Ransomware en Microsoft 365: por qué la nube no es una copia de seguridad
Es una de las frases que más veces escuchamos: «tengo el correo y los documentos en Microsoft 365, así que si me cifran el ordenador, lo mío está a salvo». Durante mucho tiempo esa tranquilidad era razonable. Hoy los datos dicen otra cosa y conviene que la conozcas antes de que la pongas a prueba.
Qué ocurre cuando un ransomware llega a tu Microsoft 365
El ransomware ya no vive solo en los discos duros. Hay dos caminos documentados por los que llega al contenido que tienes en la nube:
- A través del PC sincronizado. El cifrado se ejecuta en el ordenador infectado y el cliente de OneDrive sube obedientemente los ficheros cifrados, sobrescribiendo en la nube las versiones correctas.
- A través de una identidad robada. Con la contraseña o el token de una sesión comprometida, un atacante puede conectarse directamente a tu OneDrive o SharePoint mediante la API de Microsoft y cifrar los ficheros desde fuera, sin tocar ningún equipo tuyo. Investigadores de seguridad (equipo Axon de Hunters) han documentado incidentes reales de este tipo, con rendimientos de cifrado de unos 16 ficheros por minuto.
En el correo la mecánica cambia, pero el resultado no mejora: los buzones de Exchange Online rara vez se cifran «in situ», pero los atacantes los usan como herramienta (reglas de desvío, robo de información, borrado masivo) y un borrado masivo con la identidad comprometida deja al buzón vacío con el mismo efecto práctico que un cifrado.
Lo que dicen los datos
- El 56% de los ataques de ransomware consiguen cifrar datos, su cifra más alta hasta la fecha, y en el 16% de los casos los datos se cifran y se roban a la vez (Sophos, State of Ransomware 2026).
- El 79% de los ataques nacen de una identidad comprometida (Sophos 2026). Es exactamente la puerta de entrada al contenido en la nube.
- El 93% de los atacantes van primero a por las copias de seguridad, y 1 de cada 7 organizaciones pierde más del 80% de sus datos en un ataque (Veeam, Ransomware Trends).
- Microsoft lanzó en 2023 su propio servicio Microsoft 365 Backup, reconociendo públicamente que las capacidades nativas no bastan para estos escenarios.
Qué puede recuperar Microsoft… y qué no
Las licencias de Microsoft 365 incluyen mecanismos de recuperación nativos que funcionan y que conviene conocer:
- Historial de versiones en OneDrive: puedes recuperar versiones anteriores de un fichero aunque la última esté cifrada.
- Restauración completa del OneDrive (Files Restore) a un punto anterior, dentro de una ventana de unos 30 días.
- Papelera de reciclaje de OneDrive: los ficheros borrados permanecen hasta 93 días.
- Elementos recuperables del buzón: los correos eliminados son recuperables durante 14 días por defecto, ampliables a 30 con configuración.
El problema es que todas estas protecciones comparten una debilidad: viven dentro del mismo sistema que el atacante compromete. Con suficiente acceso, un atacante puede vaciar la doble papelera y eliminar permanentemente los ficheros junto con su historial de versiones, dejando sin efecto las ventanas de recuperación. Si el ataque pasa desapercibido más de 30 días, la restauración completa del OneDrive ya no es posible.
La pieza que falta: una copia fuera del alcance del atacante
Una copia de seguridad independiente de Microsoft 365, con las copias aisladas e inmutables, no depende de que el atacante respete papeleras, versiones o periodos de retención. Nadie que haya robado la sesión de un usuario puede tocarla, y permite restaurar el buzón o el OneDrive completos a un punto concreto del pasado, tanto si el daño vino por el PC sincronizado como por la API.
No es una cuestión de paranoia: es la diferencia entre una recuperación con garantías y una carrera contra relojes de 30 o 93 días que el atacante conoce tan bien como tú.
Nuestra pregunta
¿Estarías dispuesto/a a invertir en una solución de este tipo para tu empresa? Escríbenos y te lo contamos sin compromiso: qué cubriría, qué coste tendría en tu caso y cómo encajaría con lo que ya tienes contratado.
Mientras tanto, si quieres profundizar en el tema, estos artículos completan el panorama: