejor documentado le pasó a un gigante, y conviene decirlo de entrada: Coppel no es una PyME. En abril de 2024, el grupo LockBit 3.0 secuestró sus sistemas; 1,800 tiendas quedaron fuera de operación, junto con el comercio en línea, los centros de distribución y la logística. La recuperación la contó en público su director de informática:

En 2.5 meses recuperamos el 86 % de los servicios afectados, pero tardamos 3 meses en recuperar el 100 % de nuestros servicios de negocio limitados.

Consultores externos habían estimado nueve meses; las pérdidas se calcularon cercanas a 15 millones de dólares. La lección que sí se traslada a una empresa de veinte o doscientas personas no es el monto: es el tiempo. Tres meses tardó en volver completa una organización con equipos dedicados y consultores encima. Con ese golpe enfrente, las cifras del fenómeno se leen distinto:

El ransomware no distingue tamaño: se ensaña con el chico#

La idea de que los atacantes solo persiguen corporativos no sobrevive a los datos. Verizon analizó 22,052 incidentes de seguridad ocurridos entre noviembre de 2023 y octubre de 2024 y confirmó 12,195 brechas. Al separarlas por tamaño, el ransomware estuvo presente en el 88 % de las brechas de las empresas de menos de 1,000 empleados, contra el 39 % en las de más (Figura 1).

Figura 1

El ransomware aparece en 88 de cada 100 brechas de las empresas de menos de 1,000 empleados, más del doble que en las grandes

Menos de 1,000 empleados 88 %

Más de 1,000 empleados 39 %

México aparece en las mediciones regionales. Kaspersky reportó 237,000 intentos de ataque de ransomware bloqueados en dispositivos mexicanos entre agosto de 2024 y junio de 2025, el segundo lugar de América Latina detrás de Brasil, con 549,000. La cifra son detecciones de su propio producto (cada intento bloqueado cuenta, no cada empresa atacada), y aun leída así dibuja el volumen: los intentos se cuentan por cientos de miles.

Y cuando el ataque prospera, algo se va. En su encuesta de 2023 en empresas de 100 empleados o más, el mismo proveedor encontró que el 28 % de las empresas en México había sufrido una fuga de datos confidenciales tras una brecha en los dos años previos; en América Latina, el 42 %.

El costo del regreso también está medido, en cifras mundiales: recuperarse costó en promedio 1.53 millones de dólares, sin contar el pago del rescate (el año anterior eran 2.73 millones), y el 49 % de las organizaciones atacadas pagó el rescate, según la encuesta de Sophos a 3,400 líderes de TI y seguridad en 17 países. Sophos vende protección contra lo que mide, así que la cifra se lee con esa reserva; aun así, el monto viene en dólares y mezcla tamaños de empresa, y lo que viaja a cualquier escala es que el rescate, aun pagado, es solo una parte del costo.

Conviene además no encerrar el problema en el ransomware. La misma base se pierde cuando el disco del servidor se muere sin aviso, cuando el equipo se lo llevan en un robo de oficina, o cuando una descarga eléctrica de verano quema la máquina que estaba debajo del escritorio. El ataque es el escenario que más se publica; el resto ocurre sin que nadie escriba una nota de rescate.

Tener respaldo no es lo mismo que poder restaurarlo#

A la pregunta del título casi todo el mundo contesta que sí. At-Bay, una aseguradora de riesgo cibernético, revisó 186 reclamos de ransomware de su propia cartera de pymes entre 2019 y 2023: el 92 % de las empresas decía tener respaldos, y el 31 % no logró recuperarlos cuando ocurrió el ataque. Es el estudio de una aseguradora sobre sus asegurados, no una encuesta de mercado, y por eso retrata el momento que importa: el del reclamo, con el sistema caído.

Ese hueco tiene autor. El respaldo es lo único que permite no pagar, así que los atacantes van por él primero: el 89 % de las organizaciones atacadas reportó que fueron directamente por sus repositorios de respaldo, y solo el 32 % usaba repositorios inmutables (los que no se pueden alterar ni cifrar), según Veeam, que encuestó a 1,300 organizaciones con datos de 2024. El resultado está en la Figura 2: solo el 10 % recuperó más del 90 % de sus datos.

Figura 2

De cada 100 organizaciones atacadas, 57 recuperaron menos de la mitad de sus datos

recuperaron menos de la mitad de sus datos

El tiempo del regreso tiene la misma dispersión: a nivel mundial, el 53 % se recuperó por completo en menos de una semana y el 18 % tardó más de un mes. El 54 % recuperó usando respaldos, «el punto más bajo en seis años» según la misma encuesta de Sophos.

Para hablar de esto sin adjetivos existen dos nombres técnicos, definidos por el NIST: el RPO, el punto en el tiempo al que los datos deben ser recuperados después de una interrupción, y el RTO, cuánto tiempo pueden estar los componentes de un sistema en fase de recuperación antes de afectar la misión de la organización. Traducidos al escritorio del dueño son dos preguntas: cuánta captura estás dispuesto a repetir (si el último respaldo bueno es del viernes, la semana se recaptura), y cuántos días aguantas sin poder facturar. Las dos se contestan antes del ataque, o las contesta el ataque.

Y hay una prueba que ninguna herramienta hace por ti: restaurar un respaldo completo y cronometrarlo. La rutina puede correr sola todas las noches; la prueba de restauración la agenda una persona, con fecha, como se agenda un inventario físico.

Tres copias, dos medios, una afuera#

La regla clásica de respaldos cabe en un renglón y la publica la CISA, la agencia de ciberseguridad de Estados Unidos, en un documento que viene de Carnegie Mellon: tres copias de todo archivo importante (la principal y dos respaldos), en dos tipos de medio distintos, con una copia fuera del sitio. Se llama 3-2-1, y cada número existe por una falla conocida: el disco que se muere, el medio que envejece, y el sitio que se incendia o se cifra completo. La copia que vive en el mismo servidor que la base cae con él.

La objeción práctica llega sola: subir todo eso a la nube parece caro y parece que va a saturar el internet de la oficina. Vale la pena medirlo antes de descartarlo, porque la base de datos de un ERP de PyME pesa mucho menos de lo que la gente supone, se comprime bien y se sube de madrugada, cuando nadie está facturando. Y la copia de afuera no tiene que ser la nube: un disco que se rota y se guarda en otro domicilio cumple el mismo papel, mientras alguien se haga cargo de rotarlo.

Hay una cuarta pregunta que la regla no trae escrita: quién puede borrar esas copias.

Por dónde entran: el escritorio remoto y una contraseña prestada#

La imagen del atacante rompiendo defensas con herramientas exóticas tampoco sobrevive a los datos. Sophos investigó a fondo 413 casos durante 2024, y el 53 % de las organizaciones afectadas tenía 250 empleados o menos, o sea el tamaño de una PyME. La causa raíz más común fueron credenciales comprometidas, el 41 % de los casos, y el escritorio remoto apareció en el 84 % como herramienta abusada por los atacantes. Dicho sin siglas: entraron con una contraseña válida, por la misma puerta que usa el proveedor de sistemas para dar soporte a distancia.

Esa puerta se encuentra sola. En 2019, la propia Sophos publicó un experimento con servidores señuelo en la nube: el de Sao Paulo recibió su primer ataque a los 52 segundos de estar en línea, y los servidores del estudio recibieron en promedio 13 intentos de ataque por minuto. El dato es de 2019 y así lo fechamos; lo citamos porque contesta la objeción de siempre («a nosotros nadie nos conoce»): al servidor expuesto lo barren programas automáticos a todas horas, sin saber de quién es.

La base de datos merece mención aparte. Vlad Drumea, especialista en SQL Server, midió con Shodan (el buscador de equipos conectados a internet) el 19 Jul 2026: 207,000 instancias de SQL Server visibles desde internet. Es una sola fuente y una sola medición, y el número viene bajando desde el pico de 520,000 de abril de 2022; sigue siendo del orden de los cientos de miles. La misma guía de Microsoft citada arriba agrega otra línea: «Se recomienda no usar ni habilitar el inicio de sesión de SA», la cuenta de administrador que el motor trae de fábrica.

Aquí va un límite dicho donde toca: nada de esto lo resuelve un ERP. El sistema no cierra tu escritorio remoto, no configura tu cortafuegos y no decide si tu servidor está expuesto a internet; eso es del servidor y de quien lo administra. Lo que sí puedes hacer es preguntar: quién entra por escritorio remoto y desde dónde, si el motor de base de datos se ve desde afuera, y con qué cuenta se conecta cada quien.

El día que alguien avisa que se va#

No todos los que se llevan información entran por internet. Una parte ya tiene usuario y contraseña, y sabe antes que tú que se va a ir.

Cyberhaven, un proveedor de software de prevención de fuga de datos, lo midió en la telemetría de sus propios clientes (sin metodología publicada, y con el interés natural de quien vende la solución): la exfiltración de datos se dispara 720 % en las 24 horas previas a un despido, y la actividad sospechosa puede empezar hasta 200 días antes de una renuncia. Leída con esa reserva, la cifra le pone número a algo conocido: el que ya decidió irse empieza a juntar sus cosas antes de avisar, y algunas de esas cosas son tuyas: la lista de clientes con sus precios, las condiciones de crédito, los costos.

En América Latina la preocupación está medida desde 2022: el 60 % de los líderes empresariales dijo estar preocupado por el robo de información a manos de exempleados, y solo el 51 % podía asegurar que un exempleado ya no tenía acceso a información de la empresa en la nube, según una encuesta regional de Kaspersky. La mitad de las empresas no puede afirmar que la puerta del que se fue quedó cerrada.

La ley mexicana tiene algo que decir aquí. El artículo 211 bis 1 del Código Penal Federal castiga dos conductas: «Al que sin autorización modifique, destruya o provoque pérdida de información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, se le impondrán de seis meses a dos años de prisión y de cien a trescientos días multa», y al que «sin autorización conozca o copie» esa información, de tres meses a un año y de cincuenta a ciento cincuenta días multa. La frase que se repite en las dos conductas es «protegidos por algún mecanismo de seguridad»: la protección del sistema aparece en la propia letra del delito.

Los datos de tus clientes ya no los cuida el INAI#

La obligación de proteger lo que tu sistema guarda cambió de marco hace poco, y sin mucho ruido. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó en el DOF el 20 Mar 2025 y entró en vigor al día siguiente, el 21 Mar 2025, abrogando la ley de 2010. La autoridad que vigila su cumplimiento ya no es el INAI: es la Secretaría Anticorrupción y Buen Gobierno.

Si en tu ERP viven nombres, domicilios, RFC, correos y teléfonos de personas, la ley te habla a ti. Su artículo 18 ordena: «Todo responsable deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado». Un ransomware que cifra tu base de clientes, o una copia que se va con un exempleado, caben en ese catálogo.

Sobre avisar, la ley dice dos cosas y conviene decirlas juntas: las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales de los titulares deben informárseles de forma inmediata (artículo 19). No hay un plazo en días, y la obligación nace solo cuando la afectación es significativa. Qué tan significativa quedará por precisarse: al 26 Ago 2026 la ley no tiene Reglamento publicado, y la Secretaría apenas arrancó ese proceso en enero de 2026.

Las multas van por grupos (artículo 59): de 100 a 160,000 UMA para un grupo de infracciones, y de 200 a 320,000 UMA para el grupo más grave, que incluye vulnerar la seguridad de bases de datos. La ley no los llama «leves» y «graves»; los montos hablan solos. Con la UMA de 2026 en 117.31 pesos diarios, el tope del grupo mayor equivale a unos 37.5 millones de pesos (la conversión es nuestra). Tratándose de datos sensibles, las sanciones podrán incrementarse hasta por dos veces: es una facultad de la autoridad, no una duplicación automática.

Hay además cárcel para el de adentro: de tres meses a tres años de prisión al que, estando autorizado para tratar datos personales, con ánimo de lucro provoque una vulneración de seguridad a las bases de datos bajo su custodia (artículo 62). Con datos sensibles, esas penas sí se duplican (artículo 64).

Un dato más, para cuando alguien te quiera vender cumplimiento: no existe una NOM obligatoria mexicana de seguridad de la información ni de datos personales. Lo único en la materia es la NMX-I-27018-NYCE-2021, una norma voluntaria sobre protección de datos personales en nubes públicas. La obligación viene de la ley de arriba; el sello, si te lo ofrecen, es voluntario.

Dónde encaja Alleato#

Primero los respaldos. El ERP trae su propia rutina: una tarea programada respalda todas las bases de datos, empaqueta el resultado protegido con contraseña y deja una copia en una carpeta que se sincroniza fuera del servidor; cuando la base vive en la nube, hay una variante que respalda a un bucket de Amazon S3. La copia de afuera de la regla 3-2-1 deja de depender de que alguien se acuerde.

La rutina que limpia respaldos viejos trae un seguro pensado para el peor día: se niega a borrar si no encuentra suficientes respaldos recientes en la carpeta. Si los respaldos vinieron fallando en silencio, la limpieza no se ejecuta y los últimos buenos se quedan donde están. Lo que la rutina no hace, y te lo decimos igual, es probarse a sí misma: eso sigue siendo trabajo de alguien con nombre y con fecha en el calendario.

Luego los accesos. Que cada quien entre con su cuenta y opere solo lo suyo ya lo contamos en El costo de la confianza, donde el tema era el dinero; aquí importan otras dos capas del mismo mecanismo. Una es hasta dónde llega el permiso: baja a la columna de una cuadrícula, así que a un usuario concreto se le puede ocultar la columna del costo o del margen en una pantalla determinada, sin sacarlo de la pantalla. La otra es que un reporte lista qué puede hacer cada usuario, por grupo de operaciones: la respuesta a «¿quién puede ver esto?» se imprime, en vez de reconstruirse de memoria.

El rastro es del mismo tamaño. Cada entrada al sistema queda registrada con la persona, la sucursal, la máquina desde la que entró y la hora de entrada y de salida. Cada pantalla y cada reporte que alguien abre queda registrado, con la hora en que lo abrió y la hora en que lo cerró, y hay un reporte de uso del sistema por usuario y por módulo. Cuando alguien pregunta quién estuvo viendo la lista de precios el mes antes de renunciar, la respuesta existe. El límite va dicho: ese registro dice qué pantallas abrió alguien, no qué se llevó en un USB.

Y para el día que alguien se va: a una persona que ya operó en el sistema se le da de baja con fecha, en lugar de borrarla. El histórico conserva quién capturó, quién autorizó y quién facturó cada documento, y las listas dejan de ofrecerla. Los permisos se revocan por separado: dar de baja y cerrar accesos son dos pasos, y conviene que tu procedimiento de salida tenga los dos.

Con eso, las preguntas del lunes ya tienen lista:

• ¿Cuándo corrió el último respaldo, y dónde está la copia fuera del servidor?
• ¿Cuándo fue la última vez que restauramos un respaldo para comprobar que sirve, y cuánto tardó?
• ¿Cuánta captura estamos dispuestos a repetir, y cuántos días aguantamos sin facturar?
• ¿Quién entra por escritorio remoto, y el motor de base de datos se ve desde internet?
• ¿Qué accesos tenía la última persona que salió, y quién los apagó?

Si alguna se contesta con un silencio, ahí está el pendiente de esta semana. Y si quieres ver la rutina de respaldo y la bitácora de accesos trabajando sobre una operación real, pide una demostración.

Notas y fuentes#

Corte de cifras: 26 Ago 2026. Los montos se citan en la moneda de la fuente original.

• Ransomware por tamaño de empresa (presente en el 88 % de las brechas de empresas de menos de 1,000 empleados contra el 39 % en las de más; 12,195 brechas confirmadas de 22,052 incidentes, de noviembre de 2023 a octubre de 2024): Verizon, 2025 Data Breach Investigations Report. «Pequeñas y medianas» son, en la definición de Verizon, las de menos de 1,000 empleados.
• Intentos de ransomware bloqueados en dispositivos mexicanos (237,000 entre agosto de 2024 y junio de 2025; segundo lugar de América Latina detrás de Brasil, con 549,000): Kaspersky, comunicado del 06 Oct 2025. Son detecciones del propio producto del proveedor, no empresas distintas atacadas, y el cuerpo lo dice.
• Fuga de datos confidenciales tras una brecha (28 % de las empresas en México contra 42 % en América Latina): Kaspersky, Human Factor 360° Report, 1,260 entrevistas en empresas de 100 o más empleados en 19 países, con datos de 2023.
• Costo y tiempos de recuperación mundiales (1.53 millones de dólares de costo promedio sin contar el rescate, desde 2.73 el año anterior; 49 % pagó el rescate; 53 % recuperado por completo en menos de una semana y 18 % en más de un mes; 54 % recuperó usando respaldos, «el punto más bajo en seis años»): Sophos, The State of Ransomware 2025, 3,400 líderes de TI y seguridad en 17 países, encuestados de enero a marzo de 2025 sobre los 12 meses previos. El reporte no desglosa por país; las cifras se presentan como mundiales.
• Caso Coppel (ataque del grupo LockBit 3.0 en abril de 2024, admitido públicamente en septiembre; 1,800 tiendas, comercio en línea, centros de distribución y logística fuera de operación; estimación externa de nueve meses; pérdidas cercanas a 15 millones de dólares): El Financiero, 05 Sep 2024, y R3D, Red en Defensa de los Derechos Digitales, 24 Abr 2024. La declaración de Raúl Goycoolea es literal. Coppel no es una PyME; el cuerpo lo dice, y la lección que se traslada es el tiempo, no el tamaño.
• Respaldos declarados contra respaldos recuperados (92 % decía tenerlos, 31 % no logró recuperarlos): At-Bay, aseguradora de riesgo cibernético, sobre 186 reclamos de ransomware de su propia cartera de pymes, de 2019 a 2023. Es el estudio de una aseguradora sobre sus asegurados, no una encuesta de mercado, y así se presenta.
• Atacantes contra los repositorios de respaldo (89 % de las organizaciones atacadas), repositorios inmutables (32 %), y recuperación tras el ataque (10 % recuperó más del 90 % de sus datos; 57 % recuperó menos de la mitad): Veeam, Ransomware Trends 2025, 1,300 organizaciones encuestadas, 900 de ellas atacadas, con datos predominantemente de 2024.
• Regla 3-2-1: CISA, «Data Backup Options», documento de origen Carnegie Mellon/SEI.
• RPO y RTO: definiciones del glosario del NIST, derivadas del SP 800-34 Rev. 1 (RPO y RTO). La traducción a las dos preguntas del dueño es nuestra.
• Citas de la guía de Microsoft (la copia de seguridad protegida por separado de una cuenta de administrador común, y no usar ni habilitar el inicio de sesión de SA): Microsoft Learn, «Procedimientos recomendados de seguridad de SQL Server», última actualización del 07 May 2026. Ambas citas son literales.
• Causa raíz y escritorio remoto (credenciales comprometidas en el 41 % de los casos; RDP abusado en el 84 %; 413 casos investigados en 2024, con el 53 % de las organizaciones afectadas de 250 empleados o menos): Sophos, Active Adversary Report 2025.
• Instancias de SQL Server visibles desde internet (207,000 al 19 Jul 2026, contra el pico de 520,000 de abril de 2022): medición con Shodan de Vlad Drumea, especialista en SQL Server. Es una sola fuente y el cuerpo la presenta nombrando a quien midió y con su fecha.
• Servidores señuelo (primer ataque a los 52 segundos en Sao Paulo; promedio de 13 intentos de ataque por minuto): Sophos, comunicado de abril de 2019. El experimento es de 2019 y así se fecha en el cuerpo.
• Exfiltración antes de la salida (720 % de aumento en las 24 horas previas a un despido; actividad sospechosa hasta 200 días antes de una renuncia): Cyberhaven, telemetría de sus propios clientes, sin metodología publicada, y así se presenta.
• Preocupación por exempleados en América Latina (60 % de los líderes empresariales preocupados por el robo de información; solo 51 % puede asegurar que un exempleado ya no tiene acceso a información de la empresa en la nube): Kaspersky, encuesta regional con datos de 2022.
• Artículo 211 bis 1 del Código Penal Federal, texto vigente en la Biblioteca de Leyes de la Cámara de Diputados. Las citas son literales.
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el DOF el 20 Mar 2025, en vigor desde el 21 Mar 2025, abrogando la de 2010; autoridad en la Secretaría Anticorrupción y Buen Gobierno según el artículo 2, fracción XV, con atribuciones en los artículos 38 y 39; artículos 18, 19, 59, 62 y 64 citados del texto vigente). La conversión del tope de 320,000 UMA a pesos usa la UMA de 2026 (117.31 pesos diarios) y es aritmética nuestra. Al 26 Ago 2026 la ley no tiene Reglamento publicado, y no existe una NOM obligatoria mexicana de seguridad de la información ni de datos personales; la NMX-I-27018-NYCE-2021 es voluntaria y trata la protección de datos personales en nubes públicas.
• La mecánica de Alleato citada (la cuenta individual por persona; el permiso por operación acotable al centro de trabajo; el permiso hasta la columna de una cuadrícula; el reporte de qué puede hacer cada usuario por grupo de operaciones; el registro de cada entrada con persona, sucursal, máquina y horas de entrada y salida; el registro de cada pantalla y reporte abierto con sus horas y el reporte de uso por usuario y módulo; la rutina programada que respalda todas las bases, empaqueta con contraseña y deja copia en una carpeta sincronizada fuera del servidor, con su variante a Amazon S3; la limpieza que se niega a borrar sin suficientes respaldos recientes; y la baja con fecha que conserva el histórico y revoca permisos por separado) corresponde a su funcionamiento actual, verificado en el código fuente y en el esquema real del ERP. Los límites van dichos en la oración donde tocan: la prueba de restauración la agenda una persona, el registro de accesos no ve el USB, y el escritorio remoto, el cortafuegos y la exposición del servidor son del servidor, no del sistema. No hay estadísticas publicables de instalaciones nuestras, y así se declara.